O GDPR se aplica a organizações, empresas, indivíduos, corporações, autoridades públicas e outras entidades – incluindo pequenas empresas, instituições de caridade e organizações sem fins lucrativos – sediadas na UE e que oferecem bens ou serviços (ainda que de forma gratuita) para pessoas na UE, ou que monitoram o comportamento de pessoas na UE, seja de forma direta ou na qualidade de terceiro.