Tills nu har det bara funnits vaga regler kring hur CIA till exempel ska hantera det enorma flödet av data som finns på nätet om privatpersoner.
De nya reglerna berör bland annat hur insamlingen ska begränsas och slår fast att data om enskilda personer ska raderas inom fem år – oavsett om den har analyserats eller inte.