I motsetning til det tidligere direktiv gjelder altså forordningen også for virksomheter som er basert utenfor EU, dersom de behandler personopplysninger om EUs innbyggere.