2016年4月，《通用数据保护条例》(General Data Protection Regulation，GDPR)法案在欧盟通过，欧盟给各家公司两年的时间调整运营方式以符合新规，该法案将在2018年5月25日正式生效，该条例将取代1995年发布的《欧盟数据保护指令》，并直接适用于欧盟成员国。《通用数据保护条例》是一套新的欧盟处理、存储和管理个人数据的指导办法，条例对数据的生命周期的每一环节都作出了相应的规定，引入了新的概念、扩大了适用范围并增加了惩罚条款。根据《通用数据保护条例》第三条规定第二款规定：本法适用于对欧盟内的数据主体的个人数据处理，即使控制者和处理者没有设立在欧盟内，其处理行为：(a)发生在向欧盟内的数据主体提供商品或服务的过程中，无论此项商品或服务是否需要数据主体支付对价;或(b)是对数据主体发生在欧盟内的行为进行的监控的。因此，无论企业是否处于欧盟境内，只要在该地区范围内开展业务，提供产品或服务，都将会受到约束。此外，《通用数据保护条例》第五条详细规定了与个人数据处理相关的原则，需要注意的是个人数据的控制者应对所有数据直接负责，并负有证明其起到合理保管的义务。根据条例规定，在个人数据泄露的情况下，控制者不得延误，应在72小时之内向监管机构报告。同时，《通用数据保护条例》中规定力度较大的惩罚措施，对违反个人信息收集和使用的基本原则以及没有保障数据主体权利的数据控制人或使用人，最高可处以20,000,000欧元或全球营业额的4%(以较高者为准)作为罚款。