ГСЗПД відмітила, що законодавство України про захист персональних даних не містить заборони відносно зберігання персональних даних на території інших держав, зокрема на видалених серверах, що знаходяться в дата-центрах на території Німеччини і США, але встановлює певні вимоги до трансграничної передачі персональних даних.
Держави - учасниці Європейського економічного простору, а також держави, що підписали Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних, визнаються такими, що забезпечують належний рівень захисту персональних даних (Німеччина приєдналася до Конвенції 01.10.85).
США не є державою - учасницею Європейського економічного простору і не підписали Конвенцію Ради Європи про захист осіб у зв'язку з автоматизованою обробкою персональних даних. Передача власником персональних цих відомостей про фізичних осіб розпорядникові персональних даних повинна здійснюватися на підставі договору, що забезпечує реалізацію прав фізичних осіб як суб'єктів персональних даних, зокрема таких:
- знати місцезнаходження бази персональних даних, її розпорядника і призначення;
- на доступ до своїх персональних даних;
- пред'являти мотивовану вимогу відносно зміни або знищення своїх персональних даних будь-яким власником і розпорядником персональних даних, якщо ці дані обробляються незаконно або є недостовірними;
- поводитися із скаргами на обробку своїх персональних даних, у тому числі в уповноважений державний орган з питань захисту персональних даних, або до суду.
Для країн, що не ратифікували згадану вище Конвенцію, зокрема для США, Служба рекомендує використовувати Угоду про передачу персональних даних, розроблене Американською торговою палатою в Україні і погоджене Службою, таке, що визначає зобов'язання компаній-експортерів і компаній-імпортерів забезпечувати належний захист персональних даних.
Базові положення такої угоди можуть використовуватися власником персональних даних в договорі з розпорядником персональних даних. Договір є зобов'язуючим для сторони, якій передаються персональні дані, відносно процедур забезпечення прав суб'єктів персональних даних і належного рівня захисту їх персональних даних (лист від 03.09.2013 р. № 10/2306-13).
