Статтею 14 України «Про захист персональних даних» визначено, що поширення персональних даних передбачає дії щодо передачі відомостей про фізичну особу із баз персональних даних за згодою суб'єкта персональних даних. Поширення персональних даних без згоди суб'єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини. Водночас стаття 16 Закону передбачає, що порядок доступу до персональних даних третіх осіб визначається умовами згоди суб'єкта персональних даних, наданої володільцю бази персональних даних на обробку цих даних, або відповідно до вимог закону. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону або неспроможна їх забезпечити.
Крім того, володілець бази персональних даних протягом 10-ти робочих днів повідомляє суб'єкта персональних даних про передачу його даних третій особі, якщо цього вимагають умови згоди суб'єкта персональних даних або інше не передбачено законом (ст. 21 Закону). Тобто якщо умовами згоди суб'єкта персональних даних передбачено вимогу щодо повідомлення його про передачу даних третім особам, володілець бази персональних даних зобов'язаний інформувати про таку передачу.
Однак повідомлення про передачу персональних даних не здійснюється, зокрема, у разі передачі персональних даних за запитами під час виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом або під час виконання органами державної влади та органами місцевого самоврядування своїх повноважень, передбачених законом (ст. 21 Закону).
Крім того, доступ третіх осіб до персональних даних фізичних осіб повинен здійснюватися з урахуванням вимог, встановлених ст. 16 Закону, у тому числі із зазначенням у запиті, що подається до володільця баз персональних даних, мети такого запиту.
Передача персональних даних іноземним суб'єктам здійснюється з урахуванням вимог ст. 29 Закону, якою визначено, що передача персональних даних іноземним суб'єктам відносин, пов'язаних із персональними даними, здійснюється лише за умов забезпечення належного захисту персональних даних, за наявності відповідного дозволу та у випадках, встановлених законом або міжнародним договором України, у порядку, встановленому законодавством.