Onder de AVG worden persoonsgegevens gedefinieerd als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (de betrokkene). Een persoon wordt als identificeerbaar beschouwd wanneer deze direct of indirect kan worden geïdentificeerd aan de hand van een identificator zoals een naam, identificatienummer, locatiegegevens, online identificator of een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit.
De brede reikwijdte van deze definitie betekent dat veel soorten gegevens die organisaties routinematig verwerken als persoonsgegevens kwalificeren, waaronder IP-adressen, cookie-identificatoren, device fingerprints en gepseudonimiseerde gegevens waarbij heridentificatie mogelijk blijft. Begrijpen wat persoonsgegevens zijn is de essentiële eerste stap in AVG-compliance, aangezien het bepaalt welke verwerkingsactiviteiten onder de vereisten van de verordening vallen voor rechtmatige grondslag, transparantie en rechten van betrokkenen.