Análisis jurídico de la Sentencia del TGUE, 3 de septiembre de 2025, asunto T-553/23 (Latombe / Comisión Europea)
1. Contexto normativo
- Derecho fundamental: La protección de datos personales está reconocida en los arts. 7 y 8 de la Carta de Derechos Fundamentales de la UE y en el art. 16 TFUE.
- Transferencias internacionales: Solo se permiten hacia países con un nivel de protección “adecuado” (art. 45 RGPD).
- Decisión de adecuación de 10 de julio de 2023: la Comisión Europea aprobó el EU–US Data Privacy Framework, que sustituye a los anteriores mecanismos invalidados (Safe Harbor en Schrems I y Privacy Shield en Schrems II).
2. Objeto del litigio
- Demandante: Philippe Latombe, ciudadano francés.
- Pretensión: Anulación de la decisión de adecuación UE–EE.UU. de 2023.
- Motivos principales:
- Falta de independencia del Data Protection Review Court (DPRC), órgano estadounidense de recurso.
- Carácter masivo y sin control previo de la recolección de datos por agencias de inteligencia de EE.UU.
3. Razonamiento del Tribunal General
a) Independencia del DPRC
- El TGUE considera que el DPRC cuenta con garantías institucionales suficientes:
- Nombramiento sometido a requisitos específicos.
- Destitución solo por causa justificada.
- Prohibición de injerencia del Fiscal General o de las agencias de inteligencia.
- Concluye que el DPRC cumple los estándares de independencia e imparcialidad exigidos por el Derecho de la Unión.
b) Recolección masiva de datos
- El Tribunal recuerda la doctrina de Schrems II: no es imprescindible una autorización previa por autoridad independiente, basta con que exista control judicial a posteriori.
- En el marco estadounidense, ese control lo ejerce el DPRC → por tanto, se satisface el requisito de protección jurídica efectiva.
c) Supervisión dinámica
- La Comisión Europea está obligada a realizar un seguimiento continuo del marco.
- Si EE.UU. modificara su legislación y se redujeran las garantías, la Comisión podría modificar, limitar o derogar la decisión de adecuación.
4. Fallo
- El TGUE desestima íntegramente el recurso.
- Confirma que, en la fecha de adopción de la decisión, EE.UU. ofrecía un nivel de protección sustancialmente equivalente al europeo.
5. Consecuencias jurídicas y prácticas
- Validez reforzada del EU–US Data Privacy Framework: aporta seguridad jurídica a empresas y ciudadanos en las transferencias transatlánticas.
- Estabilidad regulatoria: tras años de incertidumbre (Schrems I y II), se consolida un marco válido, aunque sujeto a revisión.
- Control judicial europeo: el TGUE se muestra deferente con la Comisión, pero mantiene la exigencia de vigilancia constante.
- Posible recurso de casación: la sentencia puede ser recurrida ante el TJUE, lo que mantendría abierto el debate.
En síntesis: El TGUE avala el nuevo marco UE–EE.UU. al considerar que el DPRC ofrece garantías de independencia y que el control a posteriori de las actividades de inteligencia satisface los estándares europeos. La clave está en el seguimiento dinámico: la Comisión deberá reaccionar si las condiciones en EE.UU. cambian.