Kary mogą sięgać pięciu procent rocznego obrotu przedsiębiorstw, które niezgodnie z prawem będą gromadzić i udostępniać dane osobowe osób fizycznych. Ostateczne rekomendacje w tej sprawie mogą być przyjęte w Brukseli jeszcze w tym roku i po okresie przygotowawczym będą jednolite dla wszystkich 28 krajów Unii Europejskiej.