Un fallo del Supremo de EE. UU. amenaza los datos de la UE

El Tribunal Supremo de EE. UU. dictaminó el 29 de junio de 2026, en el caso Trump v. Slaughter, que el presidente puede destituir a los comisionados de la Federal Trade Commission cuando lo desee, lo que pone fin a la independencia de la agencia. La organización de privacidad noyb sostiene que la sentencia derriba el fundamento del Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y ha pedido formalmente a la Comisión Europea que retire la decisión de adecuación que permite que los datos personales fluyan desde la UE hacia las empresas estadounidenses certificadas. Para las marcas europeas con múltiples ubicaciones, la pregunta se vuelve de pronto muy práctica: qué herramientas de su stack de marketing envían datos personales a EE. UU. y con qué base jurídica.

Qué ha pasado

Con la sentencia en Trump v. Slaughter, el Tribunal Supremo declaró inconstitucionales las protecciones legales frente a la destitución que convertían a la FTC en una agencia independiente. En Bruselas esto pesa mucho, porque la FTC es la principal autoridad de control detrás del Marco de Privacidad de Datos UE-EE. UU., el acuerdo de 2023 que permite transferir datos personales a las empresas certificadas en EE. UU. Según noyb, la decisión de adecuación de la Comisión Europea se apoya en la FTC como regulador independiente 259 veces.

noyb, la organización fundada por Max Schrems, envió una carta formal en la que pide a la Comisión derogar el acuerdo de forma ordenada y anuncia que en las próximas semanas presentará una demanda para que el Tribunal de Justicia de la UE (TJUE) lo anule. noyb también sostiene que la sentencia va más allá del propio marco: las cláusulas contractuales tipo y las normas corporativas vinculantes dependen de evaluaciones de impacto de las transferencias que se remiten a organismos estadounidenses antes independientes, como el PCLOB y el Data Protection Review Court.

El marco no ha sido anulado. Ningún tribunal ha invalidado la decisión de adecuación, las empresas estadounidenses certificadas siguen pudiendo recibir legalmente datos personales de la UE, y un portavoz de la Comisión Europea declaró que la Comisión continúa vigilando que se garantice un nivel alto de protección de datos y se mantiene en contacto estrecho con la administración de EE. UU.

Por qué importa

El Tribunal de Justicia de la UE ya invalidó dos acuerdos anteriores, Safe Harbor en 2015 y Privacy Shield en 2020, en ambos casos tras demandas basadas en la legislación de vigilancia estadounidense y en la debilidad de la supervisión. Las dos veces, miles de empresas tuvieron que reconstruir sus mecanismos de transferencia de la noche a la mañana. Una tercera invalidación golpearía un stack mucho mayor: las plataformas de reseñas, la analítica, el CRM, la publicidad y las herramientas de gestión de fichas procesan datos personales, y muchas lo hacen sobre infraestructura estadounidense al amparo del marco actual.

“Dado que ya no existen autoridades independientes en Estados Unidos, pedimos a la Comisión Europea que retire de forma ordenada la decisión de adecuación sobre Estados Unidos.”

Max Schrems, noyb

Qué significa esto para las marcas con múltiples ubicaciones

Una marca con cientos de ubicaciones no puede desenredar sus flujos de datos en una semana, así que el trabajo empieza antes de que ningún tribunal dicte sentencia. Los equipos centrales de marketing y digital deberían mapear qué proveedores de su stack de marketing local procesan datos personales de la UE, dónde se alojan y en qué mecanismo de transferencia se apoya cada uno. La gestión de reseñas es un buen punto de partida, porque las reseñas de los clientes y sus respuestas contienen datos personales a gran escala: una plataforma para gestionar las reseñas de todas las ubicaciones debería poder responder directamente a la pregunta sobre el alojamiento. Lo mismo vale para la gestión de fichas y datos de las ubicaciones, donde los registros de consentimiento y las interacciones de los usuarios conviven con los datos de la empresa.

La residencia de los datos también se está convirtiendo en un criterio de compra y no en una nota jurídica a pie de página. Las marcas europeas con múltiples ubicaciones preguntan cada vez más, antes de firmar, dónde se encuentran físicamente los datos de los clientes de un proveedor, y esta sentencia agudizará esas preguntas. PinMeTo aloja todos los datos de sus clientes en la UE, por lo que la caída de la decisión de adecuación no cambia la base jurídica de los datos que guarda nuestra plataforma.

En resumen

El Marco de Privacidad de Datos UE-EE. UU. sigue en pie, pero el pilar en el que más se apoyó la Comisión Europea acaba de agrietarse, y la demanda de noyb ante el TJUE se espera en cuestión de semanas. Las marcas con múltiples ubicaciones que sepan exactamente dónde procesa datos personales su stack de marketing leerán la próxima sentencia como una noticia; el resto la leerá como un plan de proyecto.