A LGPD estabelece princípios e cria regras que devem ser observados tanto por organizações privadas quanto públicas, além de criar entidade reguladora específica para o tema.
Ela é aplicável a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país no qual estejam localizados os dados, desde que a operação de tratamento de dados seja realizada no Brasil; a atividade de tratamento tenha por objetivo a oferta de bens ou serviços ou o manejo de dados de indivíduos localizados no país; ou, ainda, que os dados pessoais objeto do tratamento tenham sido coletados em território nacional.

Entretanto, estão excluídos da aplicação da lei alguns meios de tratamentos de dados, a exemplo daqueles realizados para fins exclusivamente jornalísticos, artísticos e acadêmicos, além de informações relacionadas exclusivamente à segurança pública, defesa nacional, segurança do Estado e a atividades de investigação e repressão de infrações penais.

Quando um empresário ou um gestor público administra folhas de pagamentos, isso é tratamento de dados pessoais. A ação de um comerciante que envia promoções por e-mail também é. O mesmo vale para o ato de publicar uma foto ou de deletar documentos em uma rede social. E o mesmo vale para quando se faz gravações em vídeo do movimento nos corredores de um shopping. Ou quando uma loja virtual armazena os endereços IP de seus clientes.