巴基斯坦的立法機關正在考慮一項數據保護法案，該法案將生物識別技術定義為“敏感的個人數據”，並要求創建與生物識別數據有關的特殊權限的監管框架。
國際隱私（PI）說，該法案包含“模糊的例外，允許政府逃避責任並否認個人行使其訪問數據和提交投訴的權利的能力”，並且不會授予數據保護局足夠的獨立性來執行該法律。該法案還包含數據本地化條款，權利組將其稱為“令人擔憂的趨勢”的一部分。 PI還擔心“國家安全”，“公共利益”和“合法利益”術語在做很多工作，儘管對後兩個任期的前者和廣泛定義沒有定義。
2023年個人數據保護法案的草案在7月下旬獲得了聯邦內閣批准，並將在國民議會和參議院投票。
這版本於5月19日發布信息技術和電信部被描述為“最終”，是公眾提供的最新版本，儘管尚不清楚這是否與機櫃批准的版本相同。
PI說，在追踪該法案的製定的五年中，各種版本逐漸越來越接近國際實踐和數據保護原則。
該法案將建立國家個人數據保護委員會（NCPDP），該委員會將創建用於生物識別技術，數據洩露和審計的合規框架，數據保護影響評估，申訴補救和跨境數據共享，等待15個領域。它還提出了獲得允許處理18歲以下兒童數據的許可的要求，並為人們建立了訪問，糾正和刪除有關其數據的權利。
世界銀行評論說草稿需要修改將其與全球最佳實踐保持一致。
