El Tractat de Lisboa (article 16, Tractat sobre el funcionament de la UE) disposa que la UE pot establir normes sobre protecció del tractament de dades de caràcter personal per les institucions, òrgans i organismes de la Unió, així com pels Estats membres en l'exercici de les activitats compreses en l'àmbit d'aplicació del Dret de la Unió.