1. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς αποδέκτες άλλους, εκτός από τα όργανα και τους οργανισμούς της Κοινότητας, οι οποίοι δεν υπόκεινται στην εθνική νομοθεσία που θεσπίζεται κατ' εφαρμογή της οδηγίας 95/46/ΕΚ, επιτρέπεται μόνον εφόσον διασφαλίζεται επαρκής βαθμός προστασίας στη χώρα του αποδέκτη ή στο πλαίσιο του αποδέκτη διεθνούς οργανισμού και εφόσον η διαβίβαση αποβλέπει αποκλειστικά στο να διευκολύνει την εκτέλεση καθήκοντος που εμπίπτει στην αρμοδιότητα του υπεύθυνου της επεξεργασίας.
2. Η επάρκεια του βαθμού προστασίας που παρέχει η εκάστοτε τρίτη χώρα ή ο συγκεκριμένος διεθνής οργανισμός αξιολογείται με γνώμονα το σύνολο των περιστάσεων που περιβάλλουν την εργασία ή το σύνολο εργασιών της διαβίβασης δεδομένων. Ιδιαιτέρως, λαμβάνεται υπόψη το είδος των δεδομένων, ο σκοπός και η διάρκεια της προτεινόμενης επεξεργασίας ή των προτεινόμενων επεξεργασιών η τρίτη χώρα ή ο αποδέκτης διεθνής οργανισμός, η νομοθεσία, τόσο γενική όσο και ειδική, η οποία ισχύει στη συγκεκριμένη τρίτη χώρα ή εφαρμόζεται έναντι του συγκεκριμένου διεθνούς οργανισμού καθώς και οι κανόνες δεοντολογίας και τα μέτρα ασφαλείας που εφαρμόζονται στη συγκεκριμένη τρίτη χώρα ή στο πλαίσιο του συγκεκριμένου διεθνούς οργανισμού.
3. Τα όργανα και οι οργανισμοί της Κοινότητας ενημερώνουν την Επιτροπή και τον ευρωπαίο επόπτη προστασίας δεδομένων σε περίπτωση που κρίνουν ότι η τρίτη χώρα ή ο συγκεκριμένος διεθνής οργανισμός δεν διασφαλίζουν επαρκή βαθμό προστασίας κατά την έννοια της παραγράφου 2.
4. Η Επιτροπή ενημερώνει τα κράτη μέλη για τις περιπτώσεις που αναφέρονται στην παράγραφο 3.
5. Τα όργανα και οι οργανισμοί της Κοινότητας λαμβάνουν τα μέτρα που είναι απαραίτητα για να συμμορφωθούν με τις αποφάσεις που λαμβάνει η Επιτροπή όταν διαπιστώνει, κατ' εφαρμογήν του άρθρου 25, παράγραφοι 4 και 6 της οδηγίας 95/46/ΕΚ, ότι τρίτη χώρα ή διεθνής οργανισμός διασφαλίζει ή όχι επαρκή βαθμό προστασίας.
6. Κατά παρέκκλιση από τις παραγράφους 1 και 2, το όργανο ή ο οργανισμός της Κοινότητας δύναται να διαβιβάζει δεδομένα προσωπικού χαρακτήρα εάν:
α) το υποκείμενο των δεδομένων έχει παράσχει την αναμφισβήτητη συγκατάθεσή του για την προτεινόμενη διαβίβαση, ή
β) η διαβίβαση είναι αναγκαία για την εκτέλεση συμβάσεως μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου της επεξεργασίας ή για την εφαρμογή προσυμβατικών μέτρων που λαμβάνονται κατόπιν αιτήσεως του υποκειμένου των δεδομένων, ή
γ) η διαβίβαση είναι αναγκαία για τη σύναψη ή την εκτέλεση συμβάσεως προς το συμφέρον του υποκειμένου των δεδομένων, μεταξύ του υπευθύνου της επεξεργασίας και τρίτου, ή
δ) η διαβίβαση είναι αναγκαία ή επιβάλλεται εκ του νόμου για σημαντικούς λόγους δημόσιου συμφέροντος ή για την αναγνώριση, άσκηση ή υπεράσπιση δικαιώματος ενώπιον δικαστηρίου, ή
ε) η διαβίβαση είναι αναγκαία για τη διασφάλιση ζωτικών συμφερόντων του υποκείμενου των δεδομένων, ή
στ) η διαβίβαση πραγματοποιείται από αρχείο το οποίο, κατά το κοινοτικό δίκαιο, χρησιμεύει για την ενημέρωση του κοινού και το οποίο μπορεί να συμβουλευθεί το κοινό εν γένει ή κάθε πρόσωπο που αποδεικνύει ότι έχει έννομο συμφέρον, εφόσον πληρούνται στη συγκεκριμένη περίπτωση οι προϋποθέσεις του κοινοτικού δικαίου που διέπουν την αναζήτηση πληροφοριών.
7. Με την επιφύλαξη της παραγράφου 6, ο ευρωπαίος επόπτης προστασίας δεδομένων μπορεί να επιτρέπει διαβίβαση ή σύνολο διαβιβάσεων δεδομένων προσωπικού χαρακτήρα προς μια τρίτη χώρα ή ένα διεθνή οργανισμό που δεν παρέχει ικανοποιητικό επίπεδο προστασίας κατά την έννοια των παραγράφων 1 και 2, όταν ο υπεύθυνος της επεξεργασίας παρέχει επαρκείς εγγυήσεις όσον αφορά την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, καθώς και όσον αφορά την άσκηση των αντιστοίχων δικαιωμάτων οι εγγυήσεις αυτές μπορούν ιδίως να απορρέουν από κατάλληλες συμβατικές ρήτρες.
8. Τα όργανα και οι οργανισμοί της Κοινότητας γνωστοποιούν στον ευρωπαίο επόπτη προστασίας δεδομένων κατηγορίες περιπτώσεων στις οποίες εφήρμοσαν τις παραγράφους 6 και 7.
