Safe Harbor-avtalen (Safe Harbor, engelsk for Sikker havn) var en avtale mellom EU og USA som regulerer overføring av personopplysninger fra et EU-/EØS-land til USA. Avtalen ble inngått i 2000 i medhold av EUs personverndirektiv artikkel 25 nr 6..
Avtalen skulle sikre at virksomheter lovlig kunne overføre personopplysninger fra EØS-land til virksomheter i USA. Forutsetningen var at den amerikanske bedriften er sertifisert etter Safe Harbor-prinsippene.
Ved en avgjørelse i EUs øverste rettsinstans 6. oktober 2015 ble avtalen erklært ugyldig. Saken for EUs domstol ble reist i forbindelse med en tvist reist for irske domstoler, mellom Maximillian Schrems og Data Protection Commissioner (EUs kommissær for databeskyttelse). Kommissæren hadde avslått å behandle Max Schrems klage over at Facebook Ireland Ltd utleverte sine brukeres personopplysninger til USA og oppbevarer dem på servere i dette landet.
Avtalen er senere erstattet av Privacy Shield-rammeverket.