GDPR suojaa yksilön (rekisteröidyn) henkilötietoja eli mitä tahansa yksilöön liittyvää tietoa, jonka avulla yksilö voidaan suoraan tai epäsuorasti tunnistaa. Pseudonymisoitua tietoa voidaan pitää henkilötietona, jos rekisteröity voidaan tunnistaa sen avulla. Henkilötietoja ovat esimerkiksi nimet ja sähköpostiosoitteet, osoite- ja sijaintitiedot, etninen tausta, sukupuoli, biometriset tiedot, uskonnolliset vakaumukset, poliittiset mielipiteet ja terveystiedot. Terveystiedot ovat henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, joista käy ilmi tai joiden avulla voidaan päätellä henkilön terveydentila. Terveystiedot luokitellaan arkaluonteisiksi tiedoiksi, joille GDPR asettaa erityisen tiukat suojeluvaatimukset.