L'attuale normativa in materia di Data Protection non prevede espressamente il concetto di privacy by design né di privacy by default. La direttiva europea però impone al titolare del trattamento l'adozione di misure tecniche od organizzative adeguate al fine di proteggere i dati personali da trattamenti illeciti.

Il legislatore italiano introduce, con la finanziaria 2018, con la scusa di attuare il Regolamento europeo in materia di protezione dei dati personali che entrerà in vigore a maggio 2018, una regolamentazione dei legittimi interessi del titolare del trattamento che appare in contrasto con il regolamento stesso. 

Con un annuncio del 22 marzo Google modifica la politica in tema di pubblicità personalizzata, assegnando ai publisher (i siti web) l'incarico di ottenere il consenso dagli utenti finali. 

Dopo una lunga gestazione, è stato adottato l’8 agosto (qui il comunicato stampa) il decreto (decreto 101 del 10 agosto 2018) di adeguamento della normativa nazionale al Regolamento europeo in materia di protezione dei dati personali (GDPR). Il testo è stato pubblicato sulla Gazzetta Ufficiale del 4 settembre, ed entra in vigore il 19 settembre.