美国最高法院裁决破坏欧美数据传输

# 美国最高法院刚刚终结了欧盟-美国数据传输 来源：https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers **周一，美国最高法院在 Trump v. Slaughter 案中裁定，美国联邦贸易委员会（FTC）不再具有独立性。自2000年以来，欧盟一直依赖“独立”的 FTC 作为欧盟-美国个人数据协议的执行机构。根据欧盟条约法，此类监督必须独立。在当前欧盟-美国协议中，欧盟委员会依赖独立的 FTC 高达 259 次。Max Schrems：“鉴于美国已不再拥有独立监管机构，我们呼吁欧盟委员会有序撤销对美国的充分性认定。”** - 关于欧盟-美国数据隐私框架的第 EU 2023/1795 号委员会实施决定（EUR-Lex）(https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng) - 美国最高法院在 *Trump v. Slaughter* 案中的裁决 (https://www.supremecourt.gov/opinions/25pdf/25-332_qn12.pdf) - *noyb* 致欧盟委员会的信函 (https://noyb.eu/sites/default/files/2026-06/Letter_noyb_EU-US_data_transfers.pdf) **欧盟-美国数据隐私框架。**自1995年以来，欧盟通常禁止将个人数据传输至第三国，以防止仅通过将数据发送至国外来规避欧盟隐私规则。虽然存在必要传输的例外情况（从预订酒店到复杂交易等），但许多欧盟公司简单地将个人数据处理外包给美国云服务提供商。自2000年以来，欧盟委员会多次承认美国在个人数据保护方面是“充分”国家——允许欧盟与美国之间的数据自由流动。欧洲法院（CJEU）在所谓的“*Schrems I*”裁决（推翻“安全港”）(https://en.wikipedia.org/wiki/International_Safe_Harbor_Privacy_Principles#Citizen_complaint_about_Facebook_data_safety) 和“*Schrems II*”裁决（推翻“隐私盾”）(https://en.wikipedia.org/wiki/EU%E2%80%93US_Privacy_Shield#Legal_challenge) 中，因美国监控法律及缺乏司法救济而废除了委员会的前两项决定。尽管如此，欧盟委员会仍于2023年发布了第三项欧盟-美国协议，称为“欧盟-美国数据隐私框架 (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/eng)”，该协议在很大程度上是先前被废除协议的复制品。 **欧盟对独立数据保护机构的要求。**欧盟条约法（即欧盟的“宪法”框架），特别是《欧盟运行条约》第16条第2款 (https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:12016E/TXT) 和《基本权利宪章》第8条第3款 (https://eur-lex.europa.eu/eli/treaty/char_2012/oj/eng)，要求数据保护事务的监督必须由“独立”机构执行。由于第三国必须提供“实质等同”的保护，任何希望享受欧盟个人数据自由流动的第三国也必须提供此类保护。迄今为止，美国指定“独立”的 FTC 作为美国隐私监管机构，以满足欧盟对独立监督的要求。相应地，欧盟在其欧盟-美国数据流动决定中多达 259 次依赖 FTC。 Max Schrems：“关键是，欧盟宪法框架要求独立监督。改变这一点的唯一方式是所有欧盟成员国一致投票修改欧盟条约。” **对独立法院的要求。**此外，欧洲法院还强调，美国需要在政府监控问题上提供独立的法律救济机制。由于美国未能通过相关立法，拜登政府创建了一个“数据保护审查法院 (https://www.justice.gov/opcl/redress-data-protection-review-court)”。尽管被称为“法院”，但它实际上是美国司法部内的一个行政机构。其“独立性”仅依赖于前总统拜登的一项行政命令 (https://www.justice.gov/opcl/executive-order-14086)（EO），该命令特朗普随时可以更改，且对总统不具约束力。 **“Slaughter”裁决：一元（特朗普）行政权。**在先前判例的180度大转弯中，美国最高法院的保守派多数派现在裁定 FTC 的独立性违宪。这遵循了“一元行政权理论”，即美国总统必须对所有美国行政机构拥有权力，宣告使各机构独立的美国法律均属违宪。鉴于欧盟在几乎所有情况下都依赖 FTC 的“独立性”作为隐私监管机构，整个欧盟-美国数据隐私框架的结构刚刚崩溃。 Max Schrems：“即使按照欧盟委员会的逻辑，任何欧盟-美国数据传输协议的基础也已死亡。我们呼吁委员会开始有序退出美国云服务——这并不容易，但不幸的是不可避免。委员会在行业压力下搭建了一座法律纸牌屋。现在它显然已经倒塌，委员会必须承担责任。” **影响并非无限。**即使欧盟决定的所有支撑都已消失，欧盟委员会的决定在形式上仍然有效，直到欧盟委员会撤销或欧洲法院宣布其无效。因此，没有立即生效的影响。GDPR 也仅规范个人数据的传输。非个人数据可以自由流动。此外，《通用数据保护条例》第49条 (https://gdprhub.eu/index.php?title=Article_49_GDPR) 允许向任何第三国进行必要的数据传输。但如果并非严格必要，它不允许将数据结构性离岸化。 **SCCs 和 BCRs 也受影响。**虽然一些公司可能不直接依赖欧盟-美国框架，而是正式使用标准合同条款和约束性公司规则，但它们通常也依赖于“影响评估”，而该评估又依赖于先前独立的美国行政机构，如 PCLOB 或数据保护审查法院。因此，最高法院的裁决通常也会影响它们，即使它们不依赖 FTC。与控制者依赖正式委员会决定的情况不同，它们必须立即更新其评估——并逻辑上得出数据传输不再合法的结论。 **下一步：委员会必须撤销欧盟-美国协议。***noyb* 今天已向欧盟委员会发送正式信函 (https://noyb.eu/sites/default/files/2026-06/Letter_noyb_EU-US_data_transfers.pdf)，要求其采取适当步骤有序撤销欧盟-美国数据协议。在政治上，许多欧盟成员国已转向“数字主权”方针，并宣布脱离美国服务提供商。一些美国服务提供商也在转向独立的欧盟数据处理。然而，鉴于美国仍在施加巨大压力要求欧盟保持个人数据流动，*noyb* 还将在未来几周内提起诉讼，旨在让欧洲法院废除当前协议。不过，此类诉讼通常需要2至3年才能做出最终裁决。