GDPR

ה-GDPR החליף את הנחיית הגנת המידע משנת 1995 וחל על כל ארגון המעבד נתונים אישיים של אנשים באיחוד האירופי ובאזור הכלכלי האירופי, ללא קשר למקום שבו הארגון עצמו ממוקם. ההיקף החוץ-טריטוריאלי הזה משמעו שחברה בכל מקום בעולם עשויה להיכנס לתחולת הרגולציה אם היא מכוונת לתושבי האיחוד האירופי או מנטרת את התנהגותם.

בבסיסה, הרגולציה מחייבת שכל פעולת עיבוד של נתונים אישיים תישען על אחד משישה בסיסים חוקיים: הסכמה, חוזה, חובה חוקית, אינטרסים חיוניים, משימה ציבורית או אינטרסים לגיטימיים. היא גם מעגנת עקרונות כגון הגבלת מטרה, מזעור נתונים, הגבלת אחסון, דיוק ואחריותיות, ומעניקה ליחידים זכויות הכוללות גישה, תיקון, מחיקה, ניוד והתנגדות.

האכיפה מתבצעת בידי רשויות פיקוח לאומיות (רשויות הגנת מידע), המתואמות באמצעות המועצה האירופית להגנת המידע. עונשים על הפרות חמורות יכולים להגיע עד 20 מיליון אירו או 4 אחוזים ממחזור המכירות השנתי הכלל-עולמי של החברה, לפי הגבוה מביניהם, וזו הסיבה שהציות הפך לדאגה ברמת הדירקטוריון עבור עסקים גלובליים.

עבור טכניקות כגון טביעת אצבע של מכשיר וניתוח נתונים, ה-GDPR מתקשר עם הנחיית ePrivacy (מה שמכונה "חוק העוגיות"). קריאה או כתיבה של מידע על מכשיר של משתמש מחייבת בדרך כלל הסכמה, אלא אם כן היא הכרחית בהחלט עבור שירות שהמשתמש ביקש, בעוד שהעיבוד במורד הזרם של כל נתון אישי הנובע מכך עדיין חייב לעמוד בדרישות הבסיס החוקי והשקיפות של ה-GDPR.