1. Si no existeix decisió d’adequació ni garanties adequades, només es pot fer una transferència o un conjunt de transferències de dades personals a un tercer país o a una organització internacional si es compleix alguna de les condicions següents:
a) La persona interessada ha donat explícitament el seu consentiment a la transferència proposada, després d’haver-la informat dels riscos d’aquestes transferències a causa de l’absència d’una decisió d’adequació i de garanties adequades; fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics.
b) La transferència és necessària per a executar un contracte entre la persona interessada i el responsable del tractament o per a executar mesures precontractuals adoptades a sol·licitud de la persona interessada; fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics.
c) La transferència és necessària per a formalitzar o executar un contracte entre el responsable del tractament i una altra persona física o jurídica, en interès de la persona interessada; fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics.
d) La transferència és necessària per raons importants d’interès públic.
e) La transferència és necessària per a formular, exercir o defensar reclamacions.
f) La transferència és necessària per a protegir els interessos vitals de la persona interessada o d’altres persones, quan aquesta està físicament o jurídicament incapacitada per donar el consentiment.
g) La transferència s’efectua des d’un registre públic que té per objecte facilitar informació al públic i està obert a la consulta del públic en general o de qualsevol persona que hi acrediti un interès legítim; en aquest cas, la transferència no ha d’abastar la totalitat de les dades personals ni categories senceres de dades personals contingudes en el registre. Si la finalitat del registre és que el consultin les persones que hi tinguin un interès legítim, la transferència només s’ha d’efectuar si aquestes persones ho sol·liciten o si en són les destinatàries.
2. Fora de l’àmbit de les activitats desenvolupades per les autoritats públiques en l’exercici dels seus poders públics, si no existeix decisió d’adequació, ni tampoc existeixen garanties adequades, i no es pot aplicar a la transferència o a un conjunt de transferències de dades personals cap de les excepcions específiques recollides a l’apartat 1, la transferència només es pot dur a terme si no és repetitiva, afecta un nombre limitat de persones interessades, i és necessària per a les finalitats d’interessos legítims imperiosos perseguits pel responsable del tractament, sobre els quals no prevalen els interessos o els drets i les llibertats de la persona interessada, i el responsable del tractament ha avaluat totes les circumstàncies concurrents en la transferència de dades i, basant-se en aquesta avaluació, ha ofert garanties adequades respecte de la protecció de dades personals. En aquest cas, el responsable del tractament ha d’informar l’autoritat de control de la transferència. També n’ha d’informar la persona interessada notificant-li els interessos legítims imperiosos perseguits i facilitant-li, a més, la informació contemplada als articles 16 i 17.
3. El responsable o l’encarregat del tractament de dades personals han de documentar en el registre de les activitats del tractament l’avaluació i les garanties apropiades referides a l’apartat 2.
4. Les excepcions per a situacions específiques s’han d’interpretar de manera estricta i restrictiva, per tal d’evitar que llur aplicació provoqui qualsevol vulneració dels drets de la persona, en particular del dret a la intimitat.