Les règles protectrices des données personnelles s’appliquent aux traitements de données réalisés dans le cadre d’activités conduites par un établissement situé sur le territoire de l’Union européenne. 

Il s’applique également aux traitements effectués par un responsable de traitement ou un sous-traitant établis hors de l’Union européenne mais qui visent des personnes qui se trouvent sur le territoire de l’Union européenne et que les activités de traitement sont liées à une offre de biens ou de services (même gratuits) à destination de ces personnes ou au suivi du comportement de ces personnes (ciblage).

Le RGPD s’applique également aux traitements qui concernent des personnes situées sur le territoire de l’Union lorsque les activités de traitement sont liées à l’offre de biens ou non, et au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union.

Dans le domaine de la recherche scientifique, les programmes de recherche conduits hors de l’Union européenne, mais portant sur des personnes résidant au sein de l’Union et dont le comportement est analysé, sont soumis aux règles de protection en vigueur.

De même, les personnes participant à une recherche menée en dehors du territoire national, mais dans le cadre d’un programme piloté par une unité de recherche française, peuvent bénéficier d’une protection juridique.