תקנה 3 מחייבת בעלי מאגרי מידע להבטיח שמקבלי מידע מחוץ לישראל נוקטים באמצעים מספקים להגנת פרטיות ואוסרת העברת המידע לצד שלישי, אך הרשות להגנת הפרטיות הבהירה כי מגבלה זו אינה תואמת התפתחויות טכנולוגיות עדכניות ורגולציות בינלאומיות כמו ה-GDPR. לפי ההבהרה החדשה, האיסור על העברה לצד שלישי במדינה זרה לא יחול כאשר ניתנה הסכמה בכתב מהגורם המעביר את המידע מישראל, בתנאי שההעברה הישירה לצד השלישי הייתה עומדת בדרישות הדין ובתנאי תקנות 1 או 2. כמו כן, הרשות מכירה בערובות מקובלות אחרות כ"אמצעים מספיקים" להגנת פרטיות, כגון עמידה ברגולציית הגנת המידע של האיחוד האירופי או בחקיקה של מדינות שהוכרו על ידי האיחוד כבעלות תאימות לרגולציה זו.

גילוי הדעת מתפרסם כעת בגרסתו הסופית והמחייבת.