Todos os dias, há uma imensa quantidade de dados pessoais que são recolhidos, coligidos e processados. É esse o caso das informações recolhidas através dos pagamentos por cartão de crédito, do rastreio do movimento dos telemóveis, do registo das ligações telefónicas, do processamento de dados obtidos, por exemplo, em formulários previamente preenchidos, e de outros meios. A nível da UE, a ameaça de uma possível utilização indevida de dados pessoais é combatida por duas directivas, nomeadamente a Directiva 95/46/CE sobre a protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e a Directiva 97/66/CE relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das telecomunicações. Nenhuma destas directivas se aplica às instituições da UE. Todavia, é necessário um conjunto de normas de protecção de dados para o tratamento pelas Instituições não apenas dos dados internos (tais como os relativos às suas actividades autónomas, ao seu orçamento e aos relatórios de notação do pessoal), mas também dos dados respeitantes aos cidadãos e coligidos no exercício das competências da UE (por exemplo, concessão de subsídios, investigação da conformidade com as regras da concorrência, concursos públicos, investigação e estudos estatísticos, dados relacionados com a elaboração e aplicação de legislação).