Wyrok Sądu Najwyższego USA zagraża transferom danych UE-USA

Sąd Najwyższy USA orzekł 29 czerwca 2026 roku w sprawie Trump v. Slaughter, że prezydent może w dowolnym momencie odwołać komisarzy Federalnej Komisji Handlu (FTC), co kończy niezależność tej agencji. Organizacja noyb uważa, że wyrok wybija fundament spod ram ochrony danych UE-USA (EU-US Data Privacy Framework), i formalnie wezwała Komisję Europejską do wycofania decyzji o adekwatności, która pozwala na przepływ danych osobowych z UE do certyfikowanych firm amerykańskich. Dla europejskich marek z wieloma lokalizacjami pytanie staje się nagle bardzo praktyczne: które narzędzia w stosie marketingowym przekazują dane osobowe do USA i na jakiej podstawie prawnej.

Co się wydarzyło

Wyrokiem w sprawie Trump v. Slaughter Sąd Najwyższy uznał za niekonstytucyjne przepisy chroniące komisarzy FTC przed odwołaniem, które czyniły z niej niezależną agencję. W Brukseli ma to ogromne znaczenie, ponieważ FTC jest głównym organem egzekwującym zasady ram ochrony danych UE-USA, porozumienia z 2023 roku, które umożliwia przekazywanie danych osobowych certyfikowanym firmom w USA. Według noyb decyzja Komisji Europejskiej o adekwatności powołuje się na FTC jako niezależnego regulatora 259 razy.

noyb, organizacja założona przez Maxa Schremsa, wysłała formalne pismo z wezwaniem do uporządkowanego uchylenia porozumienia i zapowiada, że w najbliższych tygodniach złoży skargę, która ma doprowadzić do unieważnienia decyzji przez Trybunał Sprawiedliwości UE (TSUE). Zdaniem noyb skutki wyroku sięgają zresztą dalej niż same ramy: standardowe klauzule umowne i wiążące reguły korporacyjne opierają się na ocenach skutków transferu, które odwołują się do niegdyś niezależnych organów amerykańskich, takich jak PCLOB czy Data Protection Review Court.

Ramy ochrony danych nie zostały jednak obalone. Żaden sąd nie unieważnił decyzji o adekwatności, certyfikowane firmy amerykańskie nadal mogą zgodnie z prawem otrzymywać dane osobowe z UE, a rzecznik Komisji Europejskiej oświadczył, że Komisja stale monitoruje, czy zapewniony jest wysoki poziom ochrony danych, i pozostaje w bliskim kontakcie z administracją USA.

Dlaczego to ważne

TSUE unieważnił już dwa wcześniejsze porozumienia: Safe Harbor w 2015 roku i Privacy Shield w 2020 roku, za każdym razem po skargach opartych na amerykańskim prawie inwigilacyjnym i słabym nadzorze. W obu przypadkach tysiące firm musiało z dnia na dzień przebudować swoje mechanizmy transferu danych. Trzecie unieważnienie uderzyłoby w znacznie większy zestaw narzędzi: platformy opinii, analityka, CRM, narzędzia reklamowe i do zarządzania wizytówkami przetwarzają dane osobowe, a wiele z nich działa na amerykańskiej infrastrukturze właśnie w oparciu o obecne ramy.

“Skoro w USA nie ma już niezależnych organów, wzywamy Komisję Europejską do uporządkowanego wycofania decyzji o adekwatności dla USA.”

Max Schrems, noyb

Co to oznacza dla marek z wieloma lokalizacjami

Marka z setkami lokalizacji nie rozplącze swoich przepływów danych w tydzień, więc pracę trzeba zacząć, zanim jakikolwiek sąd wyda wyrok. Centralne zespoły marketingu i digitalu powinny ustalić, którzy dostawcy w ich stosie marketingu lokalnego przetwarzają dane osobowe z UE, gdzie są one hostowane i na jakim mechanizmie transferu opiera się każdy z nich. Dobrym punktem startowym jest zarządzanie opiniami, ponieważ opinie klientów i odpowiedzi na nie zawierają dane osobowe na dużą skalę: platforma do zarządzania opiniami we wszystkich lokalizacjach powinna umieć wprost odpowiedzieć na pytanie o hosting. To samo dotyczy zarządzania wizytówkami i danymi lokalizacji, gdzie obok danych firmowych znajdują się rejestry zgód i interakcje użytkowników.

Miejsce przechowywania danych staje się też kryterium zakupowym, a nie prawnym przypisem. Europejskie marki z wieloma lokalizacjami coraz częściej pytają przed podpisaniem umowy, gdzie fizycznie znajdują się dane klientów dostawcy, a ten wyrok tylko zaostrzy te pytania. PinMeTo hostuje wszystkie dane klientów w UE, więc upadek decyzji o adekwatności nie zmienia podstawy prawnej dla danych przechowywanych na naszej platformie.

Najważniejsze wnioski

Ramy ochrony danych UE-USA wciąż obowiązują, ale filar, na którym Komisja Europejska opierała się najmocniej, właśnie pękł, a skarga noyb do TSUE spodziewana jest w ciągu kilku tygodni. Marki z wieloma lokalizacjami, które dokładnie wiedzą, gdzie ich stos marketingowy przetwarza dane osobowe, przeczytają kolejny wyrok jak wiadomość; wszyscy pozostali jak plan projektu.