The Lisbon Treaty (Article 16, Treaty on the Functioning of the EU) says that the EU can make rules on the protection of personal data processed by EU institutions, bodies, offices and agencies, and by the Member States when carrying out activities that fall within the scope of EU law.
Lissaboni lepingu kohaselt (ELi toimimise leping, artikkel 16) võib EL kehtestada selliste isikuandmete kaitse eeskirjad, mida töödeldakse ELi institutsioonides, organites ja asutustes ning liikmesriikides ELi õiguse reguleerimisalasse kuuluva tegevuse puhul.