Le processus d'adéquation peut être initié soit au niveau des États membres soit par la Commission européenne et nécessite, outre un dialogue avec les pays tiers, une analyse approfondie de leur législation, et au niveau européen l'avis du groupe des autorités de protection de données (« groupe article 29 »), l'avis des États membres dans le cadre de la procédure de comitologie, un droit de regard du Parlement européen, puis une décision formelle du collège des commissaires.
De procedure van passend beschermingsniveau kan worden opgestart op het niveau van de lidstaten of door de Europese Commissie en vereist, naast overleg met de derde landen, een diepgaande analyse van hun wetgeving en, op Europees niveau, het advies van een groep van de gegevensbeschermingsautoriteiten (« groep artikel 29 »), het advies van de lidstaten in het kader van de comitologieprocedure, het toetsingsrecht van het Europees Parlement en een formeel besluit van het College van commissarissen.