EU 차원에서는 정보보호법(data protection law)이 그러한 개인정보의 유출에 관해 규제하고 있다. 하지만, 이러한 정보보호법(data protection (DP) law- Directive 95)은 누구든지 인터넷상에서 접근할 수 있는 정보의 사적 수집, 처리에 적용되는 것이 아니라 접근이 제한된 정보를 처리하고 있는 공적․ 사적 기관, ‘개인정보 관리자(Personal Data Controller)’에게 적용되는 법이다. 이 때 ‘개인정보 관리자’는 SNS 제공사업자를 포함하는데, EU는 이 문언의 해석범위를 지역적, 대상적으로 확대하여 정보보호법의 적용범위를 넓혀가고 있다. 지역적으로 ‘개인정보 관리자’는 주사무소(headquarters)가 EU 영토 밖에 있는 미국회사인 마이스페이스(MySpace), 페이스북(Facebook)을 포함한다. EU 개인정보보호 사무국(Data Protection Working Party)은 SNS 자체가 EU 밖에서 제공되더라도 ‘쿠키(cookies)가 EU 내에 있는 웹페이지 방문자의 컴퓨터에 있다면 그러한 컴퓨터는 자동화된 장치로서 자격을 갖추며 EU와 회원국의 정보보호법을 적용할 수 있게 해 준다’는 점을 근거로 외국 소셜 네트워크서비스 제공자에도 EU법과 회원국의 법이 적용될 수 있음을 제시하였다. 이러한 논리는 베를린 항소법원 등 EU회원국 내의 지역 법원에서 수용되고 있다.
EU 차원에서의 정보보호법은 정보의 사적 수집, 처리에 적용이 되는 것이 아니라 접근이 제한된 정보의 처리를 담당하는 개인정보 관리자에 적용되는 법이다. 여기에는 SNS 제공 사업자도 포함하는데 SNS 자체가 EU 밖에서 제공되더라도 쿠키가 EU 내에 있는 방문자의 컴퓨터에 있다면 정보보호법의 적용을 받을 수 있다.