Durante años imaginamos la nube como un lugar sin geografía. Una especie de cielo técnico donde los archivos, las conversaciones, las compras, los historiales médicos, las nóminas, las campañas publicitarias y los perfiles de millones de personas flotaban sin demasiado peso material. Pero la nube nunca fue un cielo. Fue siempre una red de centros de datos, cables submarinos, contratos, leyes, gobiernos, agencias de vigilancia y empresas capaces de convertir la vida cotidiana en infraestructura comercial.
Por eso, cuando se dice que el Tribunal Supremo de Estados Unidos “anuló” las transferencias de datos entre la Unión Europea y Estados Unidos, conviene detenerse. La frase es poderosa, pero jurídicamente incompleta. Lo que ocurrió el 29 de junio de 2026 en Trump v. Slaughter no fue la caída automática del sistema transatlántico de datos.
No hubo un botón rojo que detuviera Microsoft 365, Google Cloud, Amazon Web Services, Meta, Salesforce o las miles de herramientas que conectan a empresas europeas con servidores estadounidenses. Lo que ocurrió fue más sutil y, quizás por eso mismo, más inquietante: el Tribunal Supremo estadounidense debilitó uno de los supuestos sobre los que Europa había construido su confianza legal en Estados Unidos. Ese supuesto era la independencia de la Federal Trade Commission, la FTC. (Tribunal Supremo de Estados Unidos, Trump v. Slaughter, 2026).
La diferencia importa. No estamos ante una anulación inmediata de todas las transferencias de datos personales entre la UE y EE. UU. Estamos ante una grieta jurídica seria en el Data Privacy Framework, el marco aprobado en 2023 para permitir que datos personales europeos viajaran hacia empresas estadounidenses certificadas.
La decisión sigue formalmente vigente. La Comisión Europea no la ha retirado y el Tribunal de Justicia de la Unión Europea no la ha anulado. Pero el fundamento político-institucional que la sostenía acaba de volverse mucho más vulnerable. El problema no es que el puente se haya derrumbado hoy; el problema es que uno de sus pilares ya no parece tan firme como Bruselas decía.
Qué decidió realmente el Tribunal Supremo de Estados Unidos
Trump v. Slaughter fue, en apariencia, un caso constitucional estadounidense sobre la capacidad del presidente para remover a comisarios de la FTC. Rebecca Slaughter, comisaria demócrata de la agencia, había sido despedida por el presidente Donald Trump sin invocar una causa específica prevista por la ley. La disputa llegó al Tribunal Supremo con una pregunta de fondo: ¿puede el Congreso proteger a ciertos funcionarios de agencias regulatorias frente al despido presidencial arbitrario?
La respuesta del Tribunal fue contundente. La mayoría sostuvo que la FTC ejerce poder ejecutivo y que sus comisarios deben estar sujetos al control del presidente. La sentencia declaró inconstitucional la protección legal que permitía removerlos solo por “inefficiency, neglect of duty, or malfeasance in office”, es decir, por ineficiencia, negligencia o mala conducta. En el razonamiento del Tribunal, la FTC no es una entidad técnica aislada del poder político: investiga, dicta reglas, administra normas, resuelve procedimientos internos y litiga en nombre de Estados Unidos. Para la mayoría, eso es ejecución de la ley. Y si es ejecución de la ley, debe estar bajo la autoridad presidencial.
El punto más delicado es que el Tribunal no solo resolvió el caso concreto. También dejó atrás, en lo esencial, el viejo precedente Humphrey’s Executor de 1935, que durante casi noventa años había servido para justificar la existencia de agencias independientes dentro del Estado administrativo estadounidense. El fallo afirma que, si todavía quedaba algo sustantivo de Humphrey’s Executor, quedaba anulado. En términos constitucionales estadounidenses, esto no es un ajuste menor: es una relectura del Estado regulador bajo la teoría del “ejecutivo unitario”, según la cual el presidente debe poder controlar a quienes ejercen poder ejecutivo.
Conviene, sin embargo, no exagerar el alcance formal de la sentencia. El Tribunal Supremo no decidió sobre el Reglamento General de Protección de Datos europeo, ni sobre el Data Privacy Framework, ni sobre la validez de las transferencias internacionales de datos. Tampoco dijo literalmente que toda autoridad independiente dentro del aparato federal estadounidense sea imposible. De hecho, la propia sentencia dejó abiertas ciertas cuestiones, como el tratamiento de la Reserva Federal o de algunos tribunales no amparados por el Artículo III de la Constitución estadounidense.
Pero el golpe a la FTC es suficiente para encender todas las alarmas en Bruselas. Porque la FTC no era un actor decorativo en el acuerdo UE-EE. UU. sobre datos. Era una de las piezas centrales del relato europeo de adecuación.
Por qué la independencia de la FTC era tan importante para Europa
Para entender la magnitud del problema hay que volver al corazón del derecho europeo de protección de datos. En la Unión Europea, la protección de datos personales no es solo una materia de cumplimiento empresarial. Es un derecho fundamental. El artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea establece que toda persona tiene derecho a la protección de sus datos personales y que el cumplimiento de estas reglas debe estar sometido al control de una autoridad independiente.
Esa idea también aparece en el artículo 16 del Tratado de Funcionamiento de la Unión Europea. La protección de datos no se concibe como una cortesía administrativa, sino como una garantía democrática. No basta con que una empresa prometa portarse bien. No basta con que un gobierno diga que no abusará de su poder. Tiene que existir supervisión independiente, control efectivo y remedios reales.
Cuando la Comisión Europea aprueba una decisión de adecuación, como la Decisión de Ejecución (UE) 2023/1795, lo que hace es declarar que un tercer país, o un marco específico dentro de ese país, ofrece un nivel de protección “esencialmente equivalente” al de la Unión Europea. No idéntico, porque Europa no exige una copia institucional exacta de su propio sistema. Pero sí equivalente en la práctica: suficientemente robusto, exigible y protegido frente al poder arbitrario.
Ahí entra la FTC. La decisión de adecuación de 2023 no menciona a la FTC como un detalle lateral. El texto afirma que, para participar en el Data Privacy Framework, las organizaciones estadounidenses deben estar sujetas a los poderes de investigación y enforcement de la FTC o del Departamento de Transporte. Además, la decisión describe mecanismos de reclamación, corrección, sanción y eliminación de datos en caso de incumplimiento. En otras palabras, la Comisión Europea no solo confió en promesas privadas de las empresas estadounidenses; confió en que habría autoridades estadounidenses capaces de fiscalizarlas.
La propia FTC, en su comunicación sobre el Data Privacy Framework, presenta su rol como autoridad encargada de hacer cumplir el marco en el sector comercial. También la decisión europea incluye una carta de la FTC comprometiéndose a aplicar los aspectos comerciales del acuerdo y a revisar con prioridad las denuncias de incumplimiento.
El problema es evidente: si Europa justificó parte de su confianza en Estados Unidos sobre la base de una FTC independiente, y el Tribunal Supremo estadounidense acaba de declarar que esa agencia debe estar bajo control presidencial en materia de remoción, la pregunta no es técnica. Es política. ¿Puede seguir Europa diciendo que existe supervisión independiente cuando el supervisor puede quedar sometido a la voluntad directa del presidente?
El Data Privacy Framework: tercer intento de un puente que ya se cayó dos veces
El actual Data Privacy Framework no nació en el vacío. Es el tercer intento de construir un puente legal estable entre la Unión Europea y Estados Unidos para el flujo de datos personales.
El primer gran mecanismo fue Safe Harbor, aprobado en el año 2000. Durante años permitió que empresas estadounidenses recibieran datos europeos bajo ciertos principios de privacidad. Pero en 2015, el Tribunal de Justicia de la Unión Europea lo anuló en el caso Schrems I, impulsado por el activista austríaco Max Schrems. El argumento central fue que la Comisión no podía ignorar los riesgos que implicaban las leyes de vigilancia estadounidenses para los datos de ciudadanos europeos.
Luego vino Privacy Shield, presentado como una versión mejorada. También cayó. En 2020, el TJUE lo anuló en Schrems II, nuevamente por la falta de garantías suficientes frente al acceso de autoridades estadounidenses a datos europeos y por la ausencia de remedios judiciales equivalentes a los exigidos por el derecho de la Unión. La sentencia no eliminó por completo las cláusulas contractuales tipo, pero dejó claro que estas no podían operar como un ritual vacío: las empresas debían evaluar si, en la práctica, el país receptor permitía cumplir con la protección europea.
El Data Privacy Framework de 2023 fue la tercera respuesta. Se construyó sobre dos grandes pilares: por un lado, compromisos comerciales supervisados por organismos como la FTC; por otro, nuevas garantías frente a la vigilancia estadounidense, especialmente a través de la Executive Order 14086 y la creación del Data Protection Review Court, el DPRC. La Comisión Europea sostuvo que estas reformas permitían considerar que Estados Unidos ofrecía protección adecuada para los datos transferidos a empresas participantes.
Aquí aparece una paradoja frecuente en la historia de la tecnología: cuanto más invisible parece una infraestructura, más depende de textos jurídicos que casi nadie lee. La experiencia cotidiana de usar una aplicación europea alojada en una nube estadounidense puede parecer simple. Un clic. Una sincronización. Una reunión en línea. Un CRM que carga. Pero debajo de esa aparente normalidad hay una cadena de decisiones políticas, sentencias judiciales, certificaciones privadas, poderes de vigilancia y autoridades regulatorias.
Latombe v Commission: una validación que no cerró el debate
En septiembre de 2025, el Tribunal General de la Unión Europea resolvió Latombe v Commission, una demanda de anulación contra el nuevo marco de transferencias. Philippe Latombe, ciudadano francés y usuario de plataformas digitales que transferían sus datos a Estados Unidos, alegó que el Data Protection Review Court no era independiente y que las prácticas de inteligencia estadounidenses no estaban suficientemente limitadas. El Tribunal General rechazó la acción y confirmó que, en el momento en que la Comisión adoptó la decisión de adecuación en 2023, Estados Unidos ofrecía un nivel adecuado de protección.
Ese fallo es importante porque muestra que el Data Privacy Framework no estaba jurídicamente muerto antes de Trump v. Slaughter. El Tribunal General aceptó, al menos en esa fotografía temporal, que el DPRC contaba con salvaguardas suficientes para garantizar la independencia de sus miembros. También sostuvo que la vigilancia de señales por agencias estadounidenses podía estar sometida a revisión judicial ex post, sin exigir necesariamente autorización previa de una autoridad independiente.
Pero Latombe también contiene la clave del momento actual. El propio Tribunal recordó que la Comisión Europea debe vigilar de forma continua el marco jurídico estadounidense. Si ese marco cambia, la Comisión puede suspender, modificar, derogar o limitar la decisión de adecuación. Es decir, Latombe no blindó el Data Privacy Framework para siempre. Lo validó según las condiciones existentes al momento de su adopción. Trump v. Slaughter introduce una condición nueva: la FTC, uno de los pilares del enforcement comercial, ya no puede ser descrita de la misma manera.
Max Schrems, noyb y la insistencia incómoda
Max Schrems lleva más de una década señalando una contradicción que Europa ha preferido administrar antes que resolver: quiere proteger los datos personales como derecho fundamental, pero al mismo tiempo depende profundamente de infraestructura tecnológica estadounidense. Su organización, noyb, suele operar como una especie de recordatorio institucional de esa incomodidad.
Tras Trump v. Slaughter, noyb pidió a la Comisión Europea una retirada ordenada del acuerdo UE-EE. UU. sobre datos. Su argumento es que, si la independencia de la FTC era una condición relevante para la adecuación y esa independencia ha sido destruida o debilitada por la jurisprudencia estadounidense, la Comisión ya no puede sostener honestamente la misma conclusión jurídica.
La posición de noyb puede ser leída como una tesis de parte, orientada al litigio, y no como una constatación oficial. Pero no es un simple gesto activista: se apoya en una tensión real entre el derecho europeo, que exige supervisión independiente, y una evolución constitucional estadounidense que fortalece el control presidencial sobre agencias regulatorias.
Hay que decirlo con precisión: noyb exagera si se entiende su mensaje como descripción del efecto inmediato. Las transferencias no han sido anuladas automáticamente. Pero acierta si su frase se interpreta como advertencia sistémica. El Data Privacy Framework queda más expuesto que antes. Y en materia de datos, una vulnerabilidad jurídica no es un detalle burocrático: puede convertirse en riesgo operativo, financiero y reputacional para miles de empresas.
Qué pasa ahora con las empresas
Para las empresas europeas, el primer error sería entrar en pánico. El segundo sería no hacer nada.
Hoy, la decisión de adecuación 2023/1795 sigue vigente. La propia Comisión Europea mantiene que, sobre la base de esa decisión, los datos personales pueden fluir libremente desde la UE hacia empresas estadounidenses que participen en el Data Privacy Framework. (Comisión Europea, transferencias UE-EE. UU.).
Eso significa que no hay un “apagón de compliance” inmediato. No es el mismo escenario del día en que el TJUE anuló Safe Harbor o Privacy Shield. Pero sí hay una obligación razonable de revisar dependencias. Las empresas que transfieren datos personales hacia Estados Unidos deberían saber exactamente qué datos transfieren, a qué proveedores, bajo qué base jurídica, con qué medidas técnicas y con qué alternativas en caso de que el marco sea suspendido o impugnado con éxito.
El problema no afecta solo a quienes usan directamente el Data Privacy Framework. Muchas empresas se apoyan en cláusulas contractuales tipo, conocidas como SCC, o en normas corporativas vinculantes, conocidas como BCR. El RGPD permite estas herramientas cuando no existe una decisión de adecuación, siempre que existan garantías apropiadas, derechos exigibles y remedios efectivos para las personas.
Pero las SCC no son un conjuro legal. Después de Schrems II, la Comisión Europea dejó claro que las partes deben realizar una evaluación de impacto de transferencia, o transfer impact assessment, para analizar si las leyes y prácticas del país de destino pueden impedir el cumplimiento efectivo de las cláusulas. Si el sistema estadounidense de supervisión y remedio pierde credibilidad, muchas evaluaciones existentes tendrán que actualizarse. No porque las SCC desaparezcan, sino porque el contexto que las hacía defendibles puede haberse debilitado.
El artículo 49 del RGPD tampoco ofrece una salida general. Ese artículo permite excepciones para situaciones específicas: consentimiento explícito, necesidad contractual, razones importantes de interés público, defensa de reclamaciones, entre otras. Pero el Comité Europeo de Protección de Datos insiste en que estas derogaciones tienen carácter excepcional y no pueden convertirse en la regla. No sirven para justificar una externalización estructural y permanente de datos personales hacia proveedores fuera del Espacio Económico Europeo.
Traducido a lenguaje empresarial: una compañía no debería esperar a que el puente se cierre para averiguar cuántos camiones tiene cruzándolo todos los días.
La vulnerabilidad del usuario común
Aunque el debate parezca reservado a juristas, responsables de privacidad y departamentos de compliance, su consecuencia más profunda afecta al usuario común. La mayoría de las personas no sabe dónde se procesa su información. Tampoco sabe qué leyes se aplican cuando usa una aplicación, trabaja en una plataforma, sube documentos a una nube, responde un formulario médico o participa en una videollamada corporativa.
Esa ignorancia no es culpa del usuario. Es parte del diseño cultural de la nube. Durante años se nos enseñó a pensar la infraestructura digital como comodidad, no como poder. Mientras todo funciona, nadie pregunta dónde está el servidor. Nadie pregunta qué gobierno puede exigir acceso. Nadie pregunta qué tribunal podría revisar un abuso. Nadie pregunta si la autoridad que supuestamente protege sus derechos puede ser removida por razones políticas.
Trump v. Slaughter vuelve visible esa arquitectura. Nos recuerda que los datos no viajan en un vacío neutral. Viajan entre jurisdicciones, bajo gobiernos concretos, sostenidos por instituciones más o menos independientes. La privacidad no depende solo del cifrado, ni de las políticas de privacidad que aceptamos sin leer. Depende también de la forma del Estado, de la separación de poderes, de la independencia de los reguladores y de la posibilidad real de reclamar cuando el sistema falla.
Para el usuario, la vulnerabilidad no aparece como una notificación. No dice: “sus derechos fundamentales están siendo procesados bajo una arquitectura jurídica inestable”. Aparece como continuidad. El correo funciona. La nube sincroniza. La app responde. La empresa factura. Todo parece normal.
La nube como dependencia
La discusión sobre las transferencias de datos suele presentarse como un problema legal. Pero también es un problema de dependencia tecnológica. Durante años, empresas, instituciones públicas, universidades, hospitales y gobiernos europeos han externalizado parte fundamental de su vida digital a proveedores estadounidenses. No porque siempre fuera inevitable, sino porque era más barato, más rápido, más cómodo y, en apariencia, más eficiente.
Esa eficiencia tuvo un costo silencioso: la pérdida de control. Cuando la administración de identidades, correos, documentos, analítica, inteligencia artificial, almacenamiento y seguridad depende de un pequeño grupo de proveedores globales, la soberanía deja de ser un concepto abstracto. Se vuelve una pregunta práctica: ¿quién puede leer, procesar, bloquear, auditar, transferir o condicionar nuestros datos?
Este no es un llamado ingenuo a desconectarse de Estados Unidos ni a romantizar una autosuficiencia digital imposible. La infraestructura tecnológica contemporánea es interdependiente por naturaleza. Pero una cosa es la interdependencia y otra la dependencia estructural. La primera permite cooperación; la segunda reduce el margen de decisión.
El caso Trump v. Slaughter importa porque muestra que incluso los acuerdos más técnicos dependen de equilibrios políticos. Europa podía decir que sus datos estaban protegidos porque existía un marco jurídico con autoridades de control, mecanismos de recurso y compromisos de enforcement. Pero si una sentencia constitucional estadounidense cambia la naturaleza de una autoridad clave, todo el edificio argumental debe revisarse.
Tres escenarios posibles
El primer escenario es el de continuidad vigilada. La Comisión Europea podría sostener que Trump v. Slaughter no altera materialmente el nivel de protección del Data Privacy Framework. Podría argumentar que la FTC sigue teniendo poderes de enforcement, aunque sus comisarios puedan ser removidos por el presidente. Podría apoyarse en otras piezas del sistema, como el Departamento de Comercio, el Departamento de Transporte, los mecanismos privados de resolución de disputas y el DPRC. Esta defensa no sería imposible, pero sería políticamente más difícil que antes.
El segundo escenario es una revisión formal. La Comisión podría iniciar un análisis profundo del impacto de la sentencia, exigir aclaraciones a Estados Unidos, revisar su evaluación de adecuación y eventualmente introducir condiciones, límites o ajustes. Este camino permitiría evitar un colapso abrupto y dar tiempo a empresas y administraciones para adaptarse.
El tercer escenario es el más disruptivo: una nueva batalla judicial tipo Schrems III. noyb u otros actores podrían impugnar el marco ante tribunales europeos. El caso podría escalar hasta el Tribunal de Justicia de la Unión Europea, que tendría que decidir si, a la luz del nuevo contexto constitucional estadounidense, sigue existiendo una protección esencialmente equivalente. La historia reciente muestra que este escenario no es fantasía. Safe Harbor cayó. Privacy Shield cayó. El Data Privacy Framework nació sabiendo que podía ser el siguiente en la fila.
Lo que deberían hacer las empresas sin esperar la próxima sentencia
La respuesta empresarial no debería ser dramática, sino metódica. Lo primero es mapear transferencias: qué datos personales salen del Espacio Económico Europeo, hacia qué proveedores, con qué finalidad y bajo qué base jurídica. Lo segundo es identificar dependencias del Data Privacy Framework, de SCC o de BCR.
Lo tercero es revisar las evaluaciones de impacto de transferencia, especialmente cuando el proveedor esté sujeto a legislación estadounidense o a potenciales solicitudes de acceso por autoridades públicas. Lo cuarto es considerar medidas suplementarias: cifrado fuerte, minimización de datos, seudonimización, regionalización efectiva del procesamiento o elección de proveedores con garantías europeas más sólidas.
Pero la dimensión más importante no es solo técnica. Es estratégica. Las empresas deben dejar de tratar la ubicación y gobernanza de los datos como una nota al pie del contrato de software. En la economía digital, los datos son operación, memoria, ventaja competitiva, cumplimiento regulatorio y confianza. Una empresa que no sabe dónde viven sus datos tampoco sabe exactamente dónde vive su riesgo.
Conclusión: el centro de datos también es una institución política
La gran enseñanza de Trump v. Slaughter no es que las transferencias de datos entre Europa y Estados Unidos hayan terminado. No han terminado. La decisión de adecuación sigue vigente. Los datos siguen fluyendo. Las empresas siguen operando. Los usuarios siguen iniciando sesión.
La enseñanza es más profunda: la infraestructura digital depende de instituciones políticas que pueden cambiar. La nube no está fuera de la historia. Está dentro de ella. Está atravesada por tribunales, presidentes, agencias, tratados, órdenes ejecutivas, intereses comerciales y conflictos de poder.
Durante mucho tiempo dejamos la administración de los centros de datos, las plataformas y los flujos internacionales de información en manos de un pequeño grupo de empresas y expertos, bajo la idea de que se trataba de un asunto técnico. Como si el lugar donde se procesan nuestros datos fuera comparable al lugar donde se guarda una caja de repuestos. Como si la arquitectura de la nube no tuviera consecuencias sobre la privacidad, la autonomía, la economía, la democracia y la vida cotidiana.
Pero los datos no son simples archivos. Son fragmentos de conducta humana. Son rastros de decisiones, vínculos, enfermedades, compras, miedos, conversaciones, deseos, trayectorias laborales y formas de existir en sociedad. Delegar su administración sin discutir su dimensión política es aceptar que una parte creciente de la vida humana sea gobernada como infraestructura privada.
No se trata de apagar la nube ni de levantar nuevas murallas digitales. Se trata de recordar que la tecnología no es neutral cuando concentra poder. Y que los centros de datos, aunque estén llenos de cables, discos y sistemas de refrigeración, también son instituciones de nuestro tiempo. Tal vez el error fue creer que eran solo máquinas. Tal vez la pregunta que viene no sea únicamente dónde están nuestros datos, sino quién tiene autoridad sobre el futuro que esos datos están construyendo.
Fuentes consultadas
- Tribunal Supremo de Estados Unidos, Trump v. Slaughter, 2026.
- Comisión Europea, Decisión de Ejecución (UE) 2023/1795 sobre el nivel adecuado de protección de datos personales bajo el Marco de Privacidad de Datos UE-EE. UU.
- Comisión Europea, página oficial sobre transferencias de datos UE-EE. UU.
- Federal Trade Commission, Data Privacy Framework.
- Tribunal General de la Unión Europea, Latombe v Commission, 2025.
- Carta de Derechos Fundamentales de la Unión Europea, artículo 8.
- Reglamento General de Protección de Datos, artículos 45, 46 y 49.
- Comisión Europea, preguntas y respuestas sobre cláusulas contractuales tipo.
- European Data Protection Board, guía sobre transferencias internacionales de datos.
- Investigación adjunta: “Qué significa realmente Trump v. Slaughter para las transferencias de datos entre la UE y Estados Unidos”.
