L'EDPB ha pubblicato linee guida sull'Art. 48 GDPR per chiarire il suo ruolo all'interno del trasferimento di dati fuori dallo Spazio Economico Europeo specificando che una decisione o sentenza di un'autorità pubblica di un paese terzo non può costituire da sola una base legale per il trasferimento di dati. È necessario un accordo internazionale, come un trattato di mutua assistenza legale (MLAT), tra il paese dell'autorità richiedente e quello del soggetto che detiene i dati.