El Tribunal Supremo de Estados Unidos ha puesto en jaque, con su reciente decisión en el caso Trump v. Slaughter, al marco de transferencias de datos personales entre la Unión Europea y Estados Unidos, uno de los pilares del flujo transatlántico de información digital. El fallo, que señala que la Comisión Federal de Comercio (FTC) no puede ser un organismo independiente del Ejecutivo, desmonta los argumentos centrales sobre los que la Comisión Europea construyó en 2023 el llamado EU-US Data Privacy Framework (DPF), su tercera decisión de adecuación consecutiva con Washington.
El DPF, adoptado en julio de 2023 mediante la Decisión de Ejecución UE 2023/1795, nació como respuesta a los sucesivos varapalos judiciales que el Tribunal de Justicia de la UE (TJUE) propinó a sus predecesores: Safe Harbour, anulado en 2015 (Schrems I), y Privacy Shield, anulado en 2020 (Schrems II). En ambos casos, el TJUE concluyó que la legislación estadounidense sobre vigilancia masiva y la ausencia de mecanismos efectivos de recurso judicial dejaban a los ciudadanos europeos sin una protección esencialmente equivalente a la europea.
Según la organización noyb, promotora de aquellas demandas, la base jurídica del DPF dependía en 259 ocasiones de la supuesta independencia de la FTC como autoridad de control de la privacidad. Esa independencia, sostienen desde noyb, es un requisito impuesto por el propio Derecho constitucional de la UE: el artículo 16.2 del Tratado de Funcionamiento de la UE y el artículo 8.3 de la Carta de Derechos Fundamentales exigen que la supervisión en materia de protección de datos sea ejercida por una autoridad independiente. Como recuerda el activista Max Schrems, "el único modo de cambiar esta exigencia sería una votación unánime de todos los Estados miembros para modificar los tratados".
La sentencia del Supremo estadounidense, no obstante, no afecta únicamente a la FTC. También pone en cuestión la llamada Data Protection Review Court, un órgano creado por la Administración Biden para ofrecer un mecanismo de recurso en materia de vigilancia y que, pese a su nombre, es un organismo ejecutivo dependiente del Departamento de Justicia. Su pretendida independencia se sustentaba exclusivamente en una orden ejecutiva —la Executive Order 14086— susceptible de ser revocada en cualquier momento por el presidente, como recoge noyb en su análisis.
El bufete Matheson, por su parte, coincide en que la decisión de Slaughter "ha colocado el futuro del DPF en duda", al debilitar los cimientos jurídicos sobre los que se construyó la equivalencia entre ambos sistemas. Matheson subraya que la FTC no era el único organismo estadounidense relevante: el marco también descansaba en el Privacy and Civil Liberties Oversight Board (PCLOB) y en tribunales especializados en asuntos de inteligencia, cuya autonomía queda igualmente en entredicho bajo la nueva doctrina de la "teoría unitaria del Ejecutivo" que el Supremo parece respaldar.
Aunque las consecuencias no son automáticas —la decisión de adecuación de la Comisión Europea sigue formalmente vigente hasta que sea derogada o anulada—, tanto noyb como diversos juristas consultados coinciden en que su base material ha quedado seriamente comprometida. Las empresas que transfieren datos a EE. UU. basándose en cláusulas contractuales tipo (SCC) o normas corporativas vinculantes (BCR) no escapan al problema: estas suelen apoyarse en evaluaciones de impacto que, a su vez, dependen de organismos cuya independencia acaba de ser puesta en cuestión.
En la práctica, según noyb, esto obliga a las empresas a revisar de inmediato sus evaluaciones de transferencia y, en muchos casos, a concluir que los flujos hacia proveedores estadounidenses han dejado de ser legales. Algunos gigantes tecnológicos ya han anunciado planes para procesar datos europeos en servidores localizados dentro de la UE, mientras varios Estados miembros han adoptado retóricas favorables a una mayor "soberanía digital".
noyb ha enviado una carta formal a la Comisión Europea pidiendo la retirada ordenada del DPF y ha anunciado que presentará una demanda ante el TJUE en las próximas semanas para forzar su anulación. No obstante, el propio Schrems reconoce que un procedimiento así puede prolongarse entre dos y tres años. Entretanto, el artículo 49 del RGPD seguirá permitiendo transferencias puntuales y necesarias —como las asociadas a viajes o transacciones específicas—, pero no el desvío estructural de datos a proveedores estadounidenses.
El desenlace del pulso entre ambas orillas del Atlántico vuelve a depender, como en 2015 y 2020, del TJUE. La diferencia es que esta vez el golpe no procede de Luxemburgo, sino de Washington: es la propia judicatura estadounidense la que ha desmontado, sin pretenderlo, el delicado edificio jurídico que sostenía el libre flujo de datos entre las dos mayores economías digitales del mundo.