De CLOUD-wetgeving in de Verenigde Staten schrijft voor dat aanbieders van clouddiensten op verzoek gegevens moeten verstrekken aan de Amerikaanse autoriteiten. Dit geldt ook voor Amerikaanse bedrijven die Europese gegevens verwerken. Een simpel verzoek van de autoriteiten is voldoende, en noch een toelichting noch een gerechtelijk bevel is vereist.
Het belangrijkste probleem als je toestaat dat een Amerikaans bedrijf je Europese persoonsgegevens verwerkt, is het indringende karakter van de surveillanceprogramma's van de Amerikaanse overheid en inlichtingendiensten. Deze zijn toegestaan op grond van Sectie 702 van de FISA (Foreign Intelligence Surveillance Act) en Executive Order 12333 (die onder de GDPR als onevenredig wordt beschouwd).
De GDPR is opgesteld om de data van Europese burgers te beschermen. En om de betrokkenen rechten te geven in een tijd waarin de gegevens door bedrijven worden gebruikt om winst te maken. De kerngedachte is de Europese burgers te beschermen.