Европейский совет по защите данных может представлять Европейской комиссии мнение для оценки адекватности уровня защиты персональных данных в стране, расположенной за пределами Европейского союза, или в международной организации.
Решение Европейской комиссии может быть отозвано при изменении обстоятельств, влияющих на защиту персональных данных в стране, расположенной за пределами Европейского союза, или в международной организации.
Европейская комиссия должна опубликовать в официальном журнале Европейского союза список стран, территорий, секторов экономической деятельности и международных организаций, в отношении которых были приняты решения об адекватности защиты персональных данных.
В отсутствие решения Европейской комиссии об адекватности защиты данных передача персональных данных возможна при условии надлежащих гарантий оператора персональных данных и (или) обработчика персональных данных.
Во многом реформа сконцентрирована на предоставлении субъектам персональных данных инструментов контроля с одновременным упрощением передачи данных в пределах Европы.
В частности, предусмотрены гораздо более серьезные меры ответственности в случае незаконной передачи данных за пределы ЕС. Так, в случае получения организацией (к примеру, облачным провайдером, социальной сетью, поисковой системой) запроса от третьей страны о предоставлении обрабатываемых на территории ЕС персональных данных выдача таких данных допускается исключительно с разрешения национального органа по защите персональных данных и при условии обязательного информирования субъекта персональных данных о таком запросе.
Кроме того, предложено внедрить очень серьезные санкции в случае нарушения указанного порядка, а именно: штраф организациям, незаконно предоставляющим сведения, в размере до 100 млн евро или до 5 % их годового оборота в мировом масштабе, т. е. даже выше, чем было изначально предложено Европейской комиссией (в размере до 1 млн евро или до 2 % годового оборота в мировом масштабе).
В открытом доступе информация по вопросу регулирования персональных данных, отнесенных к государственной тайне, в ЕС не размещена.