Esta legislação aplica-se a todas as organizações estabelecidas em território da União Europeia e àquelas que, estando localizadas fora da UE, tratem dados de titulares aí residentes, desde que comercializem os seus produtos/serviços (a título oneroso ou gratuito) ou monitorizem comportamentos que ocorram dentro da UE.

Estão excluídas desta obrigatoriedade, por exemplo, as forças de segurança pública, uma vez que estão sujeitas a uma legislação específica.