美国最高法院裁决致使欧美数据传输协议根基崩塌

数据传输

周一，美国最高法院在特朗普诉案中作出裁决。斯劳特决定美国联邦贸易委员会（“FTC”）可能不再独立。自2000年以来，欧盟依赖“独立”的FTC作为欧盟-美国个人数据协议的执行机构。

根据欧盟条约法，这种监督必须是独立的。在欧盟与美国当前的协议中，欧盟委员会至少提及了259次（！）个独立的FTC。马克斯·施雷姆斯：“鉴于美国已无独立机构，我们呼吁欧盟委员会有序撤销对美国的充分性决定。”

•欧盟委员会实施决定 EU 2023/1795，关于欧盟-美国数据保护框架（EUR-Lex）•美国最高法院在特朗普诉斯劳特案中的裁决•诺伊布致欧盟委员会的信 欧盟-美国数据保护框架。自1995年以来，欧盟普遍禁止向第三国出口个人数据，以确保仅仅将数据发送到国外就无法规避欧盟隐私规则。虽然必要的转移有例外——从预订酒店到复杂交易——但许多欧盟公司已经将个人数据处理外包给美国云服务提供商。自2000年以来，欧盟委员会多次承认美国在个人数据保护方面是一个“足够”的国家——允许欧盟与美国之间数据自由流通。欧洲法院（ECJ）已撤销了委员会此前关于所谓“的两个决定“施雷姆斯一世”裁决（推翻了“安全港”）在“施雷姆斯二号”（推翻了“隐私盾牌”）由于美国的监控法律以及美国缺乏法律救济。尽管如此，欧盟委员会在2023年还是达成了第三份欧盟-美国协议，称为欧盟-美国数据保护框架该协议在很大程度上是之前已废止协议的复制品。 欧盟对独立数据保护机构的要求。欧盟条约法（即欧盟的“宪法”框架），具体如下《欧盟条约》第16条第2款在《基本权利宪章》第8条第3款要求数据保护事务的监督必须由“独立”机构执行。由于第三国必须拥有“基本等效”的保护措施，任何希望从欧盟自由流通个人数据的第三方国家也必须提供此类保护措施。迄今为止，美国已指定“独立”的FTC为美国隐私监管机构，以满足欧盟对独立监督的要求。欧盟则反过来，在决定欧盟与美国之间数据流动的问题上，向FTC提出了不少于259次（！）的上诉。 马克斯·施雷姆斯：“至关重要的是，欧盟的宪法框架需要独立监督。改变这一状况的唯一途径是所有欧盟成员国一致投票修改欧盟条约。” 独立司法机构的要求。此外，欧盟法院（CJEU）还强调，美国应在政府监控案件中提供独立救济。由于美国未能通过相关立法，拜登政府创造了一个”数据保护复审法院”.虽然被称为“法院”，但实际上它是美国司法部内的一个行政机构。它只有通过实施决策（行政命令）前总统拜登的命令，该命令可由特朗普随时更改，且对总统不具约束力。 “屠杀”裁决：统一（特朗普）行政权力。在判例法上180度大转弯，美国最高法院的保守派多数派现已裁定联邦贸易委员会的独立性违宪。这源自一种“统一”理论，认为美国总统应掌控所有美国行政机构，并宣布所有使各机构独立的美国法律均违宪。由于欧盟在几乎所有情况下都依赖FTC作为隐私监管机构的“独立性”，欧盟-美国数据保护框架的整个结构已经崩溃。 马克斯·施雷姆斯：“即使按照欧盟委员会的逻辑，任何欧盟-美国数据传输协议的基础都已经消失。我们呼吁欧盟委员会有序地退出美国云端——这并不容易，但遗憾的是不可避免。在业界压力下，委员会搭建了一个法律层面的纸牌屋;现在它明显在崩溃，她必须承担起责任。” 后果并非无限。即使欧盟委员会决定的所有依据都已推翻，该决定在欧盟委员会撤销或法院撤销前仍正式有效。所以没有立即的影响。此外，GDPR仅规范个人数据的转移。非个人数据可以继续自由流动。进一步GDPR第49条必要的数据传输到任何第三国。但如果非绝对必要，欧盟不允许结构性地将数据转移到欧盟境外。 标准合同条款（SCCs）和约束公司规则（BCRs）也受到影响。虽然有些公司可能不直接依赖欧盟-美国框架，而是正式使用SCC和BCR，但他们通常也依赖“影响评估”，而这又依赖于此前独立的美国实施机构，如PCLOB或数据保护审查法院。因此，最高法院的裁决通常也会影响他们，即使他们不信任FTC。与依赖委员会正式决定的控制者不同，他们必须立即更新评估——并逻辑上得出数据传输不再合法的结论。 下一步：欧盟委员会必须撤回欧盟-美国协议。诺伊布有致欧盟委员会的正式信函该案呼吁委员会采取必要措施，有序地废除欧盟-美国数据协议。在政治上，许多欧盟成员国已经采取了“数字主权”的步骤，并宣布脱离美国服务提供商。一些美国服务提供商也在采取措施，推动欧盟的独立数据处理。然而，由于美国仍在对欧盟施加巨大压力以维持个人数据流通，noyb也将在未来几周内提起诉讼，旨在允许欧盟法院（CJEU）废除当前协议。然而，此类诉讼通常需要2到3年才能做出最终裁决。