Řada správců využívá služeb zpracovatelů usazených v USA a pro předání údajů si zvolila jako právní základ EU-USA Štít soukromí (Privacy Shield) nebo standardní smluvní doložky, což jsou nástroje, které podle GDPR poskytují předávaným údajům ve třetí zemi dostatečnou úroveň ochrany.

Prováděcí rozhodnutí Komise ze dne 12. července 2016 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU–USA na ochranu soukromí bylo prohlášeno za neplatné rozsudkem Soudního dvora Evropské unie ve věci C-311/18 Data Protection Commissioner v. Facebook Ireland Limited a Maximillian Schrems (tzv. Schrems II) ze dne 16. července 2020. Nadále tak již není možné předávat osobní údaje do USA na základě Štítu soukromí.

Standardní smluvní doložky Evropský soud svým rozsudkem nezrušil, jejich použití však podmiňuje testem přiměřenosti přijatých opatření v závislosti na okolnostech předání a zemi dovozce údajů. V zásadě tedy požaduje, aby v případě, že se správce rozhodne pro předání údajů do konkrétní třetí země použít standardní smluvní doložky, sám prověřil, zda vhodné záruky a ochranná opatření v doložkách skutečně zajišťují srovnatelnou úroveň ochrany zaručené v Unii GDPR a Listinou. Podle soudu by správce při posuzování úrovně měl brát v úvahu i relevantní prvky právního řádu třetí země. V případě USA toto posouzení učinil sám ESD a konstatoval, že USA na základě platné legislativy realizují plošný přístup státních orgánů k osobním údajům a nezajišťují dostatečnou ochranu předávaným údajům ani účinnou právní ochranu subjektům údajů. Z rozhodnutí Komise o standardních smluvních doložkách pak přímo vyplývá, že pokud vývozce a dovozce údajů dojdou k závěru, že standardní smluvní doložky nemohou být ve třetí zemi dodrženy, měly by být doplněny o další opatření nebo přenos údajů zastaven.