Zasadą jest, że przekazanie danych osobowych do państwa trzeciego (poza EOG) może nastąpić tylko wtedy, gdy państwo docelowe zapewnia na swoim terytorium odpowiedni poziom ochrony danych osobowych (art. 47 ust. 1 ustawy). Między innymi art. 47 ust. 2 oraz ust. 3 ustawy wskazują na okoliczności, które umożliwiają taki transfer bez względu na poziom ochrony w państwie trzecim.