Les données personnelles font l'objet d'une protection particulière, au nom de la vie privée et des libertés individuelles.
Cette protection s'applique à tout fichier ou traitement automatisé contenant des informations personnelles, quel que soit le cadre dans lequel ces informations sont récoltées (commercial, travail, ...). Les responsables sont alors obligés de déclarer les fichiers concernés auprès de la Cnil avant leur création.
Certains fichiers demandent même une autorisation préalable de la Commission, lorsque les informations collectées sont particulièrement sensibles (concernant l'opinion politique, la religion, l'origine, ...), que le fichier concerné a un but précis (les études statistiques par exemple) ou que ces données sont transférées hors de l'Union européenne.
Le manquement à ces obligations fait encourir à l'entreprise concernée des sanctions aussi bien pénales qu'administratives.