La règle générale est que les transferts de données ne sont possibles que pour les pays qui assurent un niveau de protection adéquat ou si certaines autres garanties préautorisées sont en place. La Commission européenne détermine quels pays tiers sont considérés comme offtant une protection adéquate des données. En l'absence d'une telle décision d’adéquation, le transfert de données peut être possible sur la base de garanties appropriées, telles que des règles d’entreprise contraignantes.The general rule is that data transfers are only possible to countries that ensure an adequate level of protection or if certain other 'pre-authorised' safeguards are in place. The EU Commission determines which third countries are deemed to provide adequate data protection. In the absence of such adequacy decision, data transfer may be possible based on appropriate safeguards, such as binding corporate rules.