Safe Harbor-avtalen ble inngått i år 2000 i medhold av EUs persondirektiv. Denne avtalen er mellom EU og USA, og denne regulerer overføring av personopplysninger fra et EU- og EØS-land til USA. Det avtalen innebærer og handler om er at virksomheter kan ved behov, sende over personopplysninger fra EØS-land til virksomheter i USA. En slik overføring kan ikke finne sted viss den amerikanske virksomheten ikke er sertifisert etter Safe Harbor prinsippene. 6. oktober 2015 ble avtalen erklært ugyldig av EUs øverste rettsinstans. Denne saken oppstod i forbindelse med en tvist som ble reist for de irske domstoler, og var en sak mellom Maximillian Schrems og EUs kommissær for databeskyttelse (Data Protection Commissioner). Saken omhandlet at kommissæren avslo å behandle Maximillian Schrems klage over at Facebook utleverte personopplysninger fra deres brukere til USA, hvor de også oppbevarte opplysningene på servere i USA. I tillegg til at domstolen erklærte avtalen ugyldig, uttaler de at de nasjonale datatilsynenes uavhengighet står i veien for at EU-kommisjonen skal kunne fatte beslutninger om hvor bra beskyttelsen er i et ikke-medlemsland er etter europeiske standarder. Dette vil si at etter denne dommen vil slike avgjørelser om hvorvidt beskyttelsen er tilfredsstillende etter europeiske standarder, bli tatt av datatilsynet i EU-landene og EØS-landene. Ettersom Safe Harbor-avtalen ikke lenger er gjeldende vil dette medføre merkbare konsekvenser for europeiske og norske dataeksportører. Disse konsekvensene innebærer at man må benytte seg av standardkontraktsregimet, som uansett ville blitt brukt ved data eksport til en tredje part. Slike kontrakter har allerede i 15 år vært det anbefalte rettslige overføringsgrunnlaget. Uten disse kontraktene ville det blitt svært tungvint for EU- og EØS-land å eksportere personopplysninger ut av sine landområder.