O que o Schrems II invalidou e o que veio no lugar

O que foi o Schrems II?

O Tribunal de Justiça da União Europeia decidiu o caso Schrems II, processo C-311/18, em 16 de julho de 2020, e em um único acórdão invalidou o EU-US Privacy Shield e manteve válidas as cláusulas contratuais-padrão, ou SCCs, em termos mais rigorosos. A Grande Seção decidiu um pedido de decisão prejudicial da High Court irlandesa em um litígio entre o Data Protection Commissioner e a Facebook Ireland Ltd e Maximillian Schrems, "a respeito de uma queixa apresentada por este, relativa à transferência dos seus dados pessoais pela Facebook Ireland para a Facebook Inc. nos Estados Unidos." O identificador de jurisprudência é ECLI:EU:C:2020:559.

O "II" indica que é o segundo caso Schrems. No primeiro, decidido em 6 de outubro de 2015 como processo C-362/14, o tribunal declarou inválida a Decisão 2000/520/CE da Comissão, de 26 de julho de 2000, a decisão Safe Harbour. O Privacy Shield foi o substituto do Safe Harbour, e o Schrems II derrubou o substituto também.

O que o tribunal decidiu no Schrems II?

O tribunal deu cinco respostas no dispositivo do acórdão: uma sobre o âmbito de aplicação, duas sobre como funcionam as transferências com SCCs, uma mantendo a decisão de SCCs e uma derrubando o Privacy Shield. A primeira confirma que o GDPR se aplica a uma transferência comercial mesmo que os órgãos de segurança do país de destino possam acessar os dados. Os pontos 2 a 5 dizem, no texto oficial em português publicado no EUR-Lex:

2. O artigo 46.º, n.º 1, e o artigo 46.º, n.º 2, alínea c), do Regulamento 2016/679 devem ser interpretados no sentido de que as garantias adequadas, os direitos oponíveis e as medidas jurídicas corretivas eficazes, exigidos por estas disposições, devem assegurar que os direitos das pessoas cujos dados pessoais são transferidos para um país terceiro com base em cláusulas-tipo de proteção de dados beneficiam de um nível de proteção substancialmente equivalente ao garantido na União Europeia por este regulamento, lido à luz da Carta dos Direitos Fundamentais da União Europeia. Para este efeito, a avaliação do nível de proteção assegurado no contexto dessa transferência deve, nomeadamente, ter em consideração tanto as estipulações contratuais acordadas entre o responsável pelo tratamento ou o seu subcontratante estabelecidos na União Europeia e o destinatário da transferência estabelecido no país terceiro em causa como, no que respeita a um eventual acesso das autoridades públicas desse país terceiro aos dados pessoais assim transferidos, os elementos pertinentes do sistema jurídico deste país terceiro, nomeadamente os enunciados no artigo 45.º, n.º 2, do referido regulamento.

3. O artigo 58.º, n.º 2, alíneas f) e j), do Regulamento 2016/679 deve ser interpretado no sentido de que, a menos que exista uma decisão de adequação validamente adotada pela Comissão Europeia, a autoridade de controlo competente está obrigada a suspender ou a proibir uma transferência de dados para um país terceiro com base em cláusulas-tipo de proteção de dados adotadas pela Comissão, se essa autoridade de controlo considerar, à luz de todas as circunstâncias específicas dessa transferência, que essas cláusulas não são ou não podem ser respeitadas nesse país terceiro e que a proteção dos dados transferidos exigida pelo direito da União, em particular pelos artigos 45.º e 46.º deste regulamento e pela Carta dos Direitos Fundamentais, não pode ser assegurada por outros meios, no caso de o responsável pelo tratamento ou o seu subcontratante estabelecidos na União não terem eles próprios suspendido ou posto termo à transferência.

4. O exame da Decisão 2010/87/UE da Comissão, de 5 de fevereiro de 2010, relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros nos termos da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, conforme alterada pela Decisão de Execução (UE) 2016/2297 da Comissão, de 16 de dezembro de 2016, à luz dos artigos 7.º, 8.º e 47.º da Carta dos Direitos Fundamentais não revelou nenhum elemento suscetível de afetar a validade desta decisão.

5. A Decisão de Execução (UE) 2016/1250 da Comissão, de 12 de julho de 2016, relativa ao nível de proteção assegurado pelo Escudo de Proteção da Privacidade UE-EUA, com fundamento na Diretiva 95/46/CE do Parlamento Europeu e do Conselho, é inválida.

O ponto 5 é a manchete. O ponto 4 manteve a decisão de SCCs válida, e os pontos 2 e 3 impõem condições a toda transferência feita com base nela: cada uma agora precisa de uma verificação própria da lei do país de destino.

Por que o tribunal invalidou o Privacy Shield?

O tribunal invalidou o Privacy Shield por dois motivos: a lei de vigilância dos EUA não era proporcional, e os residentes da UE não tinham um recurso efetivo perante um órgão independente. Sobre o primeiro motivo, o parágrafo 184 concluiu que "nem a secção 702 da FISA nem o E.O. 12333, lidos em conjugação com a PPD-28, correspondem aos requisitos mínimos inerentes, no direito da União, ao princípio da proporcionalidade, pelo que não se pode considerar que os programas de vigilância baseados nessas disposições se limitem ao estritamente necessário."

Sobre o segundo motivo, a decisão do Privacy Shield se apoiava em um mediador (ombudsperson) que, como observa o parágrafo 195, era nomeado pelo secretário de Estado e fazia "parte integrante do Departamento de Estado dos Estados Unidos". O parágrafo 197 decidiu que o mecanismo "não apresenta nenhuma via de recurso num órgão, que ofereça às pessoas cujos dados são transferidos para os Estados Unidos garantias substancialmente equivalentes às exigidas no artigo 47.º da Carta." O artigo 47 é o direito da Carta a um recurso efetivo e a um tribunal imparcial.

O tribunal não concedeu período de transição. O parágrafo 202 recusou manter a decisão em vigor temporariamente porque, diante do artigo 49 do GDPR, que lista derrogações como o consentimento explícito para uma transferência, a anulação da decisão "não é suscetível de criar tal vazio jurídico". O Privacy Shield deixou de ser uma base válida para transferências no dia do acórdão.

O que aconteceu com as cláusulas contratuais-padrão depois do Schrems II?

As cláusulas contratuais-padrão continuaram válidas, mas o exportador passou a ser responsável por verificar se o país de destino permite que o importador as cumpra. O parágrafo 134 coloca o dever na empresa que envia os dados:

Por conseguinte, cabe, antes de mais, a esse responsável pelo tratamento ou ao seu subcontratante verificar, caso a caso e, se for caso disso, em colaboração com o destinatário da transferência, se o direito do país terceiro de destino assegura uma proteção adequada, à luz do direito da União, dos dados pessoais transferidos com base em cláusulas-tipo de proteção de dados, fornecendo, se necessário, garantias adicionais às oferecidas por essas cláusulas.

O parágrafo 135 diz a consequência quando essa verificação falha: o exportador ou, subsidiariamente, a autoridade de controlo "são obrigados a suspender ou a pôr termo à transferência de dados pessoais para o país terceiro em causa."

Vieram dois documentos em seguida. O EDPB adotou a versão final das suas Recommendations 01/2020 sobre medidas que complementam os instrumentos de transferência em 18 de junho de 2021. A Comissão adotou um novo conjunto de SCCs na Decisão de Execução (UE) 2021/914, em 4 de junho de 2021. A cláusula 14 das novas cláusulas embute a verificação do Schrems II no contrato. Na cláusula 14(a), "As Partes garantem que não têm motivos para crer que a legislação e as práticas do país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas destinadas a autorizar o acesso de autoridades públicas, impedem o importador de dados de cumprir as obrigações que lhe incumbem por força das presentes cláusulas." A cláusula 14(d) acrescenta: "As Partes acordam em documentar a avaliação prevista na alínea b) e disponibilizá-la à autoridade de controlo competente, mediante pedido." Essa avaliação documentada é o que os profissionais da área chamam de avaliação de impacto da transferência (TIA).

O artigo 4 da Decisão 2021/914 revogou a decisão de 2010 "com efeitos a partir de 27 de setembro de 2021" e permitiu que contratos antigos contassem como garantias adequadas apenas "até 27 de dezembro de 2022", desde que o tratamento continuasse inalterado.

O que substituiu o Privacy Shield?

O EU-US Data Privacy Framework substituiu o Privacy Shield, por meio da Decisão de Execução (UE) 2023/1795 da Comissão, de 10 de julho de 2023. Ele se apoia em uma mudança na lei americana: o considerando 6 da decisão registra que "os Estados Unidos adotaram, em 7 de outubro de 2022, o Executive Order 14086 intitulado 'Enhancing Safeguards for [US] Signals Intelligence Activities' (EO 14086)", complementado por um regulamento do Attorney General que cria um Data Protection Review Court. Esses dois instrumentos respondem aos dois motivos dos parágrafos 184 e 197. O artigo 1.º da decisão diz:

Para efeitos do artigo 45.º do Regulamento (UE) 2016/679, os Estados Unidos asseguram um nível adequado de proteção dos dados pessoais transferidos da União para organizações localizadas nos Estados Unidos constantes da "lista do Quadro de Privacidade de Dados", conservada e disponibilizada publicamente pelo Department of Commerce dos EUA, em conformidade com o anexo I, secção I.3.

O alcance é mais estreito que "os Estados Unidos". A adequação cobre apenas as organizações dessa lista. Uma transferência para uma empresa americana que não fez a autocertificação ainda precisa de um instrumento do artigo 46, e o artigo 46(1) do GDPR estabelece que os exportadores "só podem transferir dados pessoais para um país terceiro ou uma organização internacional se tiverem apresentado garantias adequadas, e na condição de os titulares dos dados gozarem de direitos oponíveis e de medidas jurídicas corretivas eficazes." Para essas transferências, a avaliação do Schrems II continua valendo. O artigo 3 da decisão obriga a Comissão a monitorar o framework continuamente e permite que ela decida "suspender, alterar ou revogar a presente decisão, ou limitar o seu âmbito de aplicação" com base no artigo 45(5) do GDPR.

O Data Privacy Framework é jurisprudência pacificada?

Não. O Data Privacy Framework sobreviveu à primeira contestação judicial, e essa decisão está em recurso. Philippe Latombe, um recorrente de Nantes, na França, apresentou o processo T-553/23 no Tribunal Geral em 6 de setembro de 2023. O presidente do Tribunal Geral recusou a suspensão cautelar da decisão em 12 de outubro de 2023. Em 3 de setembro de 2025, a Décima Seção, em formação alargada, decidiu: "É negado provimento ao recurso." A Irlanda e os Estados Unidos intervieram do lado da Comissão. Latombe interpôs recurso em 31 de outubro de 2025, processo C-703/25 P, e o Tribunal de Justiça o lista como pendente.

Até o Tribunal de Justiça decidir, uma empresa pode se apoiar na decisão de 2023 para transferências a organizações da lista, porque uma decisão de adequação continua em vigor até ser revogada ou anulada. O risco é o mesmo que os usuários do Privacy Shield enfrentaram em 16 de julho de 2020: uma anulação produz efeitos no dia do acórdão, e o parágrafo 202 do Schrems II mostra que o tribunal não concede período de transição quando o artigo 49 está disponível.

O que o Schrems II significa para o analytics de sites?

O Schrems II significa que todo fornecedor de analytics ou de tags que envia dados de visitantes da UE para os Estados Unidos precisa de uma base válida de transferência para esse fluxo, verificada fornecedor por fornecedor. Como o acórdão se desdobrou para o Google Analytics está na análise sobre se o GA4 está em conformidade com o GDPR. Verifique se a entidade americana do fornecedor aparece na lista do Data Privacy Framework. Se não aparecer, procure SCCs e uma avaliação documentada da cláusula 14. A base de transferência é uma questão separada da base legal do tratamento: uma decisão de adequação não torna o tratamento lícito, e o legítimo interesse no GDPR também não torna uma transferência lícita. O local de hospedagem sozinho também não resolve a questão da transferência, ponto desenvolvido no texto sobre soberania digital e localização dos dados. Para uma lista curta de ferramentas avaliadas por esses critérios, veja a comparação de alternativas ao Google Analytics focadas no GDPR.

Perguntas frequentes

Qual é o número do processo e a data do Schrems II?

O Schrems II é o processo C-311/18, Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems. A Grande Seção do Tribunal de Justiça proferiu o acórdão em 16 de julho de 2020, com o identificador ECLI:EU:C:2020:559. O processo foi apresentado em 9 de maio de 2018.

O Schrems II proibiu transferências de dados para os Estados Unidos?

Não. Ele invalidou uma base de transferência, a decisão de adequação do Privacy Shield, e manteve a decisão de SCCs. Transferências com SCCs continuaram possíveis se o exportador verificasse que a lei americana permitia ao importador cumpri-las, acrescentando salvaguardas quando necessário, e suspendesse a transferência quando isso não fosse possível.

Qual a diferença entre o Schrems I e o Schrems II?

O Schrems I, processo C-362/14 decidido em 6 de outubro de 2015, invalidou a decisão Safe Harbour de 26 de julho de 2000. O Schrems II, decidido em 16 de julho de 2020, invalidou o sucessor dela, o Privacy Shield, e fixou condições para as cláusulas contratuais-padrão. Os dois começaram com queixas de Maximillian Schrems sobre transferências do Facebook para os Estados Unidos.

As antigas cláusulas contratuais-padrão de 2010 ainda valem?

Não. A Decisão de Execução (UE) 2021/914 revogou a Decisão 2010/87/UE com efeitos a partir de 27 de setembro de 2021. Contratos assinados com as cláusulas antigas antes dessa data contaram como garantias adequadas apenas até 27 de dezembro de 2022, e só se o tratamento continuasse inalterado.

O Data Privacy Framework cobre toda empresa americana?

Não. O artigo 1.º da Decisão 2023/1795 limita a adequação às organizações "constantes da 'lista do Quadro de Privacidade de Dados'" mantida pelo Department of Commerce dos EUA. Um destinatário americano fora dessa lista precisa de uma garantia do artigo 46, como as SCCs.

O Data Privacy Framework pode ser derrubado como o Privacy Shield?

Sim, se o Tribunal de Justiça o anular em recurso. O Tribunal Geral negou provimento à contestação de Latombe em 3 de setembro de 2025, e o recurso, processo C-703/25 P, está pendente. A Comissão também pode suspender, alterar ou revogar a decisão com base no artigo 45(5) do GDPR se a proteção nos EUA ficar aquém do exigido.

O que é uma avaliação de impacto da transferência?

Uma avaliação de impacto da transferência é a verificação documentada que a cláusula 14 das cláusulas-padrão de 2021 exige antes de cada transferência. O exportador registra se a lei do país de destino permite ao importador cumprir as cláusulas, e disponibiliza esse registro à autoridade de controle mediante solicitação, conforme a cláusula 14(d). O nome vem da prática dos profissionais, não da própria decisão, embora o parágrafo 134 do Schrems II tenha criado a obrigação por trás dele.

Quem apresentou a reclamação que originou o Schrems II?

Maximillian Schrems reclamou que a transferência de seus dados pessoais pela Facebook Ireland para a Facebook Inc. nos Estados Unidos o expunha à vigilância americana sem um recurso efetivo. A High Court irlandesa remeteu o caso ao Tribunal de Justiça, que o decidiu como C-311/18 entre o Data Protection Commissioner, a Facebook Ireland Ltd e Schrems. Ele já havia apresentado a reclamação que deu origem ao Schrems I em 2015.

O que é a Executive Order 14086?

A Executive Order 14086, "Enhancing Safeguards for US Signals Intelligence Activities", é a medida americana que a Comissão cita no considerando 6 da Decisão 2023/1795 como base do Data Privacy Framework. Os Estados Unidos a adotaram em 7 de outubro de 2022, junto com um regulamento do Attorney General que criou a Data Protection Review Court. Juntos, os dois instrumentos pretendem responder aos problemas de proporcionalidade e recurso que o tribunal apontou nos parágrafos 184 e 197 do Schrems II.

O que é a Data Protection Review Court?

A Data Protection Review Court é o órgão que um regulamento do Attorney General americano criou junto com a Executive Order 14086, para dar aos titulares de dados da UE uma forma de contestar o acesso da inteligência de sinais americana a seus dados. Ela responde ao problema de recurso do parágrafo 197 do Schrems II, em que o mecanismo do ombudsperson do Privacy Shield foi considerado não equivalente ao artigo 47 da Carta. A Comissão se apoia nos dois instrumentos como base da decisão de adequação de 2023.