EU anser att dess medborgares personuppgifter ska skyddas i största möjliga mån även utanför EU:s gränser. Därför omfattar lagen all behandling av EU-medborgares personuppgifter, oavsett om företaget eller organisationen som genomför behandlingen finns inom EU eller inte. En e-handel i Kina som vänder sig till EU-medborgare omfattas alltså av GDPR på samma sätt som ett företag i Sverige.