The Lisbon Treaty (Article 16, Treaty on the Functioning of the EU) says that the EU can make rules on the protection of personal data processed by EU institutions, bodies, offices and agencies, and by the Member States when carrying out activities that fall within the scope of EU law.
Het Verdrag van Lissabon (Verdrag betreffende de werking van de EU, artikel 16) bepaalt dat de EU regels kan vaststellen betreffende de bescherming van persoonsgegevens die worden verwerkt door de instellingen, organen en instanties van de EU, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen het toepassingsgebied van het EU-recht vallen.