GDPR 2016 ümumi müddəalar, prinsiplər, məlumat subyektinin hüquqları, məlumat nəzarətçiləri və ya emalçılarının vəzifələri, şəxsi məlumatların üçüncü ölkələrə ötürülməsi, nəzarət orqanları, üzv dövlətlər arasında əməkdaşlıq, hüquqi müdafiə vasitələri, hüquqlar və müxtəlif yekun müddəaların, öhdəliklərin pozulmasına görə məsuliyyət və ya cəzalarla bağlı on bir fəsildən ibarətdir. Bəyannamə 4-də qeyd edilir ki, "fərdi məlumatların emalı bəşəriyyətə xidmət etmək üçün hazırlanmalıdır".

Reqlament məlumat nəzarətçisi (Aİ-də olub-olmamasından asılı olmayaraq yaşayan insanlar haqqında məlumat toplayan təşkilat) və ya prosessor (bulud xidməti təminatçıları kimi məlumat nəzarətçisi adından məlumatları emal edən təşkilat) və ya məlumat subyekti (şəxs) Aİ-də yerləşirsə tətbiq olunur. Müəyyən şəraitdə reqlament Aİ daxilində yerləşən şəxslərin şəxsi məlumatlarını toplayan və ya emal edən kənar təşkilatlara da şamil edilir. Reqlament bir şəxs tərəfindən "sırf şəxsi və ya məişət fəaliyyəti və beləcə, peşəkar və ya kommersiya fəaliyyəti ilə əlaqəsi olmayan" məlumatların işlənməsinə şamil edilmir. (Bəyannamə 18)

Avropa Komissiyasına əsasən, "şəxsi məlumatlar müəyyən edilmiş və ya müəyyən edilə bilən bir şəxsə aid olan məlumatdır. Əgər siz həmin məlumatdan fərdi şəxsiyyəti birbaşa müəyyən edə bilmirsinizsə, o zaman həmin şəxsin hələ də şəxsiyyətini müəyyənləşdirməyin mümkün olub-olmadığını nəzərə almalısınız. Siz və ya hər hansı digər şəxs tərəfindən həmin şəxsi müəyyən etmək üçün istifadə oluna bilən bütün vasitələrlə birlikdə emal etdiyiniz məlumatı nəzərə almalısınız." "Şəxsi məlumatlar", "emal", "məlumat subyekti", "nəzarətçi" və "prosessor" kimi terminlərin dəqiq anlayışları reqlamentin 4-cü maddəsində verilmişdir.

Reqlament Aİ-nin milli təhlükəsizlik fəaliyyətləri və ya hüquq-mühafizə məqsədləri üçün şəxsi məlumatların emalına tətbiq etməyi nəzərdə tutmur; Bununla belə, potensial qanunlar ziddiyyəti ilə üzləşməkdən narahat olan sənaye qrupları iddia edirlər ki, GDPR-nin 48-ci maddəsi üçüncü ölkənin qanunlarına tabe olan məlumat nəzarətçisi Aİ şəxsinin fərdi məlumatlarınının Aİ daxilində və ya ondan kənarda yerləşməsindən asılı olmayaraq həmin orqanlara açıqlaya bilməz. O, onun bu ölkənin hüquq-mühafizə, məhkəmə və ya milli təhlükəsizlik orqanlarının qanuni əmrini yerinə yetirməsinə mane olmağa cəhd edə biləcəyini sual edib. 48-ci maddədə deyilir ki, nəzarətçidən və ya prosessordan fərdi məlumatların ötürülməsini və ya açıqlanmasını tələb edən hər hansı bir məhkəmə qərarı, habelə üçüncü ölkənin inzibati orqanının hər hansı bir qərarı, tələb edən üçüncü (üzv olmayan) ölkə ilə Aİ üzvü olan dövlət arasında qüvvədə olan kimi beynəlxalq bir razılaşmaya əsaslanmadığı təqdirdə heç bir şəkildə tanına və ya icra edilə bilməz. Məlumatların mühafizəsi üzrə islahatlar paketi həmçinin polis və ədliyyə sektoru üçün dövlət, birlik və beynəlxalq səviyyələrdə fərdi məlumat mübadiləsi qaydaları təmin edən ayrıca Məlumatların mühafizəsi haqqında Direktivi də əhatə edir.

Vahid qaydalar toplusu bütün Aİ üzv dövlətlərinə şamil edilir. Hər bir üzv dövlət şikayətləri dinləmək və araşdırmaq, inzibati xətaları sanksiyalaşdırmaq və s. üçün müstəqil Nəzarət Orqanı (NO) yaradır. Hər bir üzv dövlətdə NO-lar digər NO-larla əməkdaşlıq edir, qarşılıqlı yardım göstərir və birgə əməliyyatlar təşkil edir. Əgər biznesin Aİ-də bir neçə müəssisəsi varsa, onun əsas emal fəaliyyətlərinin həyata keçirildiyi "əsas müəssisənin" yerləşdiyi yerə əsaslanaraq, onun "aparıcı orqan" kimi vahid nəzarət orqanı olmalıdır. Beləliklə, aparıcı orqan Aİ daxilində həmin biznesin bütün emal fəaliyyətlərinə nəzarət etmək üçün "bir pəncərə" kimi çıxış edir (46–55-ci maddələr). (AMQŞ) NO-ları əlaqələndirir. Beləliklə, AMQŞ 29-cu Maddə Məlumatların Qorunması üzrə İşçi Qrupunu əvəz edir. Məşğulluq kontekstində və ya milli təhlükəsizlikdə işlənilən məlumatlar üçün hələ də ayrı-ayrı ölkə qaydalarına tabe ola biləcək istisnalar var (2(2) (a) and 88-ci maddələr).