Schrems II.

O que o acórdão realmente decidiu

Schrems II é o acórdão do Tribunal de Justiça da União Europeia, proferido em julho de 2020 no processo Data Protection Commissioner v Facebook Ireland e Maximillian Schrems, que reconfigurou a forma como os dados pessoais saem do Espaço Económico Europeu. Duas coisas aconteceram ao mesmo tempo.

Primeiro, o Tribunal invalidou o Privacy Shield UE-EUA, o acordo de adequação que tinha permitido a milhares de empresas transferir dados para importadores norte-americanos certificados, porque a legislação de vigilância dos EUA não oferecia às pessoas da União uma proteção essencialmente equivalente à garantida dentro da União, nem lhes concedia qualquer tutela judicial efetiva. Segundo, e esta é a parte que perdura, o Tribunal não anulou as cláusulas contratuais-tipo. Manteve-as válidas, mas acrescentou uma condição: o exportador não pode limitar-se a assinar as cláusulas e desinteressar-se.

Essa condição é o cerne da questão. O Tribunal afirmou que os exportadores de dados devem verificar, caso a caso, se o direito e a prática do país de destino permitem realmente ao importador respeitar as garantias contratuais. Quando não é o caso, o exportador tem de acrescentar medidas suplementares ou interromper a transferência. O contrato por si só não basta se um governo estrangeiro puder impor o acesso de uma forma que as cláusulas não conseguem impedir.

A avaliação de impacto da transferência na prática

A disciplina que Schrems II criou é a avaliação de impacto da transferência, ou TIA. É a análise documentada que transforma o acórdão num controlo repetível. Um profissional que conduz uma TIA percorre uma sequência reconhecível em vez de um parecer jurídico avulso.

• Mapear a transferência. Identificar que dados vão para onde, as categorias de pessoas afetadas, o importador, quaisquer transferências ulteriores e o mecanismo jurídico em que se baseia, normalmente as SCC.
• Avaliar o direito e a prática de destino. Examinar o regime de vigilância e de acesso governamental no país importador e julgar se compromete a proteção que o instrumento de transferência deve proporcionar. Esta é a análise do direito de vigilância que o Tribunal exigiu.
• Identificar as medidas suplementares. Quando o direito local é problemático, decidir que garantias técnicas, contratuais ou organizativas adicionais fecham a lacuna. A cifragem robusta com chaves detidas apenas no EEE, a pseudonimização e o tratamento fracionado são as medidas técnicas que os reguladores mais apontam.
• Documentar e decidir. Registar o raciocínio, concluir se a transferência pode prosseguir e definir um gatilho de revisão para que a avaliação seja reexaminada quando o direito ou o acordo mudar.

Onde se situa hoje

Em 2023 a Comissão Europeia adotou o Data Privacy Framework UE-EUA, uma nova decisão de adequação que, para as organizações norte-americanas certificadas, restabelece uma via para transferir dados sem TIA nesse corredor específico. Foi concebido para responder às preocupações sobre tutela e proporcionalidade que afundaram o Privacy Shield, incluindo um mecanismo de revisão independente para as pessoas da União. Assim, em termos do dia a dia, a lacuna do Privacy Shield aberta por Schrems II foi colmatada para os Estados Unidos, desde que o importador esteja certificado ao abrigo do novo quadro e a transferência permaneça dentro do seu âmbito.

O que não desapareceu foi o método mais amplo. As transferências para países sem decisão de adequação continuam a basear-se nas SCC ou noutros instrumentos do artigo 46.º, e cada uma delas ainda necessita de uma TIA. As orientações do Comité Europeu para a Proteção de Dados sobre as medidas suplementares continuam a ser o manual prático. A forma correta de ler Schrems II em 2026 não é, portanto, como uma história morta do Privacy Shield, mas como o momento em que o risco de transferência passou a ser algo que se avalia e se documenta, transferência a transferência, em vez de afastar assinalando uma casa de adequação.

Vale a pena manter distintos dois conceitos vizinhos. Uma decisão de adequação é a Comissão a afirmar que um país inteiro oferece proteção equivalente, o que elimina a necessidade de garantias adicionais. As SCC são um instrumento de base contratual que se utiliza quando não há decisão de adequação, e Schrems II é precisamente o acórdão que disse que as SCC vêm com o trabalho de casa de uma TIA em anexo.