El mundo europeo de la protección de datos ya ha vivido esto. Dos veces, de hecho. En ambas ocasiones, el mecanismo que permitía a las empresas transferir datos personales de la UE a EE. UU. se derrumbó bajo una sentencia del Tribunal de Justicia de la Unión Europea (TJUE): Safe Harbor en Schrems I (2015), Privacy Shield en Schrems II (2020). El mecanismo actual, el marco de protección de datos UE-EE. UU. (Data Privacy Framework, DPF), adoptado en 2023, se diseñó precisamente para sobrevivir a ese historial. Una sentencia del Tribunal Supremo de EE. UU. este verano ha reabierto la cuestión de si puede lograrlo.

Qué ha pasado realmente

El 29 de junio de 2026, el Tribunal Supremo falló, por 6 votos contra 3, en el caso Trump contra Slaughter, que la protección frente al cese «por causa justificada» de los comisionados de la FTC vulnera la separación de poderes, revocando así Humphrey's Executor: un precedente de casi 90 años que había protegido la independencia de la agencia desde 1935. En la práctica, el presidente ahora puede destituir a los comisionados de la FTC a voluntad, y no solo por una causa documentada.

El caso comenzó cuando la administración destituyó a la comisionada de la FTC Rebecca Kelly Slaughter en marzo de 2025 sin alegar base legal alguna. Un tribunal inferior falló inicialmente que la destitución era ilegal; el Tribunal Supremo, en una sentencia del presidente del tribunal, Roberts, se puso del lado de la administración.

Esto se lee como una historia de derecho administrativo estadounidense sin un ángulo europeo evidente. No lo es. La independencia de la FTC es una de las salvaguardas específicas en las que se basó la Comisión Europea al aprobar la decisión de adecuación del DPF en 2023, el instrumento jurídico que permite a miles de empresas transferir datos personales de la UE a EE. UU. sin garantías contractuales adicionales. Un análisis jurídico de esa decisión contabiliza 259 referencias distintas a la independencia de la FTC como razón por la que EE. UU. ofrecía una protección «esencialmente equivalente» a la del RGPD.

Por qué esto afecta precisamente al DPF

La arquitectura jurídica del DPF descansa en la idea de que los organismos de aplicación de EE. UU. —la FTC a la cabeza— operan con suficiente independencia de la presión política como para vigilar cómo tratan las empresas estadounidenses los datos personales de los ciudadanos de la UE, con vías de recurso reales para estos si esos datos se usan indebidamente. Una FTC cuyos comisionados pueden ser destituidos a voluntad por el presidente es, sobre el papel, una institución sustancialmente distinta de la que evaluó la Comisión en 2023.

La sentencia no invalida el DPF por sí sola: las decisiones de adecuación no se desmoronan automáticamente. Pero ofrece a los defensores de la privacidad un cambio fáctico concreto y documentado al que recurrir: un pilar central de la decisión de adecuación de 2023 ya no se sostiene tal como se redactó.

La Comisión no mencionó la independencia de la FTC de pasada, una o dos veces: incorporó 259 referencias distintas a ella en su razonamiento. Eso no es una nota a pie de página que los reguladores puedan reinterpretar en silencio; es el cimiento.

noyb ya se ha movido

Esto no es una hipótesis que los defensores de la privacidad vayan a abordar algún día. Ya el 30 de junio de 2026 —un día después de la sentencia— la organización de Max Schrems, noyb, envió una carta formal a la Comisión Europea exigiendo una retirada ordenada de la decisión de adecuación del DPF, calificando el marco de «castillo de naipes jurídico». noyb ha calificado explícitamente el desafío legal que se avecina como «Schrems III», la misma organización detrás de las dos invalidaciones anteriores.

Ese es un comienzo sustancialmente más rápido que en las dos rondas anteriores. Si el patrón se mantiene a partir de aquí, cabe esperar que una denuncia pase primero por una autoridad nacional de protección de datos, probablemente remitida al TJUE como cuestión prejudicial: la misma vía que produjo Schrems I y II.

El calendario realista

Nada de esto se mueve rápido, ni siquiera con noyb ya llamando a la puerta de la Comisión. Los comentaristas jurídicos que siguen el caso consideran finales de 2026 como la fecha más temprana plausible para una sentencia del TJUE, con 2027 como la hipótesis de trabajo más probable. El DPF no va a desaparecer este trimestre, ni probablemente este año.

259
Veces que se cita la independencia de la FTC en la decisión de adecuación del DPF
6–3
Votación del Tribunal Supremo para eliminar la protección de los comisionados de la FTC
2023
Año en que se adoptó el marco de protección de datos UE-EE. UU.
2027
Año más realista para una sentencia del TJUE, si se repite la historia

Dicho esto, «no este trimestre» es un mal motivo para esperar. Las dos invalidaciones anteriores llegaron de forma abrupta en cuanto el TJUE falló realmente, y las organizaciones que habían construido todo su cumplimiento de transferencias en torno al mecanismo del momento se quedaron desatendidas. La lección que la memoria institucional ya debería haber dado: construye el plan de contingencia antes de necesitarlo, no después.

Qué hacer ahora

Si transfieres datos personales de la UE a EE. UU. al amparo del DPF, este es un momento para «reforzar el plan de contingencia», no para «arrancar las tuberías».

  1. No abandones tus cláusulas contractuales tipo (CCT). Si ya combinas CCT con la certificación DPF —el enfoque de «cinturón y tirantes» que varias autoridades de protección de datos han recomendado—, sigue haciéndolo. Las organizaciones que ya cuentan con CCT afrontarán mucha menos disrupción si el DPF se anula; las que dependen únicamente de la certificación DPF se enfrentan a una transición mucho más difícil.
  2. Mantén actualizadas tus evaluaciones de impacto de la transferencia (TIA). Si realizas TIA junto con las CCT, trata esta sentencia como el detonante para revisarlas ahora, en lugar de esperar a que una decisión del TJUE te obligue a hacerlo. Si aún no tienes ningún proceso de TIA, esa es la brecha que cerrar primero: la misma lógica que se aplica a construir un proceso de EIPD antes de necesitarlo se aplica aquí.
  3. Vigila la primera denuncia a nivel de autoridad. La señal real para acelerar será una denuncia concreta presentada ante una autoridad de protección de datos de la UE que cite explícitamente Trump contra Slaughter. Ese es el momento en que esto pasa de «riesgo a vigilar» a «procedimiento legal activo». Dada la carta de noyb, ese paso podría llegar plausiblemente en los próximos meses.
  4. No migres tu infraestructura por pánico. No hay indicios de que el DPF esté jurídicamente muerto, y trasladar los flujos de datos de forma reactiva a raíz de una sola sentencia de un tribunal estadounidense sería prematuro y costoso. Arregla el plan de contingencia; no arranques todavía la vía principal.

Puesto junto a todo lo demás que se mueve este año en la protección de datos europea —las obligaciones de alto riesgo del Reglamento de IA que ahora se suman al RGPD, la batalla del Ómnibus Digital por estrechar la definición de datos personales, la campaña de acción coordinada del CEPD sobre transparencia para 2026—, esto encaja en un patrón más amplio: los cimientos jurídicos que parecían asentados se están renegociando simultáneamente en múltiples frentes, desde Bruselas y desde Washington. Si no tienes claro si el mecanismo de transferencia de tu organización cuenta con un respaldo real, merece la pena responder a eso antes de que una denuncia te obligue a hacerlo. Reserva una consulta gratuita con GDPRGard →

Fuentes

Lee también:

⚠️ Este artículo es solo informativo y no constituye asesoramiento jurídico. Para situaciones de cumplimiento complejas, consulte a un profesional cualificado de protección de datos. Los requisitos del RGPD y de la Ley de IA de la UE están sujetos a orientaciones regulatorias continuas — verifique sus obligaciones actuales con su asesor legal.