Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych czeka jeszcze na zatwierdzenie przez Radę i PE.

Nowelizacja przykładowo uznaje adres IP za daną osobową, obejmuje też ochroną tzw. dane biometryczne. Przepisy dyrektywy obejmą też podmioty oferujące towary lub usługi na terenie UE, a mające siedzibę poza nią.

Organy ochrony danych zyskają też możliwość nakładania wysokich kar na administratorów, którzy naruszą przepisy – nawet do 20 mln euro lub 4 proc. rocznego globalnego obrotu firmy. Osoby, których dane są zbierane, będą mogły np.: sprzeciwić się profilowaniu oraz żądać kopii danych. Nowe przepisy zostaną opublikowane wiosną 2016 r., zaczną jednak obowiązywać dopiero za dwa lata.