Decisão da Suprema Corte dos EUA sobre agências independentes ameaça acordo de transferência de dados UE-EUA

O Data Privacy Framework (DPF), acordo que sustenta hoje a transferência de dados pessoais entre a União Europeia e os Estados Unidos, entrou em zona de risco. Max Schrems, ativista austríaco por trás dos dois julgamentos anteriores que derrubaram acordos similares, avisou a Bruxelas que pretende contestar o DPF depois de uma decisão da Suprema Corte dos EUA que permite ao presidente demitir integrantes de agências independentes à vontade — inclusive comissários da FTC, órgão-chave do acordo.

O que aconteceu

Em carta enviada a autoridades europeias em julho de 2026, o fundador da organização noyb informou que abrirá processo para invalidar o Data Privacy Framework, adotado formalmente pela Comissão Europeia em 2023. O DPF substituiu o Privacy Shield — que a própria Corte de Justiça da União Europeia havia anulado em 2020, no chamado julgamento Schrems II — e exige que um órgão independente dos EUA supervisione as transferências de dados. Esse papel cabe à Federal Trade Commission (FTC).

A recente decisão da Suprema Corte, contudo, autoriza o presidente a remover membros de agências independentes sem justificativa prévia. Para Schrems, o precedente descaracteriza a autonomia da FTC e viola diretamente o requisito de independência técnica que a Comissão Europeia exigiu para autorizar o DPF. Sem independência real, cai a base jurídica do acordo — e, com ela, a segurança de que dados de europeus estão protegidos contra ingerência política.

Porta-vozes da Comissão Europeia disseram apenas que “tomaram nota” e que “analisarão cuidadosamente” as implicações. Já o European Data Protection Board (EDPB), formado por reguladores nacionais de privacidade, informou estar revisando a decisão e avaliando “possíveis implicações para os mecanismos de supervisão do DPF”.

Por que a decisão importa

O DPF é o instrumento que permite hoje que empresas como Meta, Google, Microsoft, Amazon Web Services e milhares de fornecedores SaaS movam dados de clientes europeus para infraestrutura nos EUA sem cair em cláusulas contratuais padrão mais custosas. Uma nova invalidação — Schrems III, na prática — colocaria em xeque toda a operação de nuvem transatlântica.

“Já sabemos como esse capítulo termina. É apenas uma questão de tempo até que o Tribunal de Justiça da União Europeia derrube esse acordo também”, afirmou Max Schrems ao anunciar a nova ação.

Riscos concretos para empresas

• Fluxos de dados em CRM e marketing: cadastros europeus armazenados em Salesforce, HubSpot e afins passam a depender de mecanismos alternativos (Standard Contractual Clauses) enquanto o DPF é contestado.
• Infraestrutura em nuvem: workloads em AWS, Azure e Google Cloud com processamento em regiões norte-americanas voltam a exigir análises de impacto de transferência (TIA) caso a caso.
• SaaS de RH e folha: dados sensíveis de colaboradores europeus em Workday e ADP se tornam ponto de auditoria imediato por autoridades como CNIL (França) e Garante (Itália).
• Ferramentas de comunicação corporativa: Slack, Teams e Zoom, todos processando dados nos EUA, entram sob pressão regulatória em novos contratos.
• Data brokers e ad-tech: mercado que já opera em cinza pode enfrentar sanções mais duras, sobretudo em Alemanha, Áustria e Holanda.

Análise

A história do DPF é uma sequência de patches jurídicos que tenta contornar uma incompatibilidade estrutural entre a diretiva europeia GDPR e o arcabouço de vigilância americano previsto em leis como FISA 702 e Executive Order 12333. Cada rodada — Safe Harbor em 2000, Privacy Shield em 2016, DPF em 2023 — precisou de garantias adicionais para convencer o judiciário europeu, e cada uma caiu porque essas garantias esbarraram em prerrogativas de segurança nacional dos EUA.

O golpe agora não vem de um julgamento sobre vigilância, mas de uma alteração no equilíbrio de poderes interno americano. E é justamente essa característica que torna o cenário perigoso: mesmo empresas americanas de boa-fé, que operavam confiando na existência de uma FTC autônoma, passam a operar em terreno movediço. Se a Corte de Justiça da UE seguir a lógica de Schrems II, o DPF cai — e o vazio jurídico voltaria pelo menos até que Bruxelas e Washington negociem um novo mecanismo, algo que historicamente leva anos.

Para o Brasil, o caso é um lembrete de que a arquitetura de compliance da LGPD, que segue de perto o modelo europeu, também depende da estabilidade de acordos como o DPF. Empresas brasileiras com operação global costumam usar as garantias europeias como referência técnica em avaliações de risco.

Recomendações práticas para times de segurança e privacidade

• Mapeie novamente onde estão os dados europeus: identifique aplicações, SaaS e provedores que processam dados pessoais de titulares da UE fora do bloco.
• Reative planos B baseados em SCCs: tenha modelos revisados de Standard Contractual Clauses prontos para reforçar contratos caso o DPF caia.
• Discuta regiões alternativas com provedores de nuvem: a maioria oferece opções de residência de dados exclusivamente em Frankfurt, Dublin, Estocolmo ou Milão.
• Atualize as DPIAs (Data Protection Impact Assessments): registre expressamente o risco político-institucional ligado à supervisão da FTC.
• Prepare comunicação com clientes B2B europeus: um novo Schrems III geraria pedidos formais de esclarecimento em RFPs e questionários de segurança em cascata.
• Acompanhe as decisões do EDPB: pareceres do órgão costumam anteceder movimentos das autoridades nacionais e do próprio Tribunal de Justiça da UE.

Fonte: The Record