В этой статье хорошо описаны случае, когда нужно внедрять gdpr правила https://stalirov.lawyer/posts/reglament-gdpr-v-ukraine Если в двух словах, то как только вы получаете доступ к персональным данным граждан Европейского Союза, вам нужно выполнять требования gdpr. Как именно, зависит от типа вашего бизнеса. Интернет-магазинам, играм, мобильным приложениям и другим онлайн-ресурсам нужна политика конфиденциальности. Если вы оказываете услуги, например как IT-компания, может понадобиться data protection agreement.