Podstawa prawna, na jakiej dane trafiają za ocean, rzadko bywa przedmiotem codziennej refleksji w organizacjach. Transfery do USA, w szczególności związane z rozwiązaniami takimi jak poczta w chmurze, system CRM, narzędzia analityczne, kopie zapasowe – wszystko to działa, bo formalnie od lipca 2023 r. obowiązuje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony danych przekazywanych certyfikowanym podmiotom w USA w ramach Data Privacy Framework. Ten stan błogiego spokoju został latem 2026 r. wystawiony na próbę. Sąd Najwyższy Stanów Zjednoczonych wydał 29 czerwca 2026 r. wyrok w sprawie Trump v. Slaughter, a Europejska Rada Ochrony Danych zareagowała na niego 31 lipca 2026 r. listem do Komisji Europejskiej, w którym prosi o wnikliwą ocenę, czy fundament decyzji adekwatności właśnie nie zaczął pękać. Przeczytałem i wyrok, i list. Spróbuję uporządkować, co się właściwie stało i co z tego wynika dla polskiego administratora lub podmiotu przetwarzającego.
Koniec doktryny, na której stała niezależność FTC
Żeby zrozumieć wagę sprawy, trzeba cofnąć się do 1935 r. W sprawie Humphrey’s Executor przeciwko Stanom Zjednoczonym amerykański Sąd Najwyższy uznał wówczas, że Kongres może chronić członków Federalnej Komisji Handlu przed odwołaniem przez prezydenta. Komisarza FTC można było usunąć wyłącznie z enumeratywnie wskazanych przyczyn: nieefektywności, zaniedbania obowiązków albo nadużycia stanowiska. Na tej konstrukcji przez ponad dziewięćdziesiąt lat opierała się niezależność amerykańskich agencji regulacyjnych – ciał, które miały działać obok bieżącej polityki, a nie na jej zamówienie – choć trzeba uczciwie dodać, że kolejne wyroki ostatnich dekad stopniowo zawężały jej zakres.
Wyrok z 29 czerwca 2026 r. tę doktrynę uchyla. Sąd Najwyższy stwierdził, że FTC zgromadziła rozległe kompetencje prawodawcze, egzekucyjne i orzecznicze, a skoro bezsprzecznie wykonuje władzę wykonawczą, musi podlegać kontroli prezydenta, w którym ta władza jest umocowana. Wniosek jest prosty i daleko idący: prezydent może odwołać komisarza FTC według własnego uznania, bez wskazywania przyczyny. Sama nazwa sprawy dobrze oddaje jej stawkę – po drugiej stronie sporu stała Rebecca Kelly Slaughter, komisarz FTC odwołana w marcu 2025 r., wkrótce po rozpoczęciu przez prezydenta drugiej kadencji. Przed sądem pierwszej instancji skutecznie dowiodła bezprawności swojego usunięcia, a sąd apelacyjny odmówił wstrzymania tego rozstrzygnięcia. Sprawę przejął jednak Sąd Najwyższy, który wstrzymał orzeczenie pierwszej instancji i przyjął ją do rozpoznania z pominięciem etapu apelacyjnego. Po jego wyroku ta linia obrony przestała istnieć.
Dlaczego amerykański spór ustrojowy czyta się w Brukseli
Można zapytać, co wewnętrzna architektura władzy w Waszyngtonie ma do europejskiego RODO. Odpowiedź kryje się w art. 45 ust. 2 lit. b RODO. Oceniając, czy państwo trzecie zapewnia odpowiedni stopień ochrony, Komisja bierze pod uwagę między innymi istnienie i skuteczne działanie co najmniej jednego niezależnego organu nadzorczego, odpowiedzialnego za egzekwowanie przepisów o ochronie danych. Decyzja wykonawcza 2023/1795, na której opiera się cały Data Privacy Framework, poświęca niezależności amerykańskich organów sporo miejsca i w motywie 60 wprost przywołuje gwarancję, że pięciu komisarzy FTC może zostać odwołanych wyłącznie z powodu braku efektywności, zaniedbania obowiązków lub niewłaściwego sprawowania urzędu. Innymi słowy: Komisja uzasadniła adekwatność amerykańskiej ochrony danych konstrukcją prawną, którą Sąd Najwyższy USA właśnie rozebrał.
Dokładnie ten wątek podnosi Europejska Rada Ochrony Danych. W liście z 31 lipca 2026 r., podpisanym przez przewodniczącą Anu Talus i skierowanym do komisarza Michaela McGratha, Rada zwraca uwagę na potencjalne konsekwencje wyroku dla EOG, prosi Komisję o wnikliwą ocenę, czy orzeczenie wpływa na funkcjonowanie decyzji 2023/1795, i deklaruje, że przyjęłaby z zadowoleniem odpowiednie działania, w tym bieżące przekazywanie informacji. Ton listu jest wyważony, niemal kurtuazyjny. Nie ma w nim żądania zawieszenia transferów ani tezy, że adekwatność upadła. Jest za to precyzyjnie wskazany problem: jeden z filarów, na których Komisja oparła swoją ocenę, przestał istnieć w kształcie opisanym w decyzji.
Presja na Komisję rośnie zresztą z kilku stron naraz. Organizacja noyb Maxa Schremsa zapowiedziała po wyroku działania zmierzające do uchylenia decyzji adekwatności, a przed Trybunałem Sprawiedliwości czeka na rozpoznanie odwołanie w sprawie Latombe (C-703/25 P) – francuski poseł, występujący jako osoba fizyczna korzystająca z usług przekazujących jego dane do USA, kwestionuje ważność decyzji adekwatności, przy czym w pierwszej instancji Sąd oddalił jego skargę wyrokiem z 3 września 2025 r. Historia uczy, że tego typu spory potrafią skończyć się wyrokiem w stylu Schrems II. Trzeba jednak odnotować i głosy przeciwne: część komentatorów wskazuje, że kluczowy dla oceny w sprawie Schrems II mechanizm ochrony prawnej wobec dostępu amerykańskich służb do danych opiera się na Data Protection Review Court utworzonym w Departamencie Sprawiedliwości, a nie na FTC, więc pojedynczy wyrok o statusie komisarzy nie przesądza jeszcze o losie całej konstrukcji. Odnotuję jedynie, że niezależność sędziów tego sądu również opiera się na gwarancji odwołania wyłącznie z określonych przyczyn – konstrukcji tego samego typu, którą Sąd Najwyższy właśnie podważył wobec FTC – i to właśnie jej dotyczy pierwszy zarzut odwołania w sprawie Latombe.
Czego ten spór uczy o zarządzaniu transferami
Najważniejsza wiadomość dla administratorów brzmi: według stanu na 4 sierpnia 2026 r. decyzja adekwatności pozostaje w mocy. Żaden sąd jej nie uchylił, Komisja jej nie zawiesiła, a certyfikowane podmioty amerykańskie nadal mogą legalnie odbierać dane z Europy. Kto przekazuje dane do dostawcy z listy DPF, nie działa bezprawnie i nie musi niczego gwałtownie zmieniać. Byłbym jednak złym doradcą, gdybym na tym poprzestał. W mojej ocenie wyrok Trump v. Slaughter jest najpoważniejszym sygnałem ostrzegawczym dla transferów transatlantyckich od czasu Schrems II i dobrze potraktować go jako impuls do przeglądu własnej ekspozycji.
Od czego zacząć? Od rzetelnej odpowiedzi na pytanie, których procesów w organizacji dotyczy ten problem. Rejestr czynności przetwarzania powinien pozwolić wskazać wszystkie transfery oparte na DPF, w praktyce jednak bywa, że część przekazywania danych do USA kryje się w łańcuchach podpowierzeń u dalszych podprocesorów i nie widać jej na pierwszy rzut oka. Warto więc przejść po umowach powierzenia i listach podprocesorów głównych dostawców, notując, gdzie podstawą jest certyfikacja DPF, a gdzie standardowe klauzule umowne lub wiążące reguły korporacyjne. Ta mapa przyda się niezależnie od tego, jak potoczy się spór o adekwatność – jej sporządzenie jest w miarę proste, a jej brak w scenariuszu kryzysowym kosztuje najwięcej.
Drugi krok to sprawdzenie, czy umowy z kluczowymi dostawcami przewidują mechanizm awaryjny. Więksi dostawcy chmurowi po doświadczeniach z 2020 r. wpisali do swoich umów powierzenia kaskadę: jeśli DPF przestanie obowiązywać, podstawą transferu z mocy samej umowy stają się standardowe klauzule umowne z decyzji 2021/914. Taka klauzula znacząco obniża ryzyko operacyjne, ale nie działa magicznie – klauzule wymagają oceny skutków transferu, a ta z kolei rzetelnej odpowiedzi na pytanie o realny dostęp amerykańskich służb do danych. Lepiej mieć szkic takiej oceny w szufladzie, niż pisać ją pod presją, w tygodniu, w którym Trybunał ogłosi wyrok.
Czas na przegląd, nie na alarm
Nie spodziewam się, by Komisja szybko i z własnej inicjatywy uchyliła decyzję, w którą zainwestowała tyle politycznego kapitału. Bardziej prawdopodobny scenariusz to długie miesiące korespondencji, ocen i deklaracji o monitorowaniu sytuacji, równolegle do postępowania przed Trybunałem. Z perspektywy polskiej organizacji oznacza to czas, który można wykorzystać albo zmarnować. Historia transferów transatlantyckich zna już dwa nagłe zwroty – Safe Harbour upadł w 2015 r., Privacy Shield w 2020 r. – i w obu przypadkach najlepiej wychodzili z nich ci, którzy wcześniej odrobili pracę domową z mapowania i klauzul awaryjnych. Trzeciego zwrotu nie zapowiadam, bo nie mam do tego podstaw. Zapowiadam natomiast, że pytanie o niezależność amerykańskich organów nadzorczych wróci w każdej kolejnej odsłonie tego sporu, a odpowiedź, którą przyniósł wyrok Trump v. Slaughter, nie ułatwi Komisji obrony status quo. Warto obserwować tę sprawę uważniej niż zwykle.
Źródło: list EDPB do Komisji Europejskiej z 31 lipca 2026 r.
Źródło: wyrok Sądu Najwyższego USA nr 25-332, Trump v. Slaughter
Źródło: decyzja wykonawcza Komisji (UE) 2023/1795 (EUR-Lex)
Artykuł pochodzi z newslettera AURACO (2026-08). Autor: Łukasz Onysyk.
