Il concetto di “larga scala” è del tutto generico per cui, anche se il Regolamento fornisce alcune indicazioni, restano molteplici zone grigie di cui probabilmente avremo chiarimenti quando le attività saranno a regime. In linea di massima si intende per trattamenti su larga scala la gestione di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato. Esiste, però, un’ampia zona “di attenzione” in cui si collocano attività per cui risulta impossibile precisare la quantità di dati oggetto di trattamento o il numero di interessati.

Ad ogni modo, nel definire i propri trattamenti ed i relativi campi di azione, è buona norma considerare:

• il numero di soggetti interessati dal trattamento, rispetto alla popolazione di riferimento
• il volume dei dati e/o le diverse tipologie di dati oggetto di trattamento
• la durata dell'attività di trattamento
• l’estensione geografica dell'attività di trattamento.

Di sicuro rientrano nei trattamenti su larga scala le attività di trattamento di:

• dati relativi a pazienti svolte da un ospedale nell’ambito delle ordinarie attività
• dati relativi agli spostamenti di utenti di un servizio di trasporto pubblico cittadino (per esempio, il loro tracciamento attraverso titoli di viaggio)
• dati di geolocalizzazione raccolti in tempo reale per finalità statistiche da un responsabile specializzato nella prestazione di servizi di questo tipo rispetto ai clienti di una catena internazionale di fast food
• dati relativi alla clientela da parte di una compagnia assicurativa o di una banca nell’ambito delle ordinarie attività
• dati personali da parte di un motore di ricerca per finalità di pubblicità comportamentale
• dati (metadati, contenuti, ubicazione) da parte di fornitori di servizi telefonici o telematici.