La tutela offerta dal Regolamento va applicata a tutte le informazioni riguardanti una persona fisica identificata o identificabile che si trova nel territorio europeo, mentre non tocca i trattamenti di informazioni relative alle persone decedute né alle persone giuridiche.
L’ampia portata del Regolamento si ricava anche soffermandosi sulla rilevante platea di soggetti che sono destinatari della nuova disciplina europea.
Il GDPR espande l’ambito territoriale di applicazione della normativa (rispetto a quanto previsto dal Codice della Privacy) e stabilisce, innanzitutto, che sono tenuti a rispettarne e ad applicarne le disposizioni i soggetti stabiliti nel territorio europeo, indipendentemente dal fatto che le relative attività di trattamento dei dati personali siano poi effettuate all’interno dell’Unione Europea.