A nemzetközi adattovábbítást – személyes adatok EGT-n kívül tartózkodó személy részére történő hozzáférhetővé tételét – az európai adatvédelmi irányelv (25. cikk (1)) bizonyos kivételekkel csak abban az esetben engedélyezi, ha biztosított a személyes adatok megfelelő szintű védelme.
A magyar adatvédelmi törvény 9. §-a a fenti rendelkezést akként ülteti át a magyar jogba, hogy nemzetközi adattovábbításhoz az adatalany kifejezett hozzájárulását követeli meg, vagy abban az esetben engedélyezi, ha az adattovábbítást törvény lehetővé teszi, és a harmadik országban az átadott adatok kezelése, illetőleg feldolgozása során biztosított a személyes adatok megfelelő szintű védelme. A személyes adatok megfelelő szintű védelmének biztosítása tehát előfeltétele az adattovábbítás jogszerűségének.
Ennek gyakorlati jelentősége a következő: például a gazdasági társaságokról szóló törvény 27. § (2) előírja, hogy a vezető tisztségviselők kötelesek a tagok (részvényesek) kérésére a társaság ügyeiről felvilágosítást adni, a társaság üzleti könyveibe és irataiba való betekintést lehetővé tenni. Abban az esetben, ha a felvilágosítást harmadik országban található tag/anyavállalat kéri és a felvilágosítás személyes adatokat tartalmazna, a vezető tisztségviselő csak abban az esetben adhatja át a vonatkozó adatokat, ha a harmadik országban található tagnak történő adattovábbítás keretében biztosítják a személyes adatok megfelelő szintű védelmét.
Az adatvédelmi törvény 9. § (2) bekezdése többek között abban az esetben tekinti biztosítottnak a személyes adatok megfelelő szintű védelmét a nemzetközi adattovábbítással kapcsolatosan, ha az Európai Közösségek Bizottsága megállapítja, hogy a harmadik ország megfelelő szintű védelmet nyújt. E bizottsági határozat jogalapját az irányelv 25. cikk (6) bekezdése képezi. A Bizottság vonatkozó javaslatát az adatvédelmi hatóságok tanácsadó csoportja, a 29. számú adatvédelmi munkacsoport és a 31. cikk szerinti bizottság véleményezése előz meg, az Európai Parlament ellenőrizheti, majd a biztosok kollégiuma ezt követően fogadja el a vonatkozó határozatát, melyet adatvédelemre / adatforgalomra vonatkozó nemzetközi szerződés megkötése is kísérhet. Eme döntés gyakorlati jelentősége, hogy szinte a belföldi adattovábbítással teszi egyenrangúvá a személyes adatok továbbítását, ami különösen kedvező hatással járhat a kereskedelmi és pénzügyi kapcsolatokra.
Az Európai Bizottság – a mai napig bezárólag – a következő országokkal kapcsolatosan állapította meg, hogy azok megfelelő szintű védelmet biztosítanak: Argentína, Svájc, Guernsey, Man-sziget, Kanada (olyan szervezetek tekintetében, melyek kereskedelmi tevékenységük keretében személyes adatot kezelnek, valamint PNR adatok továbbítására), Ausztrália (PNR adatokra), Jersey, Feröer-szigetek.
Az Amerikai Egyesült Államokban az Európai Bizottság szerint két esetben biztosított a megfelelő védelem:
- ha az adattovábbítás olyan amerikai vállalat részére történik, amely szerepel a Biztonságos Kikötő (Safe Harbor) listán vagy
- ha utas-nyilvántartási (PNR) adatokat továbbítanak az Egyesült Államok Vámügyi és Határvédelmi Irodájának.
A nemzetközi védelmi szint biztosításával kapcsolatos döntés leginkább a nemzetközi politika területére tartozik, melyet Izrael ügye is mutat.
A közel jövőben megfelelő védelmi szint biztosításával kapcsolatos döntés várományosa Izrael, amely ország esetében a 29. számú adatvédelmi munkacsoport 2009. december 1. napján már megállapította, hogy jogrendszere megfelelő védelmet biztosít. Írország azonban a Tanácsban vétót jelentett be az Izraellel megkötendő nemzetközi szerződéssel kapcsolatosan, ami annak a politikai következménye, hogy idén januárban izraeli titkos ügynökök európai, többek között nyolc hamis ír útlevél felhasználásával követtek el merényletet egy állítólagos hamász terroristával szemben Dubaiban. Az útlevelek hamisítására izraeli hatóságok részére továbbított adatokkal összefüggésben került sor, Írország ezért komoly kételyt fogalmazott meg, hogy Izrael biztosítja-e a személyes adatok megfelelő szintű védelmét. A diplomáciai pengeváltás eredményeként Írország júniusban már kutasított egy izraeli diplomatát Dublinból. Izrael a dubai merénylettel kapcsolatosan eddig nem tett elismerést, hogy ebben részes lett volna.
