Regolamento UE 2016/679: piena applicazione entro 25 maggio 2018.
Il regolamento conferma che ogni trattamento deve trovare fondamento in un'idonea base giuridica; i fondamenti di liceità del trattamento sono indicati all'art. 6 del regolamento e coincidono, in linea di massima, con quelli previsti attualmente dal Codice privacy - d.lgs. 196/2003 (consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati).
Per i dati "sensibili" il consenso DEVE essere "esplicito"; lo stesso dicasi per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione). I dati sensibili sono quelli che possono rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, lo stato di salute e la vita sessuale.
Il consenso dei minori è valido a partire dai 16 anni e prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci. In tutti i casi il consenso deve essere libero, specifico, informato e inequivocabile; non è ammesso il consenso tacito o presunto (no a caselle pre-spuntate su un modulo) e deve essere manifestato attraverso "dichiarazione o azione positiva inequivocabile"