העברת מידע למדינה זרה מקבל פרשנות חדשה. עם התפתחות הטכנולוגיה, הצורך להעביר מידע אישי למדינות אחרות הפך לנפוץ יותר ויותר, במיוחד במסגרת שירותי מיקור חוץ (outsourcing) והעברת נתונים בין חברות רב-לאומיות. התעוררה בעיה פרקטית עם התקנות הקיימות, שכן הן מציבות איסור גורף על העברת מידע לצד שלישי, אלא אם מתקיימים תנאים ספציפיים ומחמירים.
עם השנים, רגולציות בינלאומיות חדשות, כגון ה-GDPR (General Data Protection Regulation) של האיחוד האירופי, הוסיפו שכבה נוספת של מורכבות לנושא. רגולציות אלו מבקשות לוודא שהמידע האישי מועבר בצורה מאובטחת ושמירה על פרטיותו נשמרת גם מחוץ לגבולות המדינה. כיום, יש הבנה רחבה יותר שהגנה על המידע האישי אינה עוצרת בגבולות גיאוגרפיים, אלא תלויה ברגולציות המגנות על הפרטיות ברחבי העולם.
בישראל, תקנה 3 לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס"א-2001, נועדה להסדיר את תנאי העברת מידע אישי מישראל למדינות זרות. המטרה העיקרית של תקנה זו היא להגן על פרטיות המידע המועבר ולוודא שהוא מוגן גם כאשר הוא יוצא מגבולות המדינה.
על פי תקנה 3 לתקנות הגנת הפרטיות, בעת העברת מידע אישי מישראל לגורם מחוץ למדינה, בעל מאגר המידע מחויב להבטיח שהגורם המקבל את המידע נוקט באמצעים מספקים לשמירה על פרטיותו. ההתחייבות מתבצעת בדרך כלל בכתב ועל הגורם המקבל את המידע אסור להעביר את המידע לצד שלישי ללא אישור. במילים אחרות, פרשנות תקנה 3 מלמדת כי מקבל המידע בחו"ל אינו יכול להעביר את המידע לצד שלישי בחו"ל.
לאור התפתחויות הטכנולוגיות והצורך השכיח בהעברת המידע בין גורמים שונים מחוץ לישראל, רשות הגנת הפרטיות פרסמה גילוי דעת בו היא מעניקה לתקנה 3 פרשנות חדשה ותואמת להתפתחויות הטכנולוגיה והצרכים השונים. על פי עמדת הרשות האיסור על העברת מידע לצד שלישי במדינה זרה אינו מוחלט, ויש להתייחס אליו בהקשר של האסדרה הרלוונטית החלה על מקבל המידע מחוץ לישראל.
הרשות מציינת כי במקרים בהם ניתנה הסכמת בעל המידע ומעביר המידע עומד בהוראות תקנות 1ו-2 לתקנות העברת מידע מחוץ לגבולות ישראל – מקבל המידע בחו"ל, רשאי יהיה להעביר את המידע לצד שלישי אחר בחו"ל בכפוף לעמידה ברמת הגנה על המידע שאינה פחותה מזו הנהוגה בדין הישראלי.
