1. El nivell de protecció adequat ve determinat per la publicació al Diari Oficial de la Unió Europea, i al seu lloc web, de la llista de tercers països, territoris i sectors específics en un tercer país i d’organitzacions internacionals respecte dels quals la Unió Europea ha decidit que es garanteix, o que ja no es garanteix, un nivell de protecció adequat; o per la submissió efectiva a les disposicions del Conveni 108+ del Consell d’Europa per a la protecció de dades de les persones en relació al tractament de dades de caràcter personal.
2. Es pot fer una transferència de dades personals a un tercer país o a una organització internacional quan un territori o un o diversos sectors específics d’aquest tercer país o de l’organització internacional de què es tracti garanteixen un nivell de protecció adequat.
S’entén que tenen un nivell de protecció adequat els Estats membres de la Unió Europea.