J.8 取得、利用及び提供に関する原則

提供できるのは、本人の同意がある場合、相当な措置を続けて講じる体制が整っている相手の場合、日本と同等の水準にある国・地域の場合のいずれかです。本人の同意で提供するときは、外国の名称、その国の制度に関する情報、相手の保護措置に関する情報などを事前に提供します。体制で担保する場合は、実施状況の定期的な確認、支障が出たときの措置、続けられないときの提供停止を行い、本人から求めがあれば原則遅滞なく情報を提供します。
たとえば、海外の会社が提供するクラウドサービスに、個人データを保存する場面などで、確認が必要になることがあります。サービスを選ぶときは、どの国にデータが置かれ、どのような保護措置があるかを、事前に調べましょう。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.8.8.1を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。