Når behandling af persondata foregår udenfor EU, men på vegne af en virksomhed i EU, så må dette kun ske hvis behandlingen som foretages uden for EU efterlever databeskyttelsesforordningen.
Kommissionen kan træffe en generel beslutning om at et tredjeland, et område eller en sektor i et tredjeland har et tilstrækkeligt beskyttelsesniveau, hvilket derfor tillader overførsel af personoplysninger.
Ved at stille fornødne garantier for behandlingen af personoplysninger i tredjelandet, så kan der ske en overførsel af personoplysninger til et tredjeland.