Uma decisão de adequação da UE é o mecanismo de transferência mais simples que existe: os dados fluem do EEE para o destino listado como se nunca tivessem saído. A lista é curta, conquistada politicamente e revisada periodicamente. A revisão da Comissão, em janeiro de 2024, reafirmou as onze decisões anteriores ao GDPR, a renovação do Reino Unido vale até 27 de dezembro de 2031, e, em julho de 2025, a Organização Europeia de Patentes se tornou a primeira organização internacional a entrar na lista.
A lista de adequação da UE
- Andorra
- Argentina
- Canadá (organizações comerciais sob a PIPEDA)
- Coreia do Sul
- Estados Unidos (empresas certificadas no Data Privacy Framework UE-EUA)
- Guernsey
- Ilha de Man
- Ilhas Faroe
- Israel
- Japão
- Jersey
- Nova Zelândia
- Organização Europeia de Patentes (a primeira organização internacional considerada adequada, julho de 2025)
- Reino Unido
- Suíça
- Uruguai
A entrada dos EUA cobre apenas empresas certificadas no Data Privacy Framework, de modo que a verificação fornecedor a fornecedor continua sendo importante. Argentina e Uruguai continuam sendo os únicos países latino-americanos com o status, e é por isso que os fluxos de dados do Brasil e do México ainda dependem de cláusulas contratuais. A Comissão publicou uma minuta de decisão de adequação para o Brasil em setembro de 2025, e sua adoção mudaria esse quadro.
Outros regimes de adequação
O Reino Unido mantém sua própria lista (herdada da UE, com acréscimos) e seus próprios instrumentos de transferência. Japão e Coreia mantêm acordos mútuos com a UE. A ANPD do Brasil, o Conselho Federal da Suíça, Israel e outros mantêm listas nacionais, e a "ponte de dados" Reino Unido-EUA estende o modelo do DPF. A adequação funciona como um encanamento bilateral, então um destino pode ser adequado para uma origem e restrito para outra.