Le RGPD organise un mécanisme de coopération et de cohérence destiné à assurer une application uniforme du règlement par les autorités de protection des données de l'Union européenne et de l'Espace économique européen dans les cas transfrontaliers.
La procédure de guichet unique, obligatoire pour les traitements transfrontaliers selon l'article 60, impose une coopération entre une autorité de contrôle "chef de file" et les autorités "concernées". L'autorité chef de file soumet un projet de décision pour atteindre un consensus. En cas de désaccord, une autorité concernée peut émettre une "objection pertinente et motivée", et si l'autorité chef de file ne la suit pas, le mécanisme de contrôle de la cohérence est déclenché.

Le RGPD prévoit également des outils de coopération facultatifs. L'assistance mutuelle (article 61) permet à une autorité de solliciter des informations ou des actions auprès d'une autre, qui doit répondre sous un mois. Les opérations conjointes (article 62) permettent à plusieurs autorités de mener des actions communes, notamment répressives.

Le mécanisme de contrôle de la cohérence implique le Comité européen de la protection des données (CEPD). Celui-ci peut émettre des avis obligatoires sur certains projets de décision des autorités, comme ceux approuvant des codes de conduite, conformément à l'article 64. Il peut aussi être saisi pour avis sur toute question d'application générale, comme il l'a fait en 2024 concernant la validité du consentement sur les grandes plateformes en ligne.

En cas de litige, notamment si une objection n'est pas suivie, le CEPD est saisi pour adopter une décision contraignante à la majorité des deux tiers dans un délai d'un mois, prolongeable d'un mois, en vertu de l'article 65. Enfin, la procédure d'urgence de l'article 66 autorise une autorité à prendre des mesures provisoires pour une durée maximale de trois mois. Pour des mesures définitives, le CEPD doit être saisi pour rendre une décision contraignante d'urgence.