Direktivets fjerde del regulerer adgangen til å overføre opplysninger til tredjeland, dvs. stater utenfor EØS-området. Slik overføring kan blant annet skje når den registrerte har samtykket, tredjelandet anses å ha tilfredsstillende lovgivning eller den behandlingsansvarlige har garantert for behandlingen. Kommisjonen har erklært at noen stater (bl.a. Argentina, Canada og Sveits) har et tilfredsstillende beskyttelsesnivå, og den har fastsatt eksempler på kontraktsbestemmelser som gir tilfredsstillende garantier ved overføring av opplysninger til tredjeland.