يجب على المتحكم إجراء تقييم لمستوى الحماية التي توفرها جهة المعالجة الخارجية ومخاطر نقل أو تحويل البيانات الشخصية، على أن يتضمن التقييم على الأخص الآتي: ١ – وصفا لطبيعة وحجم البيانات الشخصية المراد نقلها أو تحويلها، ودرجة حساسيتها. ٢ – الغرض من معالجة البيانات الشخصية ونطاق المعالجة والجهات التي سيتم مشاركة البيانات الشخصية معها. ٣ – المدة الزمنية لمعالجة البيانات الشخصية، وما إذا كانت ستتم بشكل مقيد أو عرضي لمرة واحدة فقط أو بشكل متكرر ومنتظم خلال مدة محدودة. ٤ – مراحل نقل أو تحويل البيانات الشخصية والدول التي قد تمر بها، وتحديد الوجهة النهائية للبيانات الشخصية. ٥ – الآثار والمخاطر التي قد تترتب على عملية النقل أو التحويل، ومدى تأثيرها على صاحب البيانات الشخصية.
يجب الرجوع إلى النص العربي الرسمي والنسخة النافذة عند التفسير والتطبيق.