Persondataforordningen angiver i art. 2, stk. 2, en række situationer, hvor en behandling af personoplysninger er undtaget fra forordningens anvendelsesområde. Efter art. 2, stk. 2, litra c, gælder forordningen ikke for behandlinger, der foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter. Videregivelse af personoplysninger til en person inden for overdragerens privatsfære omfattes således ikke af forordningens regler. Denne privatbrugsregel har et relativt snævert anvendelsesområde, og den gælder ikke for spredning af oplysninger til en større kreds af personer via eksempelvis sociale medier. Forordningens art. 85 giver medlemsstaterne ganske vide rammer for at undtage pressens behandling af personoplysninger fra forordningens anvendelsesområde. Denne mulighed er udnyttet i Danmark, jf. herved databeskyttelsesloven § 3, stk. 4-8. De særlige spørgsmål, der opstår i samspillet mellem forordningen og staffelovens regler om freds- og ærekrænkelser, gælder derfor ikke pressens brug af personoplysninger.

Persondataforordningen suppleres af databeskyttelsesloven, der inden for rammerne af forordningen rummer en række supplerende bestemmelser. Af særlig betydning for det følgende er lovens regler om straf, der omtales nedenfor.

Når en behandling af personoplysninger gribes af persondatarettens anvendelsesområde, udløser det en række forpligtelser for den, der er ansvarlig for behandlingen. Det er et bærende princip, at behandlingen kun må finde sted, hvis den har hjemmel i en af behandlingsreglerne. Behandlingen skal endvidere ske i overensstemmelse med forordningens generelle behandlingsprincipper om bl.a. formålsbestemthed, sletning, dataminimering mv. Den dataansvarlige skal også iagttage den registreredes rettigheder, herunder til at få indsigt i behandlede oplysninger. En manglende overholdelse af disse forpligtelser er strafsanktioneret.

Forordningen indeholder ingen regler om fængselsstraf. Det er således op til medlemsstaterne selv, om en overtrædelse af reglerne skal kunne give fængselsstraf. Dette er tilfældet i Danmark. Efter databeskyttelseslovens § 41 kan overtrædelse af en lang række af reglerne i forordningen og loven således straffes med fængsel i op til 6 måneder. Forarbejderne nævner, at fængselsstraf eksempelvis kan anvendes, hvor der sker en forsætlig offentliggørelse af særligt beskyttelsesværdige oplysninger, såsom følsomme oplysninger, i et meget betydeligt omfang. Hermed understreges,