Парламентът прие окончателно промените в Закона за личните данни. Законопроектът с вносител Министерски съвет беше приет на първо четене  на 19 септември 2018 г. В срок до 1 година след влизането в сила на закона Комисията за защита на личните данни трябва да приеме наредбите за акредитация по европейската директива за защита на личните данни.

Депутатите решиха администратор или обработващ лични данни да може да копира документ за самоличност, свидетелство за управление на МПС или документи са пребиваване, само ако това е предвидено със закон. Лични данни, предоставени без правно основание и противоречащи на европейския регламент за защита на личните данни, ще трябва да се връщат или унищожават. 

Обработването на данни на ненавършили 14 години ще може да става само след съгласие на родителя. Работодателите няма да могат да държат лични данни на участници в процедура за избор на персонал за срок по-дълъг от 6 месеца, освен ако не им е дадено съгласие за по-дълъг срок. Гражданите ще могат да сезират Комисията за защита на личните данни, ако правата им са били нарушени. В 3-месечен срок комисията трябва да ги информира за напредъка по жалбите.

В случай на нарушение, което може да доведе до риск за правата на субектите на данни, администраторът трябва да уведоми комисията в срок до 72 часа. Образуваните до 25 май 2018 г. и неприключили до влизането в сила на закона производства за нарушения ще се довършват по досегашния ред. 

По закона за МВР се разрешава обработването на лични данни, разкриващи расов или етнически произход, политически възгледи или религиозни убеждения. Митническите служители ще могат да обработват лични данни, получени от други органи. При обработване на данни по отношение на задължения за ДДС от внос и акцизи митническите служители могат да не искат съгласието на физическото лице и да не го информират преди и по време на обработването на личните му данни.

 По закона за ДАНС субектите на данни могат да поискат да им се предостави информация за обработваните за тях лични данни. Това искане може да се ограничи, да се забави или да не се предостави, ако би засегнало разкриването на терористични или тежки престъпления. Срокът за произнасяне по искането е 60 дни. Обработването на лични данни за превенция на изпирането на пари и финансирането на тероризма ще се смята за въпрос от обществен интерес.