O mundo europeu da proteção de dados já viveu isto. Duas vezes, aliás. Em ambas as ocasiões, o mecanismo que permitia às empresas transferir dados pessoais da UE para os EUA desmoronou-se sob uma decisão do Tribunal de Justiça da União Europeia (TJUE) — o Safe Harbor no caso Schrems I (2015), o Privacy Shield no caso Schrems II (2020). O mecanismo atual, o Quadro de Proteção de Dados UE-EUA (Data Privacy Framework, DPF), adotado em 2023, foi concebido precisamente para sobreviver a esse historial. Uma decisão do Supremo Tribunal dos EUA neste verão reabriu a questão de saber se consegue.

O que aconteceu de facto

Em 29 de junho de 2026, o Supremo Tribunal decidiu, por 6 votos contra 3, no caso Trump contra Slaughter, que a proteção contra a destituição «com justa causa» dos comissários da FTC viola a separação de poderes, revogando assim o precedente Humphrey's Executor — um precedente com quase 90 anos que protegia a independência da agência desde 1935. Na prática, o presidente pode agora destituir comissários da FTC à vontade, e não apenas por causa documentada.

O caso começou quando a administração destituiu a comissária da FTC Rebecca Kelly Slaughter em março de 2025 sem invocar qualquer base legal. Um tribunal de instância inferior considerou inicialmente a destituição ilegal; o Supremo Tribunal, numa decisão do presidente do tribunal, Roberts, deu razão à administração.

Isto lê-se como uma história de direito administrativo dos EUA sem uma ligação óbvia à UE. Não é. A independência da FTC é uma das salvaguardas específicas em que a Comissão Europeia se baseou para aprovar a decisão de adequação do DPF em 2023 — o instrumento jurídico que permite a milhares de empresas transferir dados pessoais da UE para os EUA sem garantias contratuais adicionais. Uma análise jurídica dessa decisão conta 259 referências distintas à independência da FTC como motivo para os EUA oferecerem uma proteção «essencialmente equivalente» à do RGPD.

Porque é que isto afeta precisamente o DPF

A arquitetura jurídica do DPF assenta na ideia de que os organismos de aplicação da lei dos EUA — a FTC à cabeça — operam com independência suficiente da pressão política para fiscalizar a forma como as empresas americanas tratam os dados pessoais dos cidadãos da UE, com vias de recurso reais para estes em caso de utilização indevida desses dados. Uma FTC cujos comissários podem ser destituídos à vontade pelo presidente é, no papel, uma instituição substancialmente diferente daquela que a Comissão avaliou em 2023.

A decisão não invalida por si só o DPF — as decisões de adequação não se desfazem automaticamente. Mas oferece aos defensores da privacidade uma alteração factual concreta e documentada a que recorrer: um pilar central da decisão de adequação de 2023 já não se sustenta tal como foi redigido.

A Comissão não mencionou a independência da FTC de passagem, uma ou duas vezes — incorporou 259 referências distintas na sua fundamentação. Isso não é uma nota de rodapé que os reguladores possam reinterpretar em silêncio; é o alicerce.

A noyb já reagiu

Isto não é uma hipótese que os defensores da privacidade vão tratar um dia, mais tarde. Já a 30 de junho de 2026 — um dia depois da decisão — a organização de Max Schrems, a noyb, enviou uma carta formal à Comissão Europeia a exigir uma retirada ordenada da decisão de adequação do DPF, chamando ao quadro um «castelo de cartas jurídico». A noyb classificou explicitamente o desafio jurídico que se avizinha como «Schrems III», a mesma organização por trás das duas invalidações anteriores.

Este é um começo substancialmente mais rápido do que nas duas rondas anteriores. Se o padrão se mantiver a partir daqui, é de esperar que uma queixa passe primeiro por uma autoridade nacional de proteção de dados, provavelmente reenviada ao TJUE como questão prejudicial — a mesma via que produziu Schrems I e II.

O calendário realista

Nada disto se move depressa, mesmo com a noyb já à porta da Comissão. Os comentadores jurídicos que acompanham o caso consideram o final de 2026 como a data mais precoce plausível para uma decisão do TJUE, com 2027 como a hipótese de trabalho mais provável. O DPF não vai desaparecer neste trimestre, nem provavelmente este ano.

259
Vezes que a independência da FTC é citada na decisão de adequação do DPF
6–3
Votação do Supremo Tribunal para retirar a proteção dos comissários da FTC
2023
Ano em que o Quadro de Proteção de Dados UE-EUA foi adotado
2027
Ano mais realista para uma decisão do TJUE, se a história se repetir

Dito isto, «não neste trimestre» é um mau motivo para esperar. Ambas as invalidações anteriores chegaram de forma abrupta assim que o TJUE efetivamente decidiu, e as organizações que tinham construído toda a sua conformidade de transferências à volta do mecanismo do momento ficaram apanhadas de surpresa. A lição que a memória institucional já devia ter dado: construa o plano de contingência antes de precisar dele, não depois.

O que fazer agora

Se transfere dados pessoais da UE para os EUA ao abrigo do DPF, este é um momento para «reforçar o plano de contingência», não para «arrancar a canalização».

  1. Não abandone as suas cláusulas contratuais-tipo (CCT). Se já combina CCT com a certificação DPF — a abordagem de «cinto e suspensórios» que várias autoridades de proteção de dados têm recomendado — continue a fazê-lo. As organizações que já têm CCT em vigor enfrentarão muito menos disrupção se o DPF for anulado; as que dependem apenas da certificação DPF enfrentam uma transição muito mais difícil.
  2. Mantenha as suas avaliações de impacto da transferência (AIT) atualizadas. Se realiza AIT a par das CCT, trate esta decisão como o gatilho para as rever agora, em vez de esperar que uma decisão do TJUE a isso a obrigue. Se ainda não tem qualquer processo de AIT, essa é a lacuna a fechar primeiro — a mesma lógica que se aplica a construir um processo de AIPD antes de precisar dele aplica-se aqui.
  3. Fique atento à primeira queixa ao nível de uma autoridade. O verdadeiro sinal para acelerar é uma queixa concreta apresentada a uma autoridade de proteção de dados da UE que cite explicitamente Trump contra Slaughter. É o momento em que isto passa de «risco a vigiar» para «processo jurídico ativo». Dada a carta da noyb, esse passo poderá plausivelmente surgir nos próximos meses.
  4. Não migre a infraestrutura em pânico. Não há qualquer indício de que o DPF esteja juridicamente morto, e deslocar os fluxos de dados de forma reativa com base numa única decisão de um tribunal dos EUA seria prematuro e dispendioso. Corrija o plano de contingência; não arranque ainda a via principal.

Colocado ao lado de tudo o resto que se está a mover este ano na proteção de dados europeia — as obrigações de alto risco do regulamento da IA agora sobrepostas ao RGPD, a batalha do Ómnibus Digital sobre o estreitamento da definição de dados pessoais, a campanha de aplicação coordenada do CEPD sobre transparência para 2026 — isto encaixa num padrão mais amplo: os alicerces jurídicos que pareciam consolidados estão a ser renegociados simultaneamente em várias frentes, a partir de Bruxelas e de Washington. Se não tiver a certeza de que o mecanismo de transferência da sua organização tem um plano de contingência real por trás, vale a pena responder a isso antes que uma queixa a isso a obrigue. Marque uma consulta gratuita com a GDPRGard →

Fontes

Leia também:

⚠️ Este artigo tem fins puramente informativos e não constitui aconselhamento jurídico. Para situações de conformidade complexas, consulte um profissional qualificado de proteção de dados. Os requisitos do RGPD e da Lei da IA da UE estão sujeitos a orientações regulatórias contínuas — verifique as obrigações atuais com o seu consultor jurídico.