Direktivet regulerer i utgangspunktet all elektronisk behandling av personopplysninger (definert i artikkel 2) og behandling av opplysninger som inngår i et personregister. Medlemsstatene må sikre at behandlingen skjer med det beskyttelsesnivå direktivet angir. Medlemsstatene kan ikke av personvernhensyn fastsette strengere regler som hindrer flyten av personopplysninger innen EØS-området (artikkel 1).