Відповідно до частини третьої статті 29 Закону України «Про захист персональних даних» (далі — Закон) передача персональних даних суб'єктам відносин, пов'язаних із персональними даними, здійснюється лише за умови забезпечення належного захисту персональних даних, за наявності відповідного дозволу та у випадках, установлених законом або міжнародним договором України, у порядку, встановленому законодавством. Персональні дані не можуть поширюватися з іншою метою, ніж та, з якою вони були зібрані.
ДСЗПД рекомендує для передачі персональних даних насамперед отримати відповідно до Закону дозволи суб'єктів персональних даних на транскордонну передачу їх персональних даних та врегулювати на договірній основі відносини між дочірніми підприємствами та материнською компанією в частині обробки персональних даних, а також отримати від материнської компанії документи, які підтверджують заходи із захисту персональних даних, що реалізовані материнською компанією, з метою підтвердження умови забезпечення нею належного захисту персональних даних.
Крім того, рекомендуємо визначитися, в тому числі і шляхом укладення відповідних договорів із материнською компанією, зі своїм правовим статусом щодо бази (баз) персональних даних материнської компанії, зокрема, суб'єктами відносин, пов'язаних із персональними даними, — чи є ви розпорядником бази (баз) персональних даних материнської компанії, чи третьою особою щодо бази (баз) материнської компанії.
Своєю чергою, материнській компанії слід визначитися, в тому числі і шляхом укладення відповідних договорів із суб'єктами відносин, пов'язаних із персональними даними, зі своїм правовим статусом щодо бази (баз) персональних даних суб'єктів відносин, пов'язаних із персональними даними, зокрема, чи є вона розпорядником бази (баз) персональних даних, чи третьою особою щодо бази (баз) персональних даних суб'єкта відносин, пов'язаних із персональними даними.
Отже, при передачі персональних даних за кордон суб'єкт відносин, пов'язаних із персональними даними, має вжити усіх вичерпних заходів щодо дотримання ним у своїй діяльності Закону України «Про захист персональних даних».