美国最高法院刚刚推翻了欧美之间的数据传输协议

数据传输

周一，美国最高法院在“特朗普诉斯劳特”一案中裁定，美国联邦贸易委员会（“FTC”）可能已不再具备独立性。自2000年以来，欧盟一直信赖“独立”的FTC，由其负责执行欧盟与美国之间的个人数据保护协议。

根据欧盟基本条约的规定，此类监管机构必须保持独立性。在现行的欧盟与美国协议中，欧盟委员会甚至多达259次（！）提及“独立”的FTC。

马克斯·施雷姆斯表示：“由于美国已经不再拥有独立的政府机构，我们呼吁欧盟委员会恰当撤销针对美国的充分性认定。”

• 欧盟委员会关于欧盟-美国数据保护框架（EUR-Lex）的实施决定 EU 2023/1795 • 美国最高法院在特朗普诉案中的裁决屠杀 • 诺伊布致欧盟委员会的信 欧盟与美国之间的人身数据保护框架。自1995年起，欧盟普遍禁止将个人数据传输至第三国，以确保欧盟的数据保护法规不会因简单地将数据发送至境外而被规避。尽管在某些特殊情况下，如酒店预订到复杂的商业交易等，存在例外情形，但许多欧盟企业却直接将个人数据处理业务外包给了美国的云服务提供商。自2000年以来，欧盟委员会多次认定，美国在个人数据保护方面属于“足够”国家——这一认定使得欧盟与美国之间的信息自由流动成为可能。欧洲法院（CJEU）推翻了委员会此前两项裁决，即所谓的“在”施雷姆斯一案“判决中（废除”安全港“协议）和“施雷姆斯二号”判决（废除“隐私盾”），原因在于美国的监管法律以及美国缺乏有效的司法救济途径。尽管如此，欧盟委员会仍于2023年发布了第三份欧盟-美国协议，名为“欧盟-美国数据保护框架”，该协议在很大程度上沿用了先前已被废止的协议内容。 欧盟对独立数据保护机构的要求。欧盟基本条约立法（即欧盟的“宪法性”框架），即《欧盟条约》第16条第2款和宪章第8条第3款，要求对数据保护事务的监管工作应由“独立”的政府机构承担。由于第三国必须达到“实质上同等”的保护水平，因此，任何希望从欧盟获得个人数据自由流动益处的第三国，都必须同时提供相应的保护措施。迄今为止，美国已任命“独立”的FTC为美国的数据保护机构，以满足欧盟对独立监管的要求。而欧盟则在涉及欧盟与美国之间数据传输的裁决中，曾多达259次（！）向FTC提出请求。 马克斯·施雷姆斯指出：“关键在于，欧盟的宪法性框架要求实行独立监管。要改变这一现状，唯一的途径就是所有欧盟成员国一致通过决议，修改欧盟基本条约。” 对独立法院的要求。此外，欧盟法院还强调，美国应当为政府所实施的监管提供独立的司法救济途径。由于美国未能通过相关立法，拜登政府便成立了“数据保护审查委员会”。尽管它被称为“法院”，但实际上却是隶属于美国司法部的执行机构。它仅通过前总统拜登（EO）才被视为“独立”，而特朗普可以随时更改该条款，且该条款并不对总统产生任何约束力。 “斯劳特”裁决：统一的行政权力。在对以往司法实践作出180度转变之际，美国最高法院的保守派多数派如今已裁定，FTC的独立性违反了宪法。这一裁决基于“统一理论”，该理论认为美国总统有权掌控所有美国的行政官员，并宣布所有赋予各机构自主权的美国法律均违宪。由于欧盟在几乎所有情况下都依赖FTC作为数据保护的“独立”监管机构，欧盟与美国之间整个数据保护框架的结构已然彻底崩塌。 马克斯·施雷姆斯指出：“即便按照欧盟委员会的逻辑，作为欧盟与美国之间所有数据传输基础的协议也已失去其意义。我们敦促委员会开始有条不紊地摆脱对美国云服务的依赖——这并非易事，但遗憾的是，这是不可避免的。委员会曾依靠工业界的施压，建立起一座法律大厦，如今当这座大厦明显坍塌时，它必须承担责任。” 影响范围并非有限。尽管欧盟的裁决已使整个框架不复存在，但欧盟委员会的裁决在形式上仍然有效，除非欧盟委员会予以撤销，或欧盟法院宣告其无效。因此，该裁决并未立即产生实际影响。GDPR仅对个人数据的传输作出了规定；非个人数据则可自由流动。此外，GDPR 49条款允许将必要的数据传输至任何第三国。不过，除非出于绝对必要，否则该条款并不允许将数据进行结构性转移至欧盟之外。 同样，标准化条款（SCC）和具有约束力的企业规则（BCR）也受其影响。尽管一些企业未必直接依赖欧盟与美国之间的框架协议，而是以形式上的标准化条款和具有约束力的企业规则为依据，但它们通常也会参考“影响评估”，而这些评估又往往基于此前独立的美国执行机构，例如PCLOB或数据保护审查委员会。因此，美国最高法院的裁决通常也会对这些机构产生影响，即使它们并未依赖FTC。与那些依赖委员会正式裁决的注册人不同，这些机构必须立即更新其评估结果——并且理所当然地得出结论：数据传输已不再合法。 接下来的步骤：委员会应废除欧盟与美国之间的协议。noyb已发送致欧盟委员会的官方信函，请求委员会采取必要措施，以合法方式废除欧盟与美国之间的数据保护协议。从政治层面来看，许多欧盟成员国已开始迈向“数字主权”，并宣布将脱离美国的服务提供商。此外，一些美国的服务提供商也在逐步转向独立的欧盟内部数据处理体系。然而，由于美国仍在大力施压欧盟，推动继续进行个人数据传输，noyb计划在未来几周内提起诉讼，以便欧盟法院能够废除现行协议。不过，此类诉讼的审理通常需要2到3年时间，直到最终作出裁决。