La noticia la ha lanzado noyb, la organización fundada por Max Schrems, con un titular deliberadamente contundente: el Tribunal Supremo de Estados Unidos habría “volado” las transferencias de datos entre la Unión Europea y Estados Unidos. El post de Schrems en LinkedIn va en la misma línea: si el sistema europeo exige autoridades independientes y el Tribunal Supremo estadounidense acaba de negar constitucionalmente la independencia de la FTC, el problema ya no sería solo técnico, comercial o administrativo, sino constitucional.

Conviene leer la noticia con calma. No estamos ante la anulación automática del EU-US Data Privacy Framework. Tampoco significa que todas las transferencias a Estados Unidos sean ilegales desde hoy. Pero sí estamos ante un hecho jurídicamente relevante: uno de los presupuestos institucionales sobre los que descansa la confianza europea en el marco transatlántico acaba de quedar seriamente tensionado.

1. La fuente de la alerta: noyb y Max Schrems

noyb sostiene que la decisión del Tribunal Supremo de Estados Unidos en Trump v. Slaughter afecta directamente al papel de la Federal Trade Commission — FTC — como autoridad de supervisión y enforcement del Data Privacy Framework. Según noyb, desde el año 2000 la Comisión Europea ha confiado en la FTC como pieza esencial de los acuerdos transatlánticos de transferencia de datos, y en el actual DPF la FTC aparece de forma central en la arquitectura de cumplimiento. (noyb.eu)

El planteamiento de Max Schrems es más amplio: si el Derecho de la Unión exige que la supervisión de la protección de datos sea independiente, y si el Derecho constitucional estadounidense se orienta ahora hacia una lectura fuerte del control presidencial sobre las agencias ejecutivas, entonces la compatibilidad entre ambos sistemas vuelve a estar en cuestión.

La tesis es fuerte. Pero no debe despacharse como mera exageración activista. El historial importa: Safe Harbor cayó en Schrems I; Privacy Shield cayó en Schrems II; y el actual DPF nació precisamente para corregir los déficits de proporcionalidad, supervisión y remedio efectivo identificados por el Tribunal de Justicia de la Unión Europea. La propia nota de prensa del Tribunal General en Latombe v Commission recuerda que las dos decisiones anteriores fueron declaradas inválidas por no garantizar un nivel de protección esencialmente equivalente al europeo. (curia)

2. Qué ha decidido realmente el Tribunal Supremo de Estados Unidos

La sentencia Trump v. Slaughter, de 29 de junio de 2026, resuelve una cuestión interna de Derecho constitucional estadounidense: si el Presidente podía destituir a comisionados de la FTC pese a que la ley solo permitía su remoción por causas tasadas, como ineficiencia, negligencia o mala conducta. El Tribunal Supremo concluye que esa protección frente a la destitución es contraria a la separación de poderes prevista en la Constitución estadounidense. (Corte Suprema de Estados Unidos)

El núcleo de la sentencia es que la FTC ejerce poder ejecutivo. Y, si ejerce poder ejecutivo, debe quedar bajo el control del Presidente. La mayoría del Tribunal considera que la vieja doctrina de Humphrey’s Executor, que durante décadas había permitido cierta independencia de agencias federales como la FTC, ya no puede sostenerse en sus términos clásicos. La frase clave es especialmente relevante: “If anything more is left of Humphrey’s, we overrule it”. (Corte Suprema de Estados Unidos)

Dicho de forma sencilla: el Tribunal Supremo no ha decidido nada sobre el RGPD, ni sobre la Carta de Derechos Fundamentales de la Unión Europea, ni sobre las transferencias internacionales de datos. Pero sí ha alterado el marco constitucional estadounidense que permitía presentar a la FTC como una autoridad reguladora con independencia frente al poder presidencial.

Ahí está la grieta.

3. Por qué esto importa para el Data Privacy Framework

El EU-US Data Privacy Framework funciona sobre una lógica de confianza institucional. Las empresas estadounidenses pueden autocertificarse ante el Departamento de Comercio, comprometerse con los principios del marco y recibir datos personales desde la Unión Europea sobre la base de la decisión de adecuación. La FTC, por su parte, actúa como autoridad de enforcement frente a incumplimientos de esos principios en el ámbito comercial. La propia FTC explica que el incumplimiento de los principios del DPF puede constituir una práctica desleal o engañosa bajo la Section 5 del FTC Act. (Federal Trade Commission)

La Comisión Europea, en sus preguntas y respuestas oficiales sobre el DPF, también identifica expresamente a la FTC como autoridad encargada de hacer cumplir las obligaciones de las empresas estadounidenses participantes. (European Commission)

Por tanto, la cuestión no es menor. Si la Comisión Europea considera adecuado el marco porque existen compromisos verificables, vías de reclamación, supervisión y enforcement, cualquier debilitamiento constitucional de la independencia de una autoridad clave afecta a la calidad institucional de ese juicio de adecuación.

No significa que la FTC deje de poder sancionar. No significa que desaparezcan sus competencias. El problema es más fino: si el estándar europeo exige una supervisión independiente, la pregunta pasa a ser si una autoridad constitucionalmente subordinada al Presidente puede seguir cumpliendo esa función en términos esencialmente equivalentes a los exigidos por el Derecho de la Unión.

4. La independencia no es un adorno jurídico

En protección de datos, la independencia institucional no es una cuestión estética. Es parte del núcleo constitucional europeo. El artículo 8 de la Carta de Derechos Fundamentales reconoce el derecho a la protección de datos personales y exige que el cumplimiento de esas reglas quede sometido al control de una autoridad independiente. En el plano de transferencias internacionales, el artículo 45 RGPD obliga a valorar, entre otros elementos, la existencia y funcionamiento efectivo de autoridades de control independientes, derechos exigibles y recursos administrativos y judiciales efectivos.

Por eso el debate abierto por noyb tiene profundidad. La discusión no se limita a si las empresas estadounidenses cumplen o incumplen sus políticas de privacidad. Tampoco se limita a si el Departamento de Comercio mantiene correctamente la lista de entidades certificadas. La cuestión es si el ecosistema institucional estadounidense puede seguir siendo presentado como equivalente, en lo esencial, al modelo europeo de garantía.

La Comisión Europea ya había identificado la necesidad de monitorizar los desarrollos jurídicos estadounidenses. En su primer informe periódico sobre el funcionamiento del DPF, de octubre de 2024, señaló que la revisión debía cubrir todos los aspectos del marco, incluidos los desarrollos legales posteriores a la adopción de la decisión de adecuación. Además, el informe recogía expresamente preocupaciones de organizaciones de la sociedad civil sobre la jurisprudencia reciente del Tribunal Supremo y su posible impacto en el papel de la FTC en materia de privacidad.

Esto es importante: la preocupación sobre la posición institucional de la FTC no aparece ahora de la nada; ya estaba dentro del radar de revisión del propio sistema.

5. El segundo plano: el Data Protection Review Court

El impacto tampoco se agota en la FTC. El DPF no descansa únicamente en el enforcement comercial, sino también en las garantías frente al acceso de autoridades públicas estadounidenses a datos transferidos desde Europa, especialmente en materia de inteligencia de señales.

Para responder a las objeciones de Schrems II, Estados Unidos aprobó la Executive Order 14086, que introdujo conceptos de necesidad y proporcionalidad en el marco de inteligencia de señales y creó un mecanismo de recurso en dos niveles. El Departamento de Justicia describe el Data Protection Review Court — DPRC — como el órgano que revisa de forma independiente las decisiones del Civil Liberties Protection Officer de la ODNI. (Departamento de Justicia)

El Tribunal General, en Latombe v Commission, había rechazado el argumento de que el DPRC no fuera independiente, destacando que, en el momento de adopción de la decisión de adecuación, existían garantías sobre nombramiento, funcionamiento y remoción de sus miembros. Pero el propio Tribunal General subrayó algo esencial: la Comisión debe monitorizar continuamente el marco jurídico estadounidense y, si este cambia, puede suspender, modificar, derogar o limitar el alcance de la decisión de adecuación. (curia)

Ese es precisamente el punto ahora. Latombe valoró la situación existente al adoptarse la decisión de adecuación. Trump v. Slaughter introduce un cambio posterior en el entorno constitucional estadounidense. No anula automáticamente lo decidido en Latombe, pero abre una pregunta nueva: si la independencia de órganos ejecutivos estadounidenses queda constitucionalmente reducida, ¿cómo debe reinterpretarse la independencia de los mecanismos de supervisión y recurso sobre los que descansa el DPF?

6. Lo que no debe afirmarse

Un artículo serio debe evitar tres excesos.

Primero, no debe decirse que el DPF ha caído. No ha caído. La decisión de adecuación sigue formalmente vigente.

Segundo, no debe decirse que toda transferencia a Estados Unidos es ilegal. Las transferencias basadas en el DPF a entidades certificadas siguen teniendo cobertura formal mientras la decisión no sea suspendida, modificada, derogada o anulada.

Tercero, no debe decirse que el Tribunal Supremo estadounidense ha decidido directamente sobre privacidad europea. No lo ha hecho. Ha decidido sobre separación de poderes, remoción presidencial y agencias federales.

Pero también sería un error minimizar la decisión. El Derecho de transferencias internacionales no se basa solo en contratos, certificaciones o declaraciones políticas. Se basa en una evaluación completa del ordenamiento del tercer país, incluyendo derechos exigibles, límites al poder público, supervisión independiente y remedios efectivos. El Tribunal de Justicia, en Schrems II, recordó que el nivel de protección exigido debe ser esencialmente equivalente al garantizado en la Unión y que la evaluación debe considerar tanto las cláusulas contractuales como el sistema jurídico del tercer país. (curia)

7. Impacto práctico: no es pánico, es diligencia

La consecuencia práctica no debería ser una reacción precipitada, sino una actualización seria del análisis de transferencias.

Las organizaciones que transfieren datos a Estados Unidos deberían identificar qué flujos descansan en el DPF, cuáles usan cláusulas contractuales tipo, cuáles se apoyan en BCR y cuáles recurren a excepciones del artículo 49 RGPD. En los tratamientos más sensibles, debería reabrirse el Transfer Impact Assessment.

El EDPB recuerda que los instrumentos del artículo 46 RGPD no operan en el vacío: el exportador debe valorar si la legislación o práctica del tercer país afecta a la eficacia de las garantías utilizadas y, cuando sea necesario, adoptar medidas suplementarias o suspender la transferencia. (Junta Europea de Protección de Datos)

La sentencia Trump v. Slaughter debe tratarse como un cambio jurídico relevante en el análisis de entorno estadounidense. Esto es especialmente importante en servicios cloud, IA generativa, recursos humanos, salud, datos financieros, menores, biometría, expedientes jurídicos, logs de seguridad, soporte remoto, administración de sistemas y herramientas con acceso privilegiado.

Las medidas suplementarias deben dejar de ser una fórmula repetida en contratos y convertirse en controles reales: cifrado con claves bajo control europeo, minimización de datos, pseudonimización robusta, separación de entornos, residencia y soporte efectivo en la UE, control de accesos desde Estados Unidos, trazabilidad de accesos administrativos, compromisos de transparencia frente a solicitudes gubernamentales y planes de salida viables.

8. Reflexión de fondo

Lo más importante de esta noticia no es si mañana habrá o no un Schrems III. Lo relevante es que vuelve a aparecer el problema estructural de fondo: la Unión Europea intenta exportar datos a un sistema que no comparte plenamente su arquitectura constitucional de protección de datos.

El modelo europeo se construye sobre derechos fundamentales, independencia de autoridades de control, proporcionalidad, tutela efectiva y control judicial. El modelo estadounidense, incluso cuando ofrece garantías relevantes, sigue descansando en una arquitectura más fragmentaria, sectorial, ejecutiva y políticamente dependiente.

El DPF fue un intento sofisticado de traducir esas diferencias en un lenguaje aceptable para ambas partes. La pregunta que abre Trump v. Slaughter es si esa traducción sigue siendo creíble cuando el propio Tribunal Supremo estadounidense reduce el espacio constitucional de independencia de las agencias ejecutivas.

Por eso la noticia de noyb no debe leerse como una sentencia anticipada, sino como una advertencia estratégica. El DPF sigue vivo. Pero su estabilidad jurídica se ha debilitado.

La frase más prudente sería esta:

Trump v. Slaughter no derriba por sí solo el EU-US Data Privacy Framework, pero desplaza el debate hacia un terreno mucho más delicado: la compatibilidad institucional entre un sistema europeo que exige supervisión independiente y un sistema estadounidense que acaba de reforzar el control presidencial sobre agencias ejecutivas clave.

Y la consecuencia profesional también debería ser clara:

Las transferencias a Estados Unidos no deben paralizarse por reacción, pero tampoco pueden seguir gestionándose como si nada hubiera ocurrido. Desde ahora, cualquier análisis serio de transferencias debe incorporar esta sentencia como un nuevo factor de riesgo jurídico, institucional y operativo.