I januar 2012 fremsatte Europa-Kommissionen forslag til en databeskyttelsespakke. Pakken blev endeligt vedtaget den 14. april 2016. Pakken består navnlig af den generelle forordning nr. 2016/679 om beskyttelse af personoplysninger, som gælder i både den private og offentlige sektor (databeskyttelsesforordningen). Forordningen fandt anvendelse fra den 25. maj 2018. Samtidig indførtes lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven). Herudover består databeskyttelsespakken af direktiv nr. 2016/680 om beskyttelse af personoplysninger, som skal gælde for retshåndhævelsesområdet (retshåndhævelsesdirektivet). Retshåndhævelsesdirektivet er gennemført i dansk ret ved lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger. Databeskyttelsesforordningen og databeskyttelsesloven samt retshåndhævelsesloven er sideordnende databeskyttelsesretlige regelsæt, hvilket indebærer, at en given behandling af personoplysninger alene kan være omfattet af ét af disse regelsæt.
Lov om retshåndhævende myndigheders behandling af personoplysninger gælder for politiets, anklagemyndighedens, herunder den militære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politiklagemyndigheds og domstolenes behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og for anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, når behandlingen foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte mod eller forebygge trusler mod den offentlige sikkerhed.
Databeskyttelsesforordningen og databeskyttelsesloven gælder for øvrige myndigheder samt de retshåndhævende myndigheder i det omfang, de behandler personoplysninger uden for retshåndhævelseslovens anvendelsesområde, f.eks. behandling af personoplysninger, der finder sted i forbindelse med personalesager. Databeskyttelsesforordningen har direkte virkning i Danmark, hvilket betyder, at der som udgangspunkt ikke må være anden dansk lovgivning, der regulerer behandling af personoplysninger, i det omfang dette er reguleret i forordningen. Databeskyttelsesforordningen giver dog inden for en lang række områder mulighed for, at der i national ret kan fastsættes bestemmelser for at tilpasse anvendelsen af forordningen.
Ved udarbejdelse af administrative forskrifter, der f.eks. er fastsat på baggrund af en bemyndigelse i lov, som rummer mulighed for at fastsætte regler om behandling af personoplysninger, skal forholdet til de databeskyttelsesretlige regler overvejes.