De acordo com o artigo 4º do regulamento, os dados pessoais são Informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica (E-mail) ou a um ou mais elementos específicos da identidade física, fisiológica, genética,mental, económica, cultural ou social dessa pessoa singular.
O teste decisivo para decidir se são dados pessoais para o RGPD ou não, consiste em avaliar se esses dados podem ser usados direta ou indiretamente para identificar uma pessoa. Enquanto o nome de uma pessoa identifica obviamente a mesma, a verdade é que algumas combinações de identificadores indiretos também permitem essa identificação. Nomeadamente, foi feito um estudo nos Estados Unidos da América em que se concluiu que a data de nascimento, código postal e sexo permitiam a identificação de 87% dos americanos. Assim, torna-se evidente que os identificadores indiretos têm de ter o mesmo nível de proteção que os indicadores diretos.
