美国最高法院裁决重创美欧数据跨境传输框架

数据传输

美国最高法院在“特朗普诉斯洛特”案中作出裁决，认定美国联邦贸易委员会（“FTC”）可能不再具备独立性。自2000年以来，欧盟一直依赖“独立”的FTC作为负责执行欧盟与美国之间个人数据协议的机构。

根据欧盟的法律制度，此类监管应保持独立。在现行的欧盟与美国协议中，欧盟委员会曾259次（！）提及“独立”的FTC。马克斯·施雷姆斯表示：“鉴于美国已不再拥有独立的监管机构，我们呼吁欧盟委员会依法撤回针对美国的充分性认定决定。”

• 欧盟委员会关于欧盟-美国数据保护框架（EUR-Lex）的实施决定 EU 2023/1795 •美国最高法院在特朗普诉斯劳特案中的裁决 •诺伊布致欧盟委员会的信 欧盟与美国之间的个人数据保护框架。自1995年起，欧盟原则上禁止将个人数据出口至第三国，以确保欧盟的个人数据保护法规不会因单纯将数据发送至海外而被规避。尽管存在一些例外情况，例如酒店预订或复杂的交易等，但许多欧盟企业往往将个人数据的处理工作交由美国的云服务提供商来完成。自2000年以来，欧盟委员会多次将美国认定为在个人数据保护方面“充分性”符合的国家——这使得欧盟与美国之间的数据自由流动成为可能。欧洲法院（ECJ）推翻了委员会此前两项裁决，即所谓的《Schrems I》（结束了《Safe Harbour》）和“施雷姆斯二世”（废除“隐私盾”），理由是美国的监控法律以及美国缺乏有效的司法救济途径。然而，欧盟委员会于2023年签署了第三份欧盟与美国协议，名为“欧盟-美国数据保护框架”，该协议在很大程度上沿用了先前被撤销的协议。 欧盟对独立数据保护机构的要求。欧盟的法律框架（即欧盟的“宪法”框架），也就是《欧盟条约》第16条第2款和《基本权利宪章》第8条第3款，要求对数据保护问题的监管应由“独立”机构负责。由于第三国也应具备“实质上同等”的保护措施，因此任何希望享受欧盟个人数据自由流动的第三国，都必须同样提供此类保护措施。迄今为止，美国已将“独立”的联邦贸易委员会（FTC）指定为个人数据监管机构，以满足欧盟对独立监管的要求。而欧盟则在其关于欧盟与美国之间数据流动的裁决中，共259次（！）提及FTC。 马克斯·施雷姆斯表示：“至关重要的是，欧盟的宪法框架要求进行独立监管。要改变这一现状，唯一的方法就是由所有欧盟成员国一致投票通过修改欧盟条约。” 对独立法院的要求。此外，欧洲法院还强调，美国必须建立独立的法律救济机制，以应对政府监管相关的问题。由于美国未能通过相应的立法，拜登政府推出了“数据保护复审法院”。尽管其名为“法院”，但实际上它是美国司法部下属的一个执行机构。它之所以“独立”，仅得益于前总统拜登的行政命令（EO），而这一机制随时可能被特朗普更改，且并非对总统具有强制性。 “斯洛特”案的裁决：统一的（特朗普）行政权力。美国最高法院保守派多数派完全改变了司法实践，裁定联邦贸易委员会（FTC）的独立性违宪。这一裁决基于一种“统一”的理论：美国总统应当对美国的所有行政机构拥有管辖权，并宣布所有赋予各机构独立性的美国法律均违宪。考虑到欧盟几乎在所有情况下都依赖联邦贸易委员会作为个人数据保护机构的“独立性”，欧盟与美国之间个人数据保护框架的整个结构如今已彻底崩塌。 马克斯·施雷姆斯表示：“即便按照欧盟委员会的逻辑，欧盟与美国之间每一份数据传输协议的基础早已不复存在。我们呼吁委员会平稳地逐步退出美国云服务——这并不容易，但遗憾的是，这是不可避免的。委员会曾依靠行业压力打造了一座法律大厦，如今当它显然正在崩塌时，必须承担起责任。” 影响并非无止境。即使欧盟裁决的基础已经消失，欧盟委员会的裁决在形式上仍然有效，直到欧盟委员会予以撤销，或欧洲法院将其宣告无效为止。因此，目前并未立即产生效果。通用数据保护条例（GDPR）仅规范了个人数据的传输。非个人数据可以自由传输。此外，《通用数据保护条例》（GDPR）第49条允许向任何第三国进行必要的数据传输。不过，如果并非出于严格必要，该条款并不允许将数据结构性地转移出欧盟。 标准合同条款（SCC）和约束性公司规则（BCR）也受到了影响。尽管有些公司可能并不直接依赖欧盟-美国框架协议，而是转而正式使用标准合同条款和约束性公司规则，但他们通常也会依赖“影响评估”，而这种评估又往往基于美国先前的独立执行机构，如PCLOB或数据保护复审法院。因此，最高法院的裁决通常也会波及这些机构，即便它们并未直接引用联邦贸易委员会（FTC）。除了那些援引委员会正式裁决的管理者外，他们必须立即更新自身的评估——并理所当然地得出结论：数据传输已不再合法。 后续步骤：委员会应撤销欧盟与美国之间的协议。noyb已提交致欧盟委员会的正式信函，呼吁委员会采取必要措施，按顺序撤销欧盟与美国之间的数据协议。从政治角度来看，许多欧盟成员国已经走上了“数字主权”的道路，并明确表示将切断与美国服务提供商的联系。一些美国服务提供商也在采取措施，分别向欧盟处理数据。然而，鉴于美国仍在对欧盟施加巨大压力，要求其继续维持个人数据的流动，noyb将在未来几周内提起诉讼，旨在让欧洲法院撤销现行协议。不过，通常这类司法程序需要2到3年的时间，才能最终达成裁决。