De AVG (van kracht per 25 mei 2018) verplicht tot een rechtsgeldige grondslag voor dataverwerking, transparantie via privacyverklaringen, dataminimalisatie, beveiligingsmaatregelen en meldplicht bij datalekken (72 uur). Betrokkenenrechten zijn inzagerecht, correctierecht, recht op vergetelheid en dataportabiliteit. Boetes kunnen oplopen tot 4% van de wereldwijde jaaromzet.
Meta ontving in 2023 een boete van €1,2 miljard voor het overdragen van Europese gebruikersdata naar Amerikaanse servers zonder adequaat beschermingsniveau. De zaak dwong technologiebedrijven wereldwijd hun data-transfermechanismen te herzien.