Однако иных нормативных документов, разъясняющих вышеуказанное положение об определении «адекватности» или «неадекватности» стран для передачи персональных данных, не принято. Методологические критерии для оценки режима передачи персональных данных изложены в документе рекомендательного характера, адресованном непосредственно публичным органам власти по вопросу понимания органами ЕС и странами – участницами ЕС критериев определения «адекватности» или «неадекватности» стран при передаче персональных данных, содержащихся в Директиве 95/46/ЕС и в других международных правовых актах. Рабочая группа по защите частных лиц в связи с обработкой персональных данных, созданная на основании Директивы 95/46/ЕС (ст. 29), издала руководящие принципы в помощь осуществления оценки:
1) WP 4 (5020/97) «Рабочий документ, содержащий первые ориентиры относительно передачи персональных данных третьим странам – возможные пути продвижения в оценке соответствия», документ для обсуждения, принятый Рабочей группой 26 июня 1997 г.;
2) WP 7 (5057/97) «Оценка саморегулирования отрасли: в каких случаях она вносит значимый вклад в уровень защиты данных в третьей стране?», рабочий документ, принятый Рабочей группой 14 января 1998 г.;
3) WP 9 (3005/98) «Предварительные мнения относительно использования договорных положений в контексте передачи персональных данных третьим странам», рабочий документ, принятый Рабочей группой 22 апреля 1998 г.;
4) WP 12 «Передачи персональных данных третьим странам: применение статей 25 и 26 Директивы ЕС о защите данных», рабочий документ, принятый Рабочей группой 24 июля 1998 г.[11]
Если обобщить критерии признания стран как предоставляющих адекватный уровень защиты данных, то можно заключить, что к таковым может быть отнесено государство, в котором действуют соответствующие нормы права, сформирован уполномоченный орган, а также обеспечивается правовая защита граждан в сфере персональных данных.
Следует отметить, что мнения Рабочей группы фактически легализуются в результате принятия Европейской комиссией решений по квалификации уровня защиты данных в тех или иных странах в соответствии с рекомендуемыми критериями. Решение, основанное на документе рекомендательного характера, становится правовым актом, имеющим юридическую силу (к примеру, Решение 11/2011 об адекватности уровня безопасности персональных данных в Новой Зеландии от 4 апреля 2011 г. и т. д.). Критерии «адекватности» сформировали важную отправную точку для принятия решений Европейской комиссии по адекватности режимов третьих стран.