Le paquet législatif relatif à la protection des données personnelles comprend un règlement relatif aux fichiers civils et commerciaux et une directive relative aux fichiers de souveraineté. Après quatre ans et demi d'intenses négociations techniques, il a été adopté le 14 avril 2016. Cette réforme doit permettre de garantir, à l'échelle de l'Union européenne, un haut degré de protection des données personnelles, renforcer la confiance dans le numérique, et relever les défis de la mondialisation et des nouvelles technologies. La France et l'Allemagne, qui ont été particulièrement actives tout au long des négociations, ont proposé un mécanisme de « guichet unique » reposant, d'une part, sur le maintien de la proximité pour les personnes (consécration d'une compétence des autorités de contrôle dès lors qu'un établissement du responsable de traitement ou des personnes concernées se trouveront sur leur territoire) et, d'autre part, sur une saisine du Comité européen de protection des données (CEPD) en cas de désaccord d'une autorité de contrôle concernée avec le projet élaboré par l'autorité chef de file. Le CEPD est doté d'un pouvoir contraignant. En ce qui concerne le champ d'application extraterritorial, cet instrument s'applique à tous les responsables de traitements exerçant leurs activités sur le territoire européen, où qu'ils soient établis dans le monde. En outre, les transferts de données personnelles vers les Etats tiers seront encadrés par des garanties strictes assurant un niveau de protection comparable à celui garanti dans l'Union européenne. Enfin, concernant l'articulation entre le droit à l'oubli numérique et la liberté d'expression, la France a notamment rappelé son attachement à ce droit et à son effectivité, tout en attirant l'attention sur certaines catégories d'internautes, les mineurs en particulier.