Le transfert de données à caractère personnel de l'Union Européenne vers des pays tiers est interdit, si ces pays ne présentent pas un niveau de protection adéquat. Les entreprises multinationales et les groupes de société arrivent le plus souvent à lever cet obstacle via des systèmes contractuels qui lient les sociétés du groupe et qui créent une sorte de zone de libre échange de données. Le Groupe 29 s'est penché sur quelques principes à respecter par ces contrats.