GDPR her ne kadar Avrupa Birliği (AB) mevzuatı olarak yürürlüğe girmiş olsa da sınırları AB’yi aşmaktadır. AB üyesi olan ülkelerde kurulan şirket ve organizasyonlar bu kanuna uygun hareket etmek zorundadır.
Buna ek olarak, AB üyesi olan bir ülkede kurulmamakla birlikte AB üyesi bir ülkenin vatandaşının verisini işleyen gerçek ve tüzel kişilerde söz konusu kanuna uymak zorundadır. Bu konuda bazı örnekler vermek gerekirse, AB dışında kurulu olan bir şirketin;

• AB’de yaşayan gerçek kişilere ürün veya hizmet vermesi,
• AB’de yaşayan gerçek kişilerin tüketim alışkanlıklarını, davranışlarını (internet sitesi üzerinden takip edilen kullanıcı hareketleri de kişisel veridir) izlemesi,
• AB üye ülkeleri ile ithalat, ihracat ve herhangi bir ticari faaliyet yürütmesi,

Söz konusu şirketin GDPR’a tabi olduğunu göstermesi açısından yeterlidir. Sonuç olarak, Türkiye’de kurulan ve işletilen fakat AB’de yaşayan kişilerin verilerini işleyen gerçek ve tüzel kişiler GDPR’a uyum sağlamak zorundadır.