Nach Artikel 16 Absatz 2 des Vertrags über die Arbeitsweise der Europäischen Union obliegt es dem Rat und dem Europäischen Parlament, Vorschriften über den Datenschutz durch die Organe, Einrichtungen und sonstigen Stellen der Union sowie durch die Mitgliedstaaten, soweit diese Tätigkeiten ausüben, die in den Anwendungsbereich des Unionsrechts fallen, sowie über den Datenschutz durch den privaten Sektor zu erlassen.
Artikel 16, lid 2, van het Verdrag betreffende de werking van de Europese Unie bepaalt dat de Raad en het Europees Parlement de voorschriften betreffende gegevensbescherming door de instellingen, organen en instanties van de Unie, door de lidstaten bij activiteiten die binnen het toepassingsgebied van het recht van de Unie vallen, en door particuliere partijen.