Una decisión de adecuación de la UE es el mecanismo de transferencia más sencillo que existe: los datos fluyen del EEE al destino incluido en la lista como si nunca hubieran salido. La lista es breve, conseguida por la vía política y se revisa periódicamente. La revisión de la Comisión de enero de 2024 reafirmó las once decisiones anteriores al RGPD, la renovación del Reino Unido es válida hasta el 27 de diciembre de 2031, y en julio de 2025 la Organización Europea de Patentes se convirtió en la primera organización internacional incluida en la lista.
La lista de adecuación de la UE
- Andorra
- Argentina
- Canadá (organizaciones comerciales reguladas por la PIPEDA)
- Corea del Sur
- Estados Unidos (empresas certificadas en el Marco de Privacidad de Datos UE-EE. UU.)
- Guernsey
- Isla de Man
- Islas Feroe
- Israel
- Japón
- Jersey
- Nueva Zelanda
- Organización Europea de Patentes (la primera organización internacional declarada adecuada, julio de 2025)
- Reino Unido
- Suiza
- Uruguay
La entrada de EE. UU. cubre únicamente a las empresas certificadas en el Marco de Privacidad de Datos, por lo que la verificación proveedor por proveedor sigue siendo importante. Argentina y Uruguay siguen siendo los únicos países latinoamericanos con esta condición, por lo que los flujos de datos brasileños y mexicanos aún dependen de cláusulas contractuales. La Comisión publicó un proyecto de decisión de adecuación para Brasil en septiembre de 2025, y su adopción cambiaría esta situación.
Otros regímenes de adecuación
El Reino Unido mantiene su propia lista (heredada de la UE, más adiciones) y sus propios mecanismos de transferencia. Japón y Corea del Sur mantienen acuerdos mutuos con la UE. La ANPD de Brasil, el Consejo Federal de Suiza, Israel y otros mantienen listas nacionales propias, y el "puente de datos" entre el Reino Unido y EE. UU. amplía el modelo del DPF. La adecuación funciona como una infraestructura bilateral, de modo que un destino puede ser adecuado para un origen y estar restringido para otro.