Η διαδικασία έγκρισης των Δεσμευτικών Εταιρικών Κανόνων (BCR) με βάση τοΓΚΠΔ περιλαμβάνει τα ακόλουθα στάδια:

1. Καθορισμός επικεφαλής εποπτικής αρχής. Ο όμιλος επιχειρήσεων που ενδιαφέρεται να υποβάλει BCR προς έγκριση από την αρμόδια εποπτική αρχή, πρέπει να προτείνει συγκεκριμένη εποπτική αρχή ως επικεφαλής (Lead Supervisory Authority) σύμφωνα με τα κριτήρια τουWP 263. Αυτή η εποπτική αρχή είναι η αρμόδια να εγκρίνει τα BCR, σύμφωνα με τα άρθρα 47 παρ. 1 και 63 ΓΚΠΔ.
2. Εφόσον επιλεγεί η επικεφαλής εποπτική αρχή, ξεκινούν οι διαβουλεύσεις μεταξύ αυτής και του αιτούντος. Το πρώτο σχέδιο των BCR και όλα τα σχετικά έγγραφα υποβάλλονται σε δύο άλλες εποπτικές αρχές (καλούμενες co-reviewers) προς υποβολή σχολίων.
3. Το αποτέλεσμα αυτών των συζητήσεων, το οποίο ονομάζεται «ενοποιημένο σχέδιο» των BCR (consolidated draft), υποβάλλεται σε όλες τις ενδιαφερόμενες εποπτικές αρχές στο πλαίσιο μιας διαδικασίας συνεργασίας (σ.σ. διάφορη από τη συνεργασία που κατοχυρώνεται στον ΓΚΠΔ με βάση τα άρθρα 60 επ.). Η επικεφαλής εποπτική αρχή ενεργεί σε αυτή τη φάση ως μοναδικό σημείο επαφής, προκειμένου να διαβιβάζει στον αιτούντα τα σχόλια των υπόλοιπων εποπτικών αρχών και να συντονίζει όλη τη διαδικασία.
4. Το αποτέλεσμα των παραπάνω διαβουλεύσεων καλείται «τελικό σχέδιο» των BCR (final draft). Το σχέδιο απόφασης έγκρισης του τελικού σχεδίου των BCR υποβάλλεται από την επικεφαλής εποπτική αρχή στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) για την έκδοση γνώμης σύμφωνα με το άρθρο 64 παρ. 1 ΓΚΠΔ.
5. Εφόσον η γνώμη του ΕΣΠΔ είναι θετική, η επικεφαλής εποπτική αρχή την υιοθετεί και εκδίδει την απόφαση έγκρισης των BCR. Σε περίπτωση διαφωνίας μεταξύ ΕΣΠΔ και επικεφαλής εποπτικής αρχής, ακολουθείται η διαδικασία του άρθρου 65 ΓΚΠΔ.
6. Μετά την έγκριση των BCR, η επικεφαλής εποπτική αρχή κοινοποιεί την απόφαση έγκρισης στις ενδιαφερόμενες εποπτικές αρχές, οι οποίες δεν υποχρεούνται να εκδώσουν εθνική άδεια.