U punom opsegu 25.5.2018.

Ne samo na organizacije koje posluju unutar EU, nego i na sve ostale organizacije u svijetu koje nude svoju robu i usluge, ili na drugi način obrađuju podatke nositelja osobnih podataka iz EU. Odnosi se na sve tvrtke koje pohranjuju i obrađuju podatke nositelja podataka sa sjedištem unutar EU, bez obzira na geografsku lokaciju njihovog sjedišta.

Bilo koja informacija povezana sa stvarnom osobom, tj. vlasnikom osobnog podatka koja se može upotrijebiti za direktno ili indirektno identificiranje točno te osobe. To može biti bilo što od imena, fotografije, email adrese, bankovnih podataka, unosa na društvenim mrežama, zdravstvenih podataka ili npr računalne IP adrese.

Organizacije mogu biti kažnjene s do 4% ukupnog globalnog godišnjeg prihoda, ili 20M€. To je maksimalna kazna koja može biti zapriječena za teška kršenja Uredbe, kao npr neimanje dostatnih privola za korištenje osobnih podataka ili kršenja koncepta “Privacy by design”. Zapriječena je i umanjena kazna od 2% ili 10M€ za vođenje neurednih zapisa osobnih podataka (članak 28), neobavještavanje nadležnih institucija za curenje podataka ili neprovođenje sigurnosne procjene. Bitno je naglasiti da pravila vrijede kako za organizacije koje prikupljaju podatke, tako i za one koje ih obrađuju, tj usluge u oblaku nisu izuzete od GDPR zahtjeva.