Z působnosti GDPR je vyloučeno zpracování prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. Je pochopitelné, že činnost orgánů činných v trestním řízení je natolik specifická, že ji nelze zatížit pravidly GDPR, např. rozsáhlými povinnostmi vůči subjektům údajů. Jiné veřejné subjekty, jako například obce či nemocnice, však nejsou z působnosti GDPR vyňaty. Díky českému zákonu o zpracování osobních údajů (č. 110/2019 Sb.) účinnému od 24. dubna 2019 na ně ale nedopadá možnost uložení pokuty za případné porušení GDPR.

Pokud jde o činnosti fyzických osob, pak se GDPR nevztahuje na zpracovávání osobních údajů v rámci výlučně osobní či domácí činnosti. Příkladem může být tvorba rodinného fotoalba či rodokmenu nebo vedení osobního deníku nebo adresáře.