Nach der bisherigen im Rahmen der Datenschutzgruppe vereinbarten Vorgehensweise setzt die Feststellung, dass die verbindlichen unternehmensinternen Datenschutzregelungen angemessene Garantien bieten, eine gründliche Überprüfung durch drei nationale Datenschutzbehörden (eine „leitende“ und zwei „überprüfende“ Behörden) voraus; darüber hinaus können auch andere Datenschutzbehörden Stellung nehmen.
De huidige, binnen de Groep artikel 29 overeengekomen praktijk is, dat voor de erkenning van het adequate beschermingsniveau van bindende bedrijfsvoorschriften een grondige beoordeling door drie gegevensbeschermingsautoriteiten vereist is (één hoofdbeoordelaar en twee medebeoordelaars); andere gegevensbeschermingsautoriteiten mogen hun opmerkingen kenbaar maken.
