يُطبق القانون خارج الحدود الإقليمية، حيث يشمل أي عمليات لمعالجة البيانات داخل المملكة العربية السعودية، كما يمتد تطبيقه خارج المملكة فيما يتعلق بالبيانات الشخصية لمواطنيها و المقيمين فيها.
ينطبق القانون على أي جهة أو مؤسسة تقوم بجمع أو معالجة البيانات الشخصية.