Svijet europske zaštite podataka ovo je već doživio. Zapravo dvaput. Oba puta mehanizam koji je tvrtkama omogućavao prijenos osobnih podataka iz EU-a u SAD urušio se pod presudom Suda Europske unije — Safe Harbor u predmetu Schrems I (2015.), Privacy Shield u predmetu Schrems II (2020.). Sadašnji mehanizam, EU-SAD okvir za zaštitu podataka (Data Privacy Framework, DPF), usvojen 2023., izgrađen je upravo da preživi tu povijest. Presuda Vrhovnog suda SAD-a ovog ljeta ponovno je otvorila pitanje može li.

Što se zapravo dogodilo

Vrhovni sud SAD-a presudio je 29. lipnja 2026. omjerom glasova 6–3 u predmetu Trump protiv Slaughter da zaštita povjerenika FTC-a od razrješenja „iz opravdanog razloga" krši načelo diobe vlasti, čime je ukinuo presedan Humphrey's Executor — gotovo 90 godina star presedan koji je od 1935. štitio neovisnost te agencije. U praksi predsjednik sada može razriješiti povjerenike FTC-a po volji, a ne samo iz dokumentiranog razloga.

Predmet je pokrenut kada je administracija u ožujku 2025. razriješila povjerenicu FTC-a Rebeccu Kelly Slaughter bez navođenja zakonske osnove. Nižestupanjski sud u početku je presudio da je razrješenje nezakonito; Vrhovni sud, u odluci predsjednika suda Robertsa, stao je na stranu administracije.

To zvuči kao priča o američkom upravnom pravu bez očitog dodira s EU-om. Nije. Neovisnost FTC-a jedna je od specifičnih zaštitnih mjera na koje se Europska komisija oslonila kada je 2023. odobrila odluku o primjerenosti DPF-a — pravni instrument koji tisućama tvrtki omogućuje prijenos osobnih podataka iz EU-a u SAD bez dodatnih ugovornih zaštitnih mjera. Pravna analiza te odluke broji 259 zasebnih navoda neovisnosti FTC-a kao razloga zbog kojeg SAD nudi zaštitu „u bitnome jednaku" onoj iz GDPR-a.

Zašto ovo pogađa baš DPF

Pravna arhitektura DPF-a počiva na ideji da su američka provedbena tijela — na čelu s FTC-om — dovoljno neovisna o političkom pritisku da nadziru postupanje američkih tvrtki s osobnim podacima građana EU-a, uz smislenu pravnu zaštitu za građane EU-a ako se ti podaci zlouporabe. FTC čije povjerenike predsjednik može razriješiti po volji na papiru je bitno drugačija institucija od one koju je Komisija ocjenjivala 2023.

Presuda sama po sebi ne poništava DPF — odluke o primjerenosti se ne raspadaju automatski. No ona zagovornicima privatnosti daje konkretnu, dokumentiranu činjeničnu promjenu na koju se mogu pozvati: ključni stup nalaza o primjerenosti iz 2023. više ne vrijedi onako kako je zapisan.

Komisija nije neovisnost FTC-a spomenula tek usput jednom ili dvaput — ugradila je 259 zasebnih navoda o njoj u samo obrazloženje. To nije fusnota koju regulatori mogu tiho reinterpretirati; to je temelj.

noyb je već reagirao

Ovo nije hipoteza kojom će se zagovornici privatnosti pozabaviti jednog dana. Već 30. lipnja 2026. — dan nakon presude — organizacija Maxa Schremsa, noyb, poslala je Europskoj komisiji službeno pismo kojim traži uredno povlačenje odluke o primjerenosti DPF-a, nazivajući taj okvir „pravnom kućicom od karata". noyb je nadolazeći pravni izazov izričito nazvao „Schrems III" — ista organizacija stoji iza oba prethodna poništenja.

To je bitno brži početak nego u prethodna dva kruga. Ako se obrazac odavde nastavi, očekuje se da će pritužba proći kroz nacionalno nadzorno tijelo za zaštitu podataka, vjerojatno upućena Sudu EU-a kao prethodno pitanje — istim putem kojim su nastali Schrems I i II.

Realističan vremenski okvir

Ništa se ovdje ne odvija brzo, čak ni uz noyb već pred vratima Komisije. Pravni komentatori koji prate slučaj kasnu 2026. smatraju najranijim mogućim datumom presude Suda EU-a, uz 2027. kao vjerojatniju radnu pretpostavku. DPF ovog tromjesečja, a vjerojatno ni ove godine, neće nestati.

259
Broj navoda neovisnosti FTC-a u odluci o primjerenosti DPF-a
6–3
Omjer glasova Vrhovnog suda o ukidanju zaštite povjerenika FTC-a
2023.
Godina usvajanja EU-SAD okvira za zaštitu podataka
2027.
Najranija realna godina presude Suda EU-a, ponovi li se povijest

Ipak, „ne ovog tromjesečja" loš je razlog za čekanje. Oba prethodna poništenja stigla su naglo čim je Sud EU-a doista presudio, a organizacije koje su svu svoju usklađenost prijenosa izgradile oko mehanizma trenutka ostale su zatečene. Pouka koju bi institucionalno pamćenje do sada trebalo pružiti: izgradite rezervni plan prije nego što vam zatreba, a ne poslije.

Što učiniti sada

Ako prenosite osobne podatke iz EU-a u SAD na temelju DPF-a, ovo je trenutak za „ojačati rezervni plan" — ne za „iščupati cijevi".

  1. Ne napuštajte standardne ugovorne klauzule (SCC). Ako već slojevito primjenjujete SCC uz DPF certifikaciju — pristup „remen i tregeri" koji je preporučilo nekoliko nadzornih tijela — nastavite tako. Organizacije koje već imaju SCC suočit će se s mnogo manje poremećaja ako se DPF poništi; one koje se oslanjaju samo na DPF certifikaciju čeka mnogo teži prijelaz.
  2. Održavajte procjene učinka prijenosa (TIA) ažurnima. Ako uz SCC provodite i TIA-e, ovu presudu shvatite kao poticaj da ih odmah preispitate, umjesto da čekate da vas na to prisili odluka Suda EU-a. Ako još nemate proces TIA-e, to je praznina koju treba zatvoriti prvu — ista logika koja vrijedi za izgradnju procesa DPIA-e prije nego što vam zatreba vrijedi i ovdje.
  3. Pratite prvu pritužbu na razini nadzornog tijela. Pravi signal za ubrzavanje jest konkretna pritužba podnesena nadzornom tijelu za zaštitu podataka u EU-u koja se izričito poziva na Trump protiv Slaughter. To je trenutak kada ovo prelazi iz „rizika koji treba pratiti" u „aktivni pravni postupak". S obzirom na pismo noyb-a, taj korak realno bi mogao uslijediti unutar sljedećih nekoliko mjeseci.
  4. Ne selite infrastrukturu u panici. Ništa ne upućuje na to da je DPF pravno mrtav, a reaktivno premještanje tokova podataka na temelju jedne presude američkog suda bilo bi preuranjeno i skupo. Popravite rezervni plan; nemojte još iščupati glavni put.

Uz sve ostalo što se ove godine mijenja u europskoj zaštiti podataka — obveze Akta o umjetnoj inteligenciji za visokorizične sustave koje se sada nadograđuju na GDPR, borbu oko Digitalnog omnibusa o sužavanju definicije osobnih podataka, EDPB-ovu provedbenu kampanju o transparentnosti za 2026. — ovo se uklapa u širi obrazac: pravni temelji koji su djelovali čvrsto iznova se pregovaraju na više frontova odjednom, iz Bruxellesa i iz Washingtona. Ako niste sigurni ima li mehanizam prijenosa vaše organizacije stvaran rezervni plan iza sebe, na to je vrijedno odgovoriti prije nego što vas na to prisili pritužba. Rezervirajte besplatne konzultacije s GDPRGardom →

Izvori

Pročitajte i:

⚠️ Ovaj članak služi isključivo informativno i ne predstavlja pravni savjet. Za složene situacije usklađenosti obratite se kvalificiranom stručnjaku za zaštitu podataka. Zahtjevi GDPR-a i EU AI Acta podložni su stalnim regulatornim smjernicama — provjerite trenutne obveze sa svojim pravnim savjetnikom.