1. De lidstaten schrijven voor dat een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Commissie heeft besloten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de betrokken internationale organisatie in kwestie een adequaat beschermingsniveau verzekert. Voor een dergelijke doorgifte is geen specifieke toestemming nodig.
2. Bij de beoordeling van de vraag of het beschermingsniveau adequaat is, houdt de Commissie met name rekening met de volgende aspecten:
a) de rechtsstatelijkheid, de eerbiediging van de mensenrechten en de fundamentele vrijheden, de toepasselijke algemene en sectorale wetgeving, onder meer inzake openbare veiligheid, defensie, nationale veiligheid en strafrecht en toegang van overheidsinstanties tot persoonsgegevens, evenals de tenuitvoerlegging van die wetgeving, gegevensbeschermingsregels, beroepsregels en de veiligheidsmaatregelen, met inbegrip van regels voor verdere doorgifte van persoonsgegevens aan een ander derde land of een andere internationale organisatie, die in dat land of die internationale organisatie worden nageleefd, rechtspraak, alsmede het bestaan van effectieve en afdwingbare rechten van betrokkenen en daadwerkelijke mogelijkheden om administratief beroep of beroep in rechte in te stellen voor betrokkenen wier persoonsgegevens worden doorgegeven;
b) het bestaan en het effectief functioneren van een of meer onafhankelijke toezichthoudende autoriteiten in het derde land of waaraan een internationale organisatie is onderworpen, welke tot taak heeft of hebben de naleving van de gegevensbeschermingsregels te verzekeren en deze te handhaven, onder meer met passende handhavingsbevoegdheden, om betrokkenen bij de uitoefening van hun rechten bij te staan en te adviseren en met de toezichthoudende autoriteiten van de lidstaten samen te werken; en
c) de internationale verbintenissen die het derde land of de internationale organisatie in kwestie heeft aangegaan, of andere verplichtingen die voortvloeien uit juridisch bindende overeenkomsten of instrumenten, alsmede uit de deelname van dat derde land of die internationale organisatie aan multilaterale of regionale regelingen, in het bijzonder met betrekking tot de bescherming van persoonsgegevens.
3. De Commissie kan, na beoordeling van de vraag of het beschermingsniveau adequaat is, aan de hand van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een adequaat beschermingsniveau in de zin van lid 2 van dit artikel verzekert. De uitvoeringshandeling voorziet in een mechanisme voor periodieke toetsing, minstens om de vier jaar, waarbij alle relevante ontwikkelingen in het derde land of de internationale organisatie in aanmerking worden genomen. In de uitvoeringshandeling worden het territoriale en het sectorale toepassingsgebied vermeld, alsmede, in voorkomend geval, de in lid 2, onder b), van dit artikel bedoelde toezichthoudende autoriteiten. De uitvoeringshandeling wordt vastgesteld overeenkomstig de in artikel 58, lid 2, bedoelde onderzoeksprocedure.
4. De Commissie houdt doorlopend toezicht op ontwikkelingen in derde landen en internationale organisaties die mogelijk een invloed hebben op het functioneren van krachtens lid 3 vastgestelde besluiten.
5. Wanneer zulks uit beschikbare informatie blijkt, in het bijzonder naar aanleiding van de in lid 3 van dit artikel bedoelde evaluatie, dat een derde land, een gebied of een of meer nader bepaalde sectoren in een derde land, of een internationale organisatie niet langer een adequaat beschermingsniveau in de zin van lid 2 van dit artikel verzekert, en gaat de Commissie voor zover nodig bij uitvoeringshandelingen zonder terugwerkende kracht over tot intrekking, wijziging of schorsing van het in lid 3 van dit artikel bedoelde besluit. Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 58, lid 2, bedoelde onderzoeksprocedure.
Om naar behoren gemotiveerde dwingende redenen van urgentie stelt de Commissie volgens de in artikel 58, lid 3, bedoelde procedure onmiddellijk toepasselijke uitvoeringshandelingen vast.
6. De Commissie pleegt overleg met het derde land of de internationale organisatie ter verhelping van de situatie naar aanleiding waarvan het besluit overeenkomstig lid 5 is vastgesteld.
7. De lidstaten schrijven voor dat een overeenkomstig lid 5 vastgesteld besluit de doorgiften van persoonsgegevens aan het derde land, het gebied of één of meer nader bepaalde sectoren in dat derde land, of de betrokken internationale organisatie in kwestie overeenkomstig de artikelen 37 tot en met 38 onverlet laat.
8. De Commissie maakt in het Publicatieblad van de Europese Unie en op haar website een lijst bekend van de derde landen, gebieden en nader bepaalde sectoren in derde landen en internationale organisaties waarvoor zij bij besluit heeft vastgesteld dat deze wel of niet langer een adequaat beschermingsniveau waarborgen.
