40.-(1) Ελλείψει απόφασης επάρκειας όπως προβλέπεται στο εδάφιο (1) του άρθρου 39, διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα ή διεθνή οργανισμό μπορεί να πραγματοποιηθεί, εφόσον-
(α) Παρασχέθηκαν κατάλληλες εγγυήσεις όσον αφορά την προστασία δεδομένων προσωπικού χαρακτήρα σε νομικά δεσμευτική πράξη, ή
(β) τηρουμένων των διατάξεων του εδαφίου (7) του άρθρου 30, ο υπεύθυνος επεξεργασίας αξιολόγησε όλες τις περιστάσεις που περιβάλλουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα και κατέληξε στο συμπέρασμα ότι υπάρχουν κατάλληλες εγγυήσεις όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα.
(2) Ο υπεύθυνος επεξεργασίας ενημερώνει τον Επίτροπο σχετικά με τις κατηγορίες διαβιβάσεων που διενεργήθηκαν δυνάμει των διατάξεων της παραγράφου (β) του εδαφίου (1).
(3) Διαβίβαση που διενεργείται δυνάμει των διατάξεων της παραγράφου (β) του εδαφίου (1) τεκμηριώνεται και η τεκμηρίωση τίθεται στη διάθεση του Επιτρόπου, κατόπιν αιτήματός του, και περιλαμβάνει την ημερομηνία και τον χρόνο της διαβίβασης, πληροφορίες σχετικά με την αρμόδια αρχή αποδοχής, την αιτιολόγηση της διαβίβασης και τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα.