Ennen henkilötietojen siirtämistä tai luovuttamista valtion ulkopuolelle organisaation on suoritettava ja dokumentoitava riskinarviointi laillisen ja turvallisen käsittelyn varmistamiseksi, erityisesti silloin, kun siirto koskee arkaluonteisia tai laajamittaisia tietoja tai kun se tapahtuu lainsäädännön nojalla.

Arvioinnin on oltava:

• Määriteltävä siirron tarkoitus ja oikeusperusta.
• Kuvata sen laajuus ja sovelletut suojatoimet.
• Arvioida rekisteröidyille mahdollisesti aiheutuvat riskit tai haitat.
• varmistettava, että siirretään vain välttämättömät vähimmäistiedot.
• Vahvistettava, että suojatoimilla säilytetään vaadittu yksityisyyden suojan ja tietosuojan taso.

Organisaation on myös varmistettava, että siirrot eivät heikennä:

• rekisteröityjen oikeuksia, mukaan lukien suostumuksen peruuttaminen.
• sen kykyä raportoida tietoturvaloukkauksista, tuhota tietoja tai valvoa turvatoimia.

Siirrot on keskeytettävä välittömästi, jos ne aiheuttavat suuria yksityisyyden suojaan liittyviä riskejä, vaarantavat kansallisen turvallisuuden tai elintärkeät edut tai jos suojatoimet menettävät merkityksensä. Keskeytetyt siirrot on arvioitava uudelleen ennen niiden jatkamista tai tulevia siirtoja.