В случае, если не принято решение о достаточности уровня защиты, согласно пункту 3 статьи 45, или не обеспечены соответствующие гарантии, согласно статье 46, включая обязывающие правила для предприятий, то отправка или многократная отправка персональных данных третьей стране или международной организации происходит только при соблюдении одного из далее указанных условий:
- субъект дал явное согласие на отправку после того, как он был достоверно проинформирован о возможных рисках, которые может создать такая отправка субъекту, в связи с решением о достаточности уровня защиты и недостаточностью соответствующих гарантий;
- отправка необходима для выполнения договора между субъектом данных и контроллером или для осуществления мер перед заключением договора, которые приняты по запросу субъекта данных;
- передача необходима для заключения договора или для исполнения договора, заключенного между контроллером и другим физическим или юридическим лицом в интересах субъекта данных;
- отправка необходима по важным причинам, в общественных интересах;
- отправка необходима для целей повышения, реализации или защиты правовых требований;
- передача необходима для защиты особо важных интересов субъекта данных или других лиц, если субъект данных физически или правомерно неспособен дать своё согласие;
- отправка осуществляется из регистра, который, согласно правовым актам Союза или государства-члена ЕС, предусмотрен для предоставления информации общественности, и который может быть использован или широкой общественностью или любым лицом, которое может доказать свои законные интересы, но только в той мере, в какой, в конкретном случае, соблюдаются условия использования, установленные правовыми актами Союза или государства-члена ЕС.
В случае, если отправка не может основываться на положении, включенном в статью 45 или 46, в том числе на положении об обязывающих правилах для предприятий, и если не применяется ни одно из отступлений для определенных ситуаций, согласно части первой настоящего пункта, то отправка данных третьей стране или международной организации может осуществляться только, если отправка не происходит повторно, касается исключительно ограниченного количества субъектов данных, необходима для убедительных законных интересов контроллера, в соотношении с которыми, интересы или права и свободы субъекта данных не являются более важными, и контроллер оценил все обстоятельства, связанные с отправкой данных, и на основании указанной оценки предоставил надлежащие гарантии относительно защиты персональных данных. Контроллер информирует надзорное учреждение об отправке. В дополнение к предоставлению информации, указанной в статье 13 и 14, контроллер информирует субъект данных об отправке данных и об убедительных законных интересах.
2. При отправке данных, согласно подпункту g) пункта части первой пункту 1, полностью не отправляются содержащиеся в регистре персональные данные или целые категории персональных данных. Если регистр предусмотрен для использования лицами, имеющими законные интересы, то отправка осуществляется только по запросу указанных лиц или если указанные лица являются получателями данных.
3. Пункты a), b) и c) части первой и часть вторая пункта 1 не применяются в отношении деятельности публичных учреждений при выполнении ими своих полномочий.
4. Общественные интересы, упомянутые в подпункте d) части первой пункта 1 признаются правом Союза или правом государства-члена ЕС, применяемым относительно контроллера.
5. В случаях отсутствия решения о достаточности уровня защиты, правовые акты Союза или государства-члена ЕС, при наличии важных причин в общественных интересах, чётко устанавливают ограничения на отправку конкретных категорий персональных данных третьему государству или международной организации. Государства-члены ЕС уведомляют Комиссию о таких положениях.
6. Контроллер или процессор документирует оценку в регистрах данных, указанных в статье 30, и соответствующие гарантии, указанные во второй части пункта 1 настоящей статьи.