Die EUStA darf operative personenbezogene Daten an ein Drittland oder eine internationale Organisation übermitteln, wenn die Kommission gemäß Artikel 36 der Richtlinie (EU) 2016/680 beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet.