Lorsque la Commission n’a pas adopté de décision d’adéquation, le transfert est autorisé si le responsable du traitement offre des garanties appropriées, soit dans un instrument juridique (règles d’entreprise contraignantes, clauses types de protection des données, clauses contractuelles), soit sans instrument juridique (autorisation préalable par l’autorité de contrôle) (Article 42).
Wanneer de Commissie geen besluit heeft vastgesteld waarbij het beschermingsniveau passend wordt verklaard, is de doorgifte toegestaan indien de voor de verwerking verantwoordelijke passende garanties biedt, hetzij in een juridisch instrument (bindende bedrijfsvoorschriften, modelbepalingen inzake gegevensbescherming, contractuele bepalingen), hetzij zonder juridisch instrument (voorafgaande toestemming door de toezichthoudende autoriteit) (artikel 42).