Auf EU-Ebene regelt hauptsächlich die Datenschutzrichtlinie 95/46/EG sowie die Charta der Grundrechte der Europäischen Union den Umgang mit persönlichen und sensiblen Daten.

Datenschutzrichtlinie 95/46/EG

Die EU-Datenschutzrichtlinie wurde 1995 vom Rat der EU verabschiedet. Bis 2006 haben alle Mitgliedstaaten ihr Recht daran angepasst, auch die neu beigetretenen Länder. Die Richtlinie unternimmt den Versuch ein komplexes Feld zu klären, das sowohl die Erhebung von Zensusdaten, wissenschaftlichen Untersuchungen, die Erfassung von Personendaten in staatlichen oder privaten Institutionen sowie Mitgliederverzeichnissen und Polizeidaten umfasst. Hierfür sind jeweils spezifizierte   Ausnahmeregelungen und Einschränkungen in der Erhebung und Verarbeitung von Daten nötig.

In der Richtlinie werden  personenbezogene Daten definiert als Daten, die eine Person identifizierbar machen. Die Bestimmungen zur Nutzung dieser sind sowohl vom öffentlichen als auch vom privaten Sektor einzuhalten; die Bereiche innere Sicherheit, Verteidigung und Strafrecht sind allerdings davon ausgeschlossen.

Daten müssen eindeutig und rechtmäßig erhoben werden. Die einzelnen Mitgliedsstaaten haben genauer zu spezifizieren, unter welchen Bedingungen diese rechtmäßig verarbeitet werden dürfen.

Die Richtlinie definiert welche Kategorien als sensible Daten zu behandeln sind. Hierzu gehören die ethnische Herkunft, politische Meinung, religiöse oder philosophische Überzeugung, die Gewerkschaftszugehörigkeit sowie Daten zur Gesundheit oder dem Sexualleben.

Die Bedingungen für die Rechtmäßigkeit der Verarbeitung von personenbezogenen und sensiblen Daten sind nur dann erfüllt, wenn diese direkt von der betreffenden Person und mit deren Einverständnis erhoben wurden (Freiwilligkeit). In manchen Ländern der EU wird eine schriftliche Einwilligung benötigt, in anderen reicht eine mündliche Zustimmung aus. 

Es steht der befragten Person zu, über die Weiterverarbeitung ihrer Daten in verständlicher Art und Weise oder Sprache informiert zu werden, was sich aus dem Grundsatz ‚nach Treu und Glauben‘ ableitet. Weiter ist festgelegt, dass die Erhebung, wie staatlich erhobene Statistiken, wissenschaftliche Forschung oder die Aufdeckung von Diskriminierung, grundlegendem öffentlichem Interesse dienen soll.

Charta der Grundrechte

Die Charta der Grundrechte erfüllt die Funktion einer Verfassung für die Europäische Union und steht in der Tradition der Europäischen Menschenrechtskonvention des Europarates. Sie verbrieft das Recht jeder Person auf Achtung ihres Privat- und Familienlebens. Der Schutz personenbezogener Daten ist in Artikel 8 geregelt, die nur mit Einwilligung der betroffenen Person und auf legitimer gesetzlicher Grundlage erhoben werden dürfen. Außerdem wird Personen das Recht auf Einsicht und Berichtigung ihrer Daten zugestanden.