Subjekt údajů je podle GDPR fyzická osoba, k níž se osobní údaje vztahují. Typicky jde o rezidenty EU, jejichž práva nařízení chrání. Subjekt údajů není právnická osoba. Osobní údaje mohou být pouze ve vztahu k existující fyzické osobě, jelikož Obecné nařízení vylučuje svoji působnost na údaje o zesnulých osobách.