GDPR은 프로파일링 규정과 제한의 조항들을 도입하는데 유럽 연합 역외의 개인정보처리자도 프로파일링 기법의 개인 정보 처리 기술을 이용해 개인을 추적하는 경우 이 법을 적용받는다.
더불어 GDPR은 ‘프로파일링’(profiling)을 규정하고 이를 제한하는 조항들을 도입하였다. 우선 ‘프로파일링’이란, “개인에 관한 특정한 개인적 측면을 평가하기 위해, 특히 개인의 업무능력, 경제 상황, 건강, 개인의 성향이나 관심사, 신뢰도, 행동, 위치, 이동에 관한 측면을 분석 및 예측하기 위해 개인정보를 사용하는 모든 개인정보의 자동처리 형태를 의미한다”(제4조(4)). 유럽연합 역외의 개인정보처리자라 하더라도 정보주체에 대한 결정을 할 때나, 정보주체의 개인적 선호, 행동과 태도를 분석하거나 예상하는 프로파일링 기법 같은 개인정보처리 기술을 잠재적·계속적으로 사용하여 개인을 인터넷에서 추적하는 경우에는 이 법의 적용을 받는다(해설전문 24).