Schrems II, o Data Privacy Framework e a incerteza

Módulo 1: Porque escolher uma cloud europeia? · Tempo de leitura: 12 minutos

Objetivo de aprendizagem: Após esta lição, será capaz de recontar a história dos acordos sobre dados da UE para os EUA, explicar o que decidiu o Schrems II, o que é o EU-US Data Privacy Framework, e porque o quadro atual permanece incerto.

Conceitos-chave: transferência, decisão de adequação, Safe Harbor, Schrems I, Privacy Shield, Schrems II, cláusulas contratuais-tipo (SCC), transfer impact assessment (TIA), medidas adicionais, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, autocertificação, Latombe, PCLOB

Transferência: a regra e a exceção

Na lição 1.2 viu que os dados só podem sair do Espaço Económico Europeu (EEE) se o país de destino oferecer um nível de proteção adequado, ou se existirem garantias adicionais (RGPD, capítulo V). Essa saída chama-se transferência. Uma transferência não é apenas o envio de um ficheiro para os Estados Unidos: também existe transferência quando um técnico de apoio norte-americano acede remotamente ao seu ambiente europeu, ou quando os seus dados estão alojados num serviço norte-americano.

O caminho mais simples é uma decisão de adequação (art. 45.º): a Comissão Europeia decide que um país tem um nível de proteção "substancialmente equivalente" ao da UE. Existem decisões deste tipo, entre outros, para a Suíça, o Reino Unido, o Japão e o Canada (para organizações comerciais). Para os EUA a história é mais complicada: a Comissão já foi contrariada duas vezes pelo Tribunal de Justiça.

Isto é uma explicação, não um aconselhamento jurídico. O estado da situação descrito nesta lição é de novembro de 2026.

Ponte 1: Safe Harbor e Schrems I

Em 2000, a UE e os EUA celebraram o acordo Safe Harbor. As empresas norte-americanas podiam aderir e comprometer-se a proteger adequadamente os dados europeus. A Comissão emitiu para esse efeito uma decisão de adequação.

Em 2013, Edward Snowden revelou como os serviços de informações norte-americanos recolhiam dados em grande escala junto de empresas de internet. O jurista austríaco Max Schrems apresentou uma queixa contra o Facebook na Irlanda: os seus dados eram enviados para os EUA e lá não estavam protegidos. O processo chegou ao Tribunal de Justiça da União Europeia (TJUE). Em 6 de outubro de 2015, o Tribunal declarou inválida a decisão Safe Harbor (processo C-362/14, "Schrems I"). Ponto central: a Comissão não tinha verificado se o governo norte-americano respeitava limites, e os europeus não dispunham de proteção jurídica efetiva.

Ponte 2: Privacy Shield e Schrems II

Já em 2016 surgiu um sucessor: o EU-US Privacy Shield, com regras mais rigorosas e um provedor de justiça (ombudsman) no Departamento de Estado norte-americano. Schrems voltou a recorrer aos tribunais.

Em 16 de julho de 2020, o Tribunal proferiu a sua decisão no processo C-311/18, "Schrems II". O Tribunal declarou inválido o Privacy Shield. As razões:

• Os programas de vigilância norte-americanos, nomeadamente ao abrigo da FISA Section 702 e da Executive Order 12333 (lição 1.3), não estavam limitados ao que é "estritamente necessário".
• Os europeus não tinham acesso efetivo a um tribunal independente; o provedor de justiça não era suficientemente independente e não podia tomar decisões vinculativas.

O Tribunal também disse algo importante sobre a alternativa, as cláusulas contratuais-tipo (SCC, do inglês standard contractual clauses). São contratos-modelo da Comissão que o remetente e o destinatário assinam. Estas mantiveram-se válidas, mas: a parte que transfere os dados tem de verificar, caso a caso, se o direito do país destinatário não compromete essas garantias. Se tal acontecer, são necessárias medidas adicionais, por exemplo encriptação em que o destinatário não tem a chave. Se isso não for possível, a transferência deve cessar.

Essa avaliação chama-se transfer impact assessment (TIA). As autoridades europeias de proteção de dados (CEPD) elaboraram recomendações para o efeito em 2021. Em 2021 surgiram também novas cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914).

Para uma pequena organização, isto era difícil: como avaliar, enquanto padaria, o direito norte-americano em matéria de informações? Na prática, muitos apoiavam-se nos contratos e na documentação dos grandes fornecedores.

Ponte 3: o EU-US Data Privacy Framework

Os EUA e a UE voltaram a negociar. O Presidente Biden assinou, em 7 de outubro de 2022, a Executive Order 14086. Esta determina, entre outros aspetos, que o trabalho de informações deve ser "necessário e proporcional", e institui um procedimento de reclamação cuja última instância é um Data Protection Review Court (DPRC), no âmbito do Departamento de Justiça norte-americano.

Em 10 de julho de 2023, a Comissão adotou a decisão de adequação para o EU-US Data Privacy Framework (DPF). Como funciona:

• Aplica-se apenas a organizações norte-americanas que a ele tenham aderido (autocertificação junto do Departamento de Comércio norte-americano). No sítio dataprivacyframework.gov encontra-se a lista. Se uma empresa não constar da lista, o DPF não se aplica a essa empresa.
• O cumprimento é fiscalizado nos EUA, entre outras entidades, pela Federal Trade Commission (FTC).
• Existe uma avaliação periódica por parte da Comissão.

Para os utilizadores, o DPF significa que a transferência para uma empresa norte-americana aderente volta a ser permitida sem TIA. É por isso que muitos fornecedores afirmam: "Estamos em conformidade com o RGPD."

Porque continua o quadro incerto

O DPF existe, mas assenta em bases instáveis:

• Uma Executive Order não é uma lei. Um próximo presidente pode alterá-la ou revogá-la, sem intervenção do Congresso.
• O Tribunal Geral e o recurso. O deputado francês Philippe Latombe pediu ao Tribunal Geral da UE que anulasse a decisão relativa ao DPF. Em 3 de setembro de 2025, o Tribunal Geral rejeitou o pedido (processo T-553/23): segundo o Tribunal Geral, o DPRC era suficientemente independente. Latombe interpôs recurso para o Tribunal de Justiça (processo C-703/25 P). Em novembro de 2026 ainda não há decisão. O Tribunal de Justiça tem sido mais exigente nos processos Schrems I e II do que o Tribunal Geral agora.
• A fiscalização nos EUA sob pressão. Em janeiro de 2025, os membros da Privacy and Civil Liberties Oversight Board (PCLOB) indicados pelos Democratas foram demitidos; desde então, esta autoridade não tem quórum e só pode desempenhar de forma limitada as suas funções, incluindo a fiscalização do procedimento de reclamação. Em 29 de junho de 2026, o Supremo Tribunal norte-americano decidiu no caso Trump v. Slaughter que o presidente pode demitir membros da FTC sem motivo. Os juristas assinalam que isto torna mais premente a questão da fiscalização independente, de que o DPF depende.
• Novos processos. A organização de defesa da privacidade noyb anunciou que pondera iniciar um processo próprio. Um processo deste tipo demora anos.

Se o DPF cair, acontecerá o mesmo que em 2015 e em 2020: as organizações terão de recorrer, de um dia para o outro, às cláusulas contratuais-tipo com uma TIA, ou cessar a transferência. Não está prevista qualquer período de transição.

O que significa isto para si?

Para a Bakkerij De Korrel, a questão não é "é permitido agora?", pois com o DPF é, neste momento, permitido. A questão é: "quero depender de um quadro que já caiu duas vezes e que está pela terceira vez em tribunal?" Um serviço estabelecido dentro do EEE e que mantém os dados dentro do EEE não depende do DPF. Não se trata de uma exigência jurídica, mas é, ainda assim, um ponto de partida mais tranquilo.

Na prática: como se apresenta junto de um fornecedor

Consulte a declaração de privacidade ou o contrato de subcontratação do seu atual fornecedor para perceber com base em que fundamento transfere dados para os EUA: o DPF, cláusulas contratuais-tipo, ou ambos. Os grandes fornecedores mencionam muitas vezes os dois, precisamente para se precaverem contra uma eventual queda do DPF. Um fornecedor europeu sem transferência para fora do EEE não precisa de regular esta questão; a sua lista de subcontratantes mostra se é esse o caso (lição 9.2). Na WebOké, o contrato de subcontratação estabelece que a transferência para fora da UE só é permitida com autorização prévia por escrito; noutros fornecedores encontrará habitualmente uma disposição semelhante num artigo sobre "transferência" ou "transferência internacional".

Resumo

• A transferência para fora do EEE só é permitida com uma decisão de adequação ou com garantias como as cláusulas contratuais-tipo.
• O Tribunal declarou inválidos o Safe Harbor (2015, Schrems I) e o Privacy Shield (2020, Schrems II), sobretudo devido à vigilância norte-americana e à falta de proteção jurídica.
• Desde 10 de julho de 2023 aplica-se o EU-US Data Privacy Framework, apenas a empresas norte-americanas aderentes.
• O DPF assenta numa decisão presidencial e está em discussão: o recurso de Latombe (C-703/25 P) está em curso, e a fiscalização norte-americana está sob pressão.
• Um serviço que mantém os dados dentro do EEE não depende do DPF.

Quiz

Exercício

Exercício E1.4: Com base em que fundamento vão os seus dados para os EUA? Procure, na declaração de privacidade ou no contrato de subcontratação do seu atual serviço de cloud, se os dados são tratados fora do EEE, e com base em que fundamento (DPF, SCC, decisão de adequação para outro país). Verifique em dataprivacyframework.gov se a empresa consta da lista. Descreva o que acontece consigo se o DPF for anulado.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; noutros fornecedores o funcionamento é semelhante.

• Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
• Tribunal de Justiça, acórdão C-362/14 (Schrems I, 6 de outubro de 2015) e C-311/18 (Schrems II, 16 de julho de 2020), em curia.europa.eu
• Decisão de Execução (UE) 2023/1795 (decisão de adequação EU-US Data Privacy Framework, 10 de julho de 2023), em EUR-Lex
• Decisão de Execução (UE) 2021/914 (cláusulas contratuais-tipo), em EUR-Lex
• Tribunal Geral da UE, processo T-553/23 (Latombe, 3 de setembro de 2025); recurso C-703/25 P
• Lista do Data Privacy Framework: https://www.dataprivacyframework.gov