Il trasferimento di dati personali verso Paesi al di fuori dell'Unione Europea richiede, secondo il GDPR, una base giuridica specifica che garantisca un livello di protezione adeguato ai dati trasferiti, comparabile a quello garantito all'interno dell'Unione.
Dopo l'invalidazione giudiziale di precedenti meccanismi di trasferimento semplificato verso gli Stati Uniti, le clausole contrattuali standard approvate dalla Commissione Europea sono diventate lo strumento principale utilizzato dalle imprese per legittimare i trasferimenti internazionali di dati personali.
L'adozione delle clausole contrattuali standard non è però sufficiente da sola: la giurisprudenza europea richiede che il soggetto che trasferisce i dati conduca una valutazione d'impatto specifica sul Paese di destinazione, verificando se la normativa locale, in particolare quella relativa all'accesso da parte delle autorità pubbliche, garantisce effettivamente un livello di protezione adeguato nella pratica, non solo sulla carta contrattuale.
Quando questa valutazione evidenzia rischi concreti — come nel caso di Paesi con normative di sorveglianza particolarmente estese — le clausole contrattuali standard devono essere integrate con misure supplementari tecniche o organizzative, come la cifratura dei dati con chiavi non accessibili al destinatario estero, per garantire una protezione effettiva e non solo formale.