Il Capitolo V del GDPR è la parte del diritto dell'UE sulla protezione dei dati che disciplina quando i dati personali possono essere trasferiti al di fuori dell'UE e del SEE, in particolare verso paesi terzi e organizzazioni internazionali. Richiede una base giuridica per il trasferimento, come una decisione di adeguatezza, le Clausole Contrattuali Standard o le Norme Vincolanti d'Impresa, e spesso una valutazione d'impatto del trasferimento per verificare se le leggi e le pratiche del paese di destinazione proteggano i dati.
Per i team di sicurezza informatica, il Capitolo V è importante perché molti sistemi comuni possono spostare dati personali oltre confine senza che sia evidente: hosting cloud, supporto remoto, log SIEM, backup, telemetria e strumenti di risposta agli incidenti. Gli aggressori possono sfruttare una debole governance dei fornitori o flussi di dati configurati in modo errato per spingere registri sensibili in giurisdizioni non controllate. I difensori riducono il rischio mappando i percorsi dei dati, limitando le esportazioni, cifrando i dati, rafforzando gli accessi e documentando i trasferimenti, così che i controlli sulla privacy e sulla sicurezza restino allineati.