Weltweit wurden eine Reihe von Gesetzen erlassen, um Fragen des Datenschutzes und der Privatsphäre zu regeln. Die Datenschutz-Grundverordnung (DSGVO) gilt für viele als das schärfste Datenschutzgesetz der Welt. Obwohl es von und für die Europäische Union (EU) verfasst wurde, erlegt es weltweit Organisationen, die Daten über EU-Bürger sammeln, Verpflichtungen auf. Die Verordnung trat am 25. Mai 2018 in Kraft. Die EU zögert nicht, jede Organisation, die gegen ihre Datenschutzstandards verstößt, mit Geldstrafen zu belegen, die viele Millionen Euro betragen können. In den Vereinigten Staaten gibt es eine Reihe von nationalen und regionalen Gesetzen, die auf verschiedene Branchen und Aspekte des Datenschutzes abzielen, beispielsweise Gesundheitsdaten (HIPAA), Finanzinformationen (PCI) oder Daten, die von oder über Kinder gesammelt werden. Einige Bundesstaaten, insbesondere Kalifornien mit dem California Consumer Privacy Act (CCPA), haben strenge Datenschutzgesetze erlassen. Allerdings unterscheidet sich der Datenschutz in den USA erheblich von dem in der EU, da er dezentralisiert ist – es gibt keine zentrale Regierungsbehörde, die die Einhaltung vorschreibt. Von den Organisationen wird daher erwartet, dass sie sich selbst regulieren. Tatsächlich können Unternehmen aufgrund dieser etwas laschen Herangehensweise an Datenschutzbestimmungen in vielen Staaten Daten nutzen, verkaufen oder weitergeben, ohne die Betroffenen zu benachrichtigen oder sie überhaupt zu berücksichtigen. Im Juni 2022 wurde im US-Repräsentantenhaus der American Data Privacy and Protection Act eingeführt. Dieser Gesetzentwurf enthält Vorgaben, wie Unternehmen Verbraucherdaten speichern und nutzen dürfen. Das Gesetz umfasst viele gleiche Grundsätze wie die DSGVO, z. B. Datenminimierung, individuelles Eigentum und privates Klagerecht. Die Last der Evaluierung der Programme jeder Organisation liegt jedoch bei der Organisation selbst. Das heißt mit anderen Worten: Selbstregulierung. Seitdem der Gesetzentwurf in den Ausschuss gelangt ist, wurden keine weiteren Maßnahmen ergriffen. Im Vereinigten Königreich regelt der Data Protection Act 2018 den Datenschutz. Er ersetzt ein früheres Gesetz aus dem Jahr 1998, das auf der DSGVO der EU basiert. Die Datenschutzgesetze und -vorschriften in asiatischen Ländern variieren ebenfalls. Jedes Land hat seinen eigenen Governance-Rahmen. Da diese Gesetze sich ständig weiterentwickeln, ist es für Organisationen von entscheidender Bedeutung, die Anforderungen jedes Landes zu verfolgen, um innerhalb dieser Gerichtsbarkeiten tätig sein zu können. Im Jahr 2020 haben beispielsweise China, Kambodscha und Sri Lanka Cybersicherheitsvorschriften und -gesetze mit Schwerpunkt auf personenbezogenen Daten vorgeschlagen oder eingeführt. Chinas Gesetz zum Schutz personenbezogener Daten (PIPL) ist am 1. November 2021 in Kraft getreten. Der Datenschutz in Japan wird durch das Gesetz zum Schutz personenbezogener Daten (APPI) geregelt. In Singapur wiederum gilt der PDPA (Personal Data Protection Act), während Indien 2019 das Personal Data Protection Bill zum Schutz personenbezogener Daten erlassen hat.