D'après les exceptions prévues par l'article 392 de la Loi n° 2017, seul le transfert de données à caractère personnel vers un Etat tiers ou une organisation internationale est possible à condition que la personne concernée ait expressément donné son consentement au transfert envisagé. Aussi, l'article 43 alinéa h de la Loi n° 2009 autorise le traitement de données concernant le transfert de données personnelles vers un autre Etat. Dans ce cas, les Etats de destination doivent fournir, pour contrôle et autorisation par la Commission Nationale de l'Informatique et des Libertés (CNIL), les preuves de l'existence de clauses contractuelles ou de règles internes dont fait l'objet le traitement Toutefois elle a été abrogée par la Loi n° 2017 portant sur le numérique. Selon la nouvelle Loi n° 2017, les transferts sont autorisés uniquement lorsque, entre autres, il y a existence d'un consentement expressément donné par la personne concernée; lorsqu'il s'agit d'une condition nécessaire à l'exécution ou à la conclusion d'un contrat; etc. Ces éléments doivent être contrôlés par l'Autorité de protection des données à caractère personnel (APDP)