Hovedregelen er at opplysningene bare kan overføres til mottakere i stater som sikrer en forsvarlig behandling av personopplysningene, jf. personopplysningsloven § 29. Det fremgår uttrykkelig av loven at stater som har gjennomført direktivet, oppfyller kravene til forsvarlig behandling. Ved overføring til mottakere i stater utenfor EØS-området, såkalte tredjeland, må det vurderes konkret om mottakerstaten oppfyller vilkåret om å sikre en ”forsvarlig behandling” av personopplysningene. I henhold til personverndirektivet artikkel 26 nr. 4 kan Kommisjonen fastsette standardkontraktbetingelser som innebærer tilstrekkelige garantier for beskyttelse av personopplysninger ved overføring av opplysninger til tredjeland. Bruken av disse er frivillig i og med at de nå vedtatte standardkontraktbetingelser kun er en av flere muligheter som i henhold til direktivet kan benyttes ved overføring av personopplysninger til tredjeland.

Norge er bundet av vedtakene dersom vi ikke reserverer oss ved å varsle Kommisjonen før vedtaket trer i kraft, jf. EØS-komiteens beslutning nr. 83/1999 om endring av EØS-avtalens protokoll 37 og vedlegg XI, jf. St.prp. nr. 34 (1999–2000). Gis ikke slikt varsel, er Norge bundet av det aktuelle vedtaket inntil videre. Dersom en avtale om innlemmelse i EØS-avtalen av vedtaket ikke kan komme i stand i EØS-komiteen innen 12 måneder etter at tiltakene trådte i kraft, kan Norge slutte å rette seg etter vedtaket.

Vedtaket faller inn under § 6-1 i personopplysningsforskriften, og det er derfor ikke nødvendig å supplere personopplysningsloven eller forskriften i dette tilfellet.

Sakkyndige instansers merknader
Vedtaket har vært forelagt for Datatilsynet. Datatilsynet anser standardkontraktbetingelsene som et nyttig hjelpemiddel for partene i eksport- og importsituasjon av personopplysninger. Moderniseringsdepartementet har videre gitt sin tilslutning.