Artikel 48 AVG bepaalt dat afgifte van data die zich binnen de EU bevindt, op last van een (buitenlandse) rechtelijke uitspraak of besluit van een administratieve autoriteit, alleen is toegestaan indien die uitspraak of dat besluit gebaseerd is op een verdrag. De Amerikaanse CLOUD act bevat echter de verplichting voor Amerikaanse providers om data van betrokkenen af te staan, waar ook ter wereld gelokaliseerd. Zonder verdrag.