Sólo se podrá externalizar servicios en jurisdicciones que cuenten con calificación de riesgo país en grado de inversión y sus legislaciones cumplan con adecuados estándares internacionales en materia de protección y seguridad de datos personales. No obstante, el Directorio o la instancia que haga sus veces podrá excepcionar fundadamente el requisito de la calificación de riesgo país en grado de inversión, en la medida que el país en el que se externalizan los servicios cuente con leyes de protección y seguridad de datos personales adecuadas. Lo anterior, sin perjuicio de lo señalado en el número 2 letra i) del Título III y el número 1 letra b) del Título IV de este Capítulo.