O Tribunal Geral da UE validou o novo acordo de transferência de dados UE/EUA

No dia 3 de setembro de 2025, o no caso Latombe vs. Comissão (T-553/23), o Tribunal Geral do Tribunal de Justiça da União Europeia (TJUE) rejeitou a ação que pedia a anulação da decisão da Comissão Europeia sobre o novo quadro de transferência de dados pessoais entre a UE e os Estados Unidos. A Irlanda e os EUA foram litisconsortes passivos na ação.

Essa decisão marca mais um capítulo da longa novela que envolve a proteção de dados transatlântica. Depois da derrubada, pelo TJUE, dos regimes de proteção apelidados de Safe Harbour (2015, caso Schrems I) e Privacy Shield (2020, caso Schrems II), o bloco europeu buscava um arranjo jurídico que resistisse ao escrutínio de seus tribunais.

Em 2002, o governo norte-americano editou o Decreto (Executive Order) 14.086, que fortaleceu as salvaguardas de privacidade aplicáveis às atividades das agências de inteligência dos EUA quando do tratamento de dados pessoais oriundos da UE. Em complemento, por meio do Regulamento (Attorney General Regulation) 28 CFR Part 201, o Departamento de Justiça dos EUA criou a Corte de Revisão para Proteção de Dados – Data Protection Review Court (DPRC) ou “Tribunal de Fiscalização da Proteção de Dados”, um mecanismo para revisão independente de reclamações sobre vigilância eletrônica e tratamento de dados pessoais nas relações bilaterais.

Tendo em vista essas reformas legislativas nos EUA, a Comissão Europeia aprovou, em 10 de julho de 2023, a chamada Decisão de Adequação (Decisão de Execução (UE) 2023/1795 da Comissão de 10 de julho de 2023 nos termos do Regulamento 2016/679 do Parlamento Europeu e do Conselho sobre a adequação do nível de proteção dos dados pessoais no âmbito Quadro de Privacidade de Dados UE-EUA), permitindo a livre transferência de dados pessoais sujeitos a tratamento por pessoas jurídicas na Europa para empresas nos EUA, desde que estas fossem certificadas sob o novo regime.

O deputado francês Philippe Latombe, autor da ação perante o Tribunal Geral, argumentava que a DPRC não seria um tribunal independente nem imparcial, no sentido europeu, pois estaria sujeito à influência direta do Poder Executivo americano. Argumentou também que a coleta em massa de dados (bulk collection of personal data) por agências de inteligência dos EUA violaria a exigência de proteção equivalente à europeia, quanto ao direito à PDP, previsto no artigo 8º da Carta de Direitos Fundamentais da UE, do ano 2000, e no RGPD, de 2016.

Porém, o Tribunal Geral não acolheu esses argumentos. Reconheceu que a DPRC ofereceria garantias institucionais de independência, e que seus juízes só poderiam ser afastados por justa causa, por decisão do Procurador-Geral dos Estados Unidos.

Ademais, segundo a Corte Geral, o precedente Schrems II não exige que a coleta em massa de dados pessoais seja precedida de autorização judicial, bastando que exista revisão judicial posterior (ex post), o que a legislação norte-americana agora prevê.

Assim, a Corte Geral concluiu que, no momento da adoção da decisão de adequação por Bruxelas, os EUA ofereciam um nível de proteção “essencialmente equivalente” ao da União Europeia para o tratamento de dados pessoais.

Essa decisão não encerra o debate sobre a transferência internacional de dados pessoais, conforme o marco jurídico atual. Cabe ainda recurso ao Tribunal de Justiça da União Europeia (TJUE), limitado a pontos de direito. Se o passado serve de guia, não é impossível que novas contestações ao modelo vigente surjam, afinal, os dois acordos anteriores com os EUA ruíram justamente devido ao escrutínio judicial do tribunal supranacional europeu.

Por ora, empresas europeias e norte-americanas mantêm a previsibilidade jurídica de suas atividades, podendo manter o fluxo transatlântico de dados, que é de enorme importância para setores como tecnologia, saúde e finanças.

A lição é clara: em matéria de proteção de dados pessoais, o equilíbrio entre segurança nacional e direitos fundamentais continuará a ser objeto de controvérsias judiciais em Luxemburgo, em Washington e também aqui.