El Tribunal General de la Unión Europea (TGUE) emitió hace unos meses una decisión que afecta directamente al Marco de Privacidad UE-EE.UU. y a las transferencias internacionales de datos entre la Unión Europea y Estados Unidos. El fallo del tribunal, hecho público el 3 de septiembre de 2025, fue consecuencia del caso T-553/23, iniciado por Philippe Latombe ante la Comisión Europea.
La decisión es relevante porque confirma la validez de dicho Marco o acuerdo, lo que supone (al menos por ahora) un respiro para empresas y otras organizaciones que transfieren datos a Estados Unidos. De esta forma, el TGUE consolida la actualidad e importancia de la protección de datos y la privacidad en el contexto global.
Desde el equipo de Dataseg, refrescamos información y recuperamos este caso para contarte exactamente los antecedentes de esta decisión, sus implicaciones y qué podemos esperar a futuro en el marco de las transferencias internacionales de datos.
Transferenciales internacionales de datos: una historia de acuerdos invalidados
Las transferencias internacionales de datos entre la UE y EE. UU. llevan más de una década en el centro del debate jurídico y político. Vamos con un repaso cronológico para entrar en materia:
- En 2015, el TJUE invalidó el acuerdo conocido como Safe Harbor por entender que no servía como instrumento para garantizar un nivel de protección adecuado frente a la vigilancia masiva estadounidense. Todo ello, dentro del famoso “caso Schrems I”.
- En 2020, el mismo tribunal tumbó el Privacy Shield por motivos similares, dejando a numerosas empresas en una situación de incertidumbre en materia de transferencias internacionales de datos. Entramos en el contexto del “caso Schrems II”.
- Para dar respuesta y paliar esa incertidumbre, en 2023 la Comisión Europea aprobó el Marco de Privacidad de Datos UE-EE.UU., un nuevo acuerdo con compromisos reforzados por parte de Estados Unidos, incluyendo, entre otros, la creación del Data Protection Review Court (DPRC), un mecanismo de recurso para ciudadanos europeos en la defensa de sus derechos en el ámbito de la privacidad. Acuerdo que, a día de hoy, sigue vigente.
Contexto actual: el caso Latombe y las transferencias internacionales de datos
El caso T-553/23, que es el antecedente clave en este escenario, fue iniciado por Philippe Latombe, parlamentario francés, defensor de la privacidad y miembro de la CNIL, la autoridad francesa de protección de datos. Latombe presentó un recurso de anulación contra la decisión de la Comisión Europea por la que se aprobó, en julio de 2023, el citado Marco de Privacidad de Datos, herramienta legal clave para amparar las transferencias internacionales de datos entre Europa y Estados Unidos.
Latombe basó su argumentación en una serie de cuestiones determinantes. Principalmente, en cuatro ideas:
- El hecho de que la decisión de la Comisión se hubiera emitido solo en inglés
- El criterio de que el marco no asegura suficientes garantías en materia de seguridad de los datos
- El Data Privacy Review Court estadounidense carece de independencia y remedios efectivos
- No se cumplen los requisitos de minimización y proporcionalidad exigidos por el RGPD
La decisión del TGUE al respecto del caso Latombe y su impacto en el panorama de las transferencias internacionales de datos
La decisión del TGUE de hace unos meses es relevante, dado que desestimó íntegramente la petición de Latombe y, por tanto, avala el Marco ya existente y el escenario actual en materia de transferencias internacionales de datos. El TGUE confirmó que, al momento de adoptarse la decisión impugnada, Estados Unidos garantizaba un nivel de protección de datos personales adecuado para los estándares de la Unión Europea.
El fallo del tribunal se estructura en tres aspectos clave:
- Sobre la cuestión lingüística, el TGUE entiende que ésta no constituye base suficiente para anular la decisión.
- Sobre la independencia del Data Privacy Review Court, el TGUE destaca la existencia de varias salvaguardas en el sistema de nombramiento y funcionamiento de los jueces del DPRC. Por ejemplo, los jueces de este organismo sólo pueden ser cesados por el Fiscal General y únicamente por causa justificada, lo que, junto a la prohibición de interferencias externas, reforzaría su independencia. Además, la Comisión Europea tiene la potestad de supervisar continuamente la vigencia de las garantías estadounidenses y puede suspender, modificar o revocar la decisión de adecuación si se detectan cambios que reduzcan el nivel de protección.
- Sobre la recogida masiva de datos por parte de las agencias de inteligencia estadounidenses, el Tribunal señala que la jurisprudencia no exige una autorización previa por una autoridad independiente, sino al menos una revisión judicial posterior. El marco actual, con el DPRC actuando como organismo de revisión ex post, cumple con las exigencias del Derecho de la UE
¿Qué implica esto para las empresas en materia de transferencias internacionales de datos?
La sentencia tiene consecuencias directas para las empresas y otras organizaciones que transfieren datos personales a Estados Unidos:
- A corto plazo: el Marco sigue plenamente en vigor, por lo que puede seguir utilizándose como base legal para las transferencias.
- A medio plazo: no obstante, es probable que el TJUE deba pronunciarse en el futuro y no podemos descartar una nueva invalidación, ni nuevas impugnaciones de este acuerdo. De hecho, cada vez hay más movimiento por parte de personas que, como el propio Latombe, ponen en marcha iniciativas de este tipo, lo que nos recuerda la importancia de este tipo de cuestiones.
- Recomendación práctica: aunque el Marco actual ofrece cierta estabilidad, las empresas deberían evitar depender exclusivamente de éste, y combinarlo con otras garantías o medidas adicionales, como la suscripción de cláusulas contractuales tipo.
En conclusión…
El fallo del TGUE refuerza la legitimidad del Marco de Privacidad de Datos UE-EE.UU. en el contexto actual y proporciona mayor seguridad para organizaciones y empresas, tanto europeas como estadounidenses, que operan en ambos territorios. No obstante, esta decisión no ha puesto fin a todos los debates y desafíos jurídicos y técnicos sobre transferencias internacionales de datos, por lo que corresponde seguir atentos a futuras decisiones y posibles recursos. Desde Dataseg, puedes tener claro que nos comprometemos a hacerlo.
Desde la perspectiva de la protección de datos, pronunciamientos como éste nos recuerdan la importancia de supervisar de forma constante qué hacemos y cómo lo hacemos.
¿Utilizas en tu empresa plataformas, software o cualquier recurso que transfiere datos fuera de la Unión Europea? ¿No estás seguro de ello o no lo tienes del todo claro? No dudes en ponerte en contacto con nosotros: te ayudaremos a evaluar el estado de cumplimiento de tu empresa y a trazar un camino que potencie la creación de una verdadera cultura de la privacidad (y, de paso, te evite algún que otro susto).
Si quieres saber más sobre este tema, puedes consultar aquí la nota de prensa completa o la valoración de la AEPD al respecto.