GDPR nepoužívá termín citlivé údaje, které známe ze zákona o ochraně osobních údajů, ale termín zvláštní kategorie osobních údajů.

Vedle toho upravuje ještě další specifickou skupinu - osobní údaje týkající se rozsudků v trestních věcech a trestných činů. Předchozí zákon o ochraně osobních údajů upravoval informace o odsouzení za trestný čin jako součást citlivých údajů. Nařízení tyto informace považuje za samostatnou skupinu a tuto skupinu rozšiřuje na jakékoli informace o rozsudcích v trestních věcech (např. též podmíněné zastavení trestního stíhání).

Zatímco definice osobních údajů je poměrně obecná, definice zvláštních kategorií osobních údajů obsahuje konkrétní a úplný (taxativní) výčet údajů, které spadají do této skupiny.

Mezi tyto údaje patří:

• osobní údaje vypovídající o rasovém či etnickém původu
• osobní údaje vypovídající o politických názorech, náboženském vyznání či filozofickém přesvědčení
• osobní údaje vypovídající o členství v odborech
• genetické údaje
• biometrické údaje sloužící k jedinečné identifikaci fyzické osoby
• údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

Žádné jiné údaje se za "citlivé" údaje nepovažují (např. rodné číslo, údaje o výši mzdy atd.).

Pokud osobní údaj patří do zvláštní kategorie, platí obecný zákaz pro jeho zpracování, ledaže se uplatní některá ze zákonných licencí (např. oblast pracovního práva, poskytování zdravotní péče, uplatnění právních nároků). Jestliže správce nemůže podřadit své zpracování pod žádnou zákonnou výjimku, musí pro dané zpracování získat výslovný souhlas subjektu údajů, ledaže platí absolutní zákaz zpracování tohoto osobního údaje. Zaměstnavatel tak např. nikdy nesmí při výběru zaměstnanců vyžadovat informace týkající se národnosti, rasového nebo etnického původu, politických postojů, členství v odborových organizacích, náboženství, filozofického přesvědčení, sexuální orientace, není-li jejich vyžadování v souladu se zvláštním právním předpisem. Tento zákaz nelze překonat ani výslovným souhlasem uchazeče o zaměstnání.

Pokud jde o souhlas se zpracováním zvláštních kategorií osobních údajů, platí obecné požadavky jako v případě "obyčejných" osobních údajů (tj. souhlas musí být svobodný, konkrétní, informovaný a jednoznačný). Navíc je stanoveno, že souhlas musí být výslovný. To znamená, že je vždy třeba, aby subjekt údajů explicitně prohlásil, že souhlasí se zpracováním svých "citlivých" údajů k vymezenému účelu. Subjekt údajů tedy musí být jasně informován, že jde o zvláštní kategorie osobních údajů, a přesto subjekt aktivně vyjádří svůj souhlas.

V případě zvláštních kategorií osobních údajů je dále nutné dbát o jejich vyšší formu zabezpečení (např. je nepřípustné, aby citlivé údaje byly přenášeny k jinému subjektu v excelovské tabulce prostým e-mailem).