For at en amerikansk virksomhet skal bli vurdert må den ha sluttet seg til Data Privacy Framework (ec.europa.eu).

Man kan overføre personopplysninger innad i EU/EØS, mens det som hovedregel er forbudt å overføre personopplysninger ut av EU/EØS.