O GDPR aplica-se exclusivamente aos dados pessoais. A atual Diretiva de Proteção de Dados define dados pessoais como "qualquer informação relacionada a uma pessoa identificada ou identificável, ou a um titular de dados. Uma pessoa identificável é aquela que pode ser identificada, direta ou indiretamente, por referência a um número de identificação ou um ou mais fatores específicos de sua identidade física, fisiológica, mental, econômica, cultural ou social. "