1. Οι διατάξεις του παρόντος εφαρμόζονται στους δημόσιους φορείς. Στους ιδιωτικούς φορείς εφαρμόζονται, εφόσον:
α) ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα εντός της Ελληνικής Επικράτειας,
β) τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία στο πλαίσιο των δραστηριοτήτων μιας εγκατάστασης του υπεύθυνου επεξεργασίας ή του εκτελούντος την επεξεργασία εντός της Ελληνικής Επικράτειας, ή εφόσον
γ) μολονότι ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία δεν έχει εγκατάσταση σε κράτος μέλος της Ευρωπαϊκής Ένωσης ή σε άλλο συμβαλλόμενο κράτος του Ευρωπαϊκού Οικονομικού Χώρου, εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ.
2. Τα συμβαλλόμενα κράτη του Ευρωπαϊκού Οικονομικού Χώρου και της Ελβετίας τελούν σε ισοδύναμο καθεστώς με τα κράτη μέλη της Ευρωπαϊκής Ένωσης όσον αφορά την επεξεργασία για σκοπούς σύμφωνα με το άρθρο 2 του ΓΚΠΔ . Άλλα κράτη θεωρούνται τρίτες χώρες.
3. Τα συνδεδεμένα με το κεκτημένο της Σύμβασης Εφαρμογής της Συμφωνίας Σένγκεν (ν. 2514/1997, Α΄140) κράτη, όταν η επεξεργασία δεδομένων προσωπικού χαρακτήρα διενεργείται για τους σκοπούς του άρθρου 1 παράγραφος 1 της Οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου , τελούν σε ισοδύναμο καθεστώς με τα κράτη μέλη της Ευρωπαϊκής Ένωσης. Άλλα κράτη θεωρούνται τρίτες χώρες.