Otras vías del art. 46. Normas corporativas vinculantes (art. 47, con las Recomendaciones EDPB/WP29 sobre BCR–C y BCR–P); códigos de conducta aprobados como instrumento de transferencia (art. 46.2.e, con la adhesión de responsables no sujetos al Reglamento por la vía del art. 40.3; Directrices 04/2021 del CEPD, versión final de 22/02/2022), que exigen compromisos vinculantes y exigibles del importador y no la mera adhesión; y certificación (art. 46.2.f, Directrices 07/2022 del CEPD, versión final de 27/02/2023), que requiere igualmente compromisos vinculantes y exigibles del importador; una certificación de seguridad de la información como ISO/IEC 27001 no es, por sí sola, instrumento del art. 46. Las excepciones del art. 49 (p. ej., consentimiento explícito e informado, previa información de los riesgos específicos derivados de la ausencia de decisión de adecuación y de garantías adecuadas) solo caben con carácter excepcional y no para flujos masivos o repetitivos.