GDPR

GDPR thay thế Chỉ thị Bảo vệ Dữ liệu năm 1995 và áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu cá nhân của những người ở Liên minh Châu Âu và Khu vực Kinh tế Châu Âu, bất kể bản thân tổ chức đó đặt trụ sở ở đâu. Phạm vi áp dụng ngoài lãnh thổ này có nghĩa là một công ty ở bất kỳ đâu trên thế giới đều có thể chịu sự điều chỉnh của quy định nếu công ty đó nhắm đến hoặc giám sát cư dân EU.

Về bản chất, quy định yêu cầu mọi hành vi xử lý dữ liệu cá nhân phải dựa trên một trong sáu cơ sở pháp lý: sự đồng ý, hợp đồng, nghĩa vụ pháp lý, lợi ích thiết yếu, nhiệm vụ công ích hoặc lợi ích hợp pháp. Quy định cũng ghi nhận các nguyên tắc như giới hạn mục đích, giảm thiểu dữ liệu, giới hạn lưu trữ, tính chính xác và trách nhiệm giải trình, đồng thời trao cho các cá nhân những quyền bao gồm quyền truy cập, đính chính, xóa bỏ, di chuyển dữ liệu và phản đối.

Việc thực thi do các cơ quan giám sát quốc gia (cơ quan bảo vệ dữ liệu) đảm nhiệm, được điều phối thông qua Ủy ban Bảo vệ Dữ liệu Châu Âu. Các mức phạt đối với vi phạm nghiêm trọng có thể lên tới 20 triệu euro hoặc 4 phần trăm tổng doanh thu hằng năm trên toàn cầu của công ty, tùy theo mức nào cao hơn, đó là lý do việc tuân thủ đã trở thành mối quan tâm ở cấp hội đồng quản trị đối với các doanh nghiệp toàn cầu.

Đối với các kỹ thuật như lấy dấu vân tay thiết bị và phân tích, GDPR tương tác với Chỉ thị ePrivacy (còn được gọi là "luật cookie"). Việc đọc hoặc ghi thông tin trên thiết bị của người dùng thường đòi hỏi sự đồng ý trừ khi điều đó là thực sự cần thiết cho một dịch vụ mà người dùng đã yêu cầu, trong khi việc xử lý về sau đối với bất kỳ dữ liệu cá nhân phát sinh nào vẫn phải đáp ứng các yêu cầu về cơ sở pháp lý và tính minh bạch của GDPR.