A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet /GDPR)fogalma szerint személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlenül vagy közvetett módon, különösen valamely azonosító, például név, szám,helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.”A személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. Az érintettel akkor helyreállítható a kapcsolat, ha az adatkezelő rendelkezik azokkal a technikai feltételekkel, amelyek a helyreállításhoz szükségesek.
A fentiekből megállapítható, hogy a személyes adat fogalma, az adatkezeléshez hasonlóan, rendkívül tág. Gyakorlatilag bármilyen adat, információ minősülhet személyes adatnak, amennyiben az adott információ (pl. szemszín, érdeklődési kör, vásárlási szokások stb.) összekapcsolható egy adott személlyel. Nem tartozik azonban a személyes adatok körébe az anonim módon rendelkezésre bocsátott adat, azaz, amikor összesítve pl. statisztikai célból kerülnek begyűjtésre adatok, anélkül, hogy kiderülne, hogy az adathalmazban szereplő egyes információkat ténylegesen mely személy bocsátotta rendelkezésre.
Egyebekben, abban az esetben is beszélhetünk személyes adatkezelésről, ha nem név alapján kerül beazonosításra egy konkrét személy, hanem például személyi szám vagy egyéb azonosító adat, illetve bizonyos esetekben pl. a számítógép IP címe alapján. Az IP címek beazonosítása, a cookie-k és egyéb különböző nyomkövető információk gyűjtése a számítógépről sok kérdést felvetnek azzal kapcsolatban, hogy mely esetekben történik ténylegesen személyes adatkezelés, és mely esetek azok, ahol az adatgyűjtés csak anonim módon valósul meg (amely nem éri el személyes adatkezelés szintjét). Ez esetről esetre vizsgálandó.
