ては、当該指令のその他の規定に基づいて採択された国内法規を遵守することを妨げることなく、当該第三国が十分な水準の保護を確保している場合にのみ、実施できる。
また、十分なレベルの保護については、第25条2項において、下記のように規定している。
2. 第三国が提供する保護の水準が十分であるか否かは、データ移転の作業または一連の作業に鑑み評価されなければならない。特に、データの性格、予定されている処理の運用の目的および期間、発出国および最終目的国、当該第三国において有効である一般的および分野別の法規範、ならびに当該国において遵守されている専門職業の規範および安全対策基準が考慮されなければならない。
第三国がこれらの項目において十分なレベルの保護が確保されていると認定された場合、当該国へのデータ移転を阻止するための措置が講じられることになる。
第3項においては、保護水準に達していない第三国の情報は、加盟各国問で共有するため、下記のように通知することを求めている。
3. 欧州委員会および加盟国は、第2項の趣旨の範囲内で、十分な保護が保証されていないと判断した第三国については、互いに通知しあうものとする。
さらに、保護水準に達していないと評価された第三国へは、下記に示すように第4項で加盟国全体が足並みをそろえて当該国へのデータ移転を行わないこととともに、第5項で改善協議の必要性を規定している。
4. 欧州委員会は、第31条2項に規定する手続きに基づき、第三国が第2項の趣旨の範囲内で、十分な保護を保証していないことが判明した場合、加盟国は、当該第三国に同じ種類のデータの移転を禁じる措置を講じるものとする。
5. 欧州委員会は、適当な時期に、第4項に基づく調査結果による状況を改善する目的で、協議を開始するものとする。
