Pokuta v té nejvyšší částce může být uložena jen za nejzávažnější porušení zásadních ustanovení GDPR (např. základní zásady pro zpracování, práva subjektů údajů). Maximální pokutu není tedy možné uložit za porušení všech povinností.

Navíc není ani nutné vždy uložit pokutu za každé porušení GDPR, vše záleží na posouzení daného případu dozorovým úřadem. Někdy postačí společnosti uložit jen nápravné opatření, kterým bude porušení napraveno a mělo by být zajištěno, že se stejné porušení již nebude opakovat.

V případě, že bude pokuta uložena, měla by být účinná, přiměřená a odrazující, nikoli však likvidační. Při rozhodování o výši pokuty by měly být zohledněny všechny okolnosti daného případu, např. povaha, závažnost a délka trvání porušení, zda bylo porušení úmyslné nebo z nedbalosti, míra odpovědnosti správce nebo zpracovatele, míra spolupráce s dozorovým úřadem, veškerá předchozí porušení atd.

Ačkoli bude nutné v některých případech přistoupit ke zvýšení ukládaných pokut, žádná firma by se neměla obávat uložení likvidační pokuty. Astronomické pokuty byly do GDPR vtěleny zejména z důvodu, že se GDPR bude vztahovat i na některé globální firmy, které nabízejí své služby i v EU (např. Google, Facebook, Microsoft) a u nichž jen takto vysoké pokuty mohou naplnit svůj účel odradit od případného dalšího porušování GDPR a chránit osobní údaje fyzických osob před jejich závažným zneužitím.