Três acordos, dois mortos, um com a execução suspensa

A União Europeia tentou três vezes declarar que dados pessoais podem fluir para os Estados Unidos com base em que a lei americana os protege adequadamente. O Safe Harbor durou de 2000 até o Tribunal de Justiça da União Europeia derrubá-lo em 2015. O Privacy Shield o substituiu em 2016 e foi derrubado em 2020, na decisão que todos chamam de , por uma razão que não tinha nada a ver com contratos e tudo a ver com o que a lei de inteligência americana permite e se um europeu tinha a quem recorrer. O relato completo está no catálogo.

A terceira tentativa, o EU-US (DPF), foi adotada em julho de 2023. Está formalmente em vigor hoje. Esteve em vigor todos os dias desde a manhã de 29 de junho de 2026, quando a Suprema Corte dos Estados Unidos removeu uma das coisas sobre as quais ele se apoia.

Tenho cidadania alemã além da brasileira, ensino uma plataforma de segurança em nuvem cujas perguntas centrais de configuração são onde está o tenant e onde acontece a inspeção, e meus alunos estão em bancos, operadoras e órgãos de governo em três continentes. Então isto não é uma história europeia que eu acompanho de longe. É o clima jurídico sobre todo console em que eu ensino.

O que aconteceu em 29 de junho

Em Trump v. Slaughter, decidido por 6 a 3, a Suprema Corte entendeu que os comissários da Federal Trade Commission (FTC) podem ser removidos pelo Presidente à vontade. Isso derrubou um precedente de 1935 e encerrou a independência estatutária sob a qual a agência operava desde 1914. É uma decisão sobre a separação de poderes no direito constitucional americano, e não diz nada sobre a Europa.

Importa para a Europa por causa do que a Comissão Europeia escreveu ao adotar o DPF. A decisão de adequação se apoia na FTC como a autoridade independente que faz cumprir o acordo contra as empresas americanas certificadas sob ele. O grupo noyb, dirigido por Max Schrems, cujas reclamações derrubaram os dois primeiros acordos, contou as referências: a decisão de adequação cita a FTC e sua independência 259 vezes. Em 30 de junho, um dia depois da decisão, o noyb escreveu à Comissão exigindo uma revogação ordenada com períodos de transição - para evitar, nas palavras dele, outro precipício de conformidade como os que se seguiram às duas primeiras invalidações - e anunciou que apresentaria sua própria ação de anulação ao Tribunal de Justiça em semanas se a Comissão não agisse.

O argumento do noyb vale ser enunciado com precisão, porque fecha o conserto óbvio. Nenhuma outra autoridade americana pode entrar no lugar: o Departamento de Transportes, o outro fiscalizador do acordo, é igualmente parte do Executivo e enfrenta o mesmo problema pela mesma lógica; a arbitragem privada não pode suprir a supervisão pública independente que o direito europeu exige. E o lado da fiscalização comercial não é o único atingido. O Schrems II girou em torno de vigilância e recurso, e o órgão que supervisiona o acesso da inteligência a dados sob o acordo, o Privacy and Civil Liberties Oversight Board (PCLOB), teve seus membros democratas demitidos no começo do ano, com um tribunal de apelação suspendendo as demissões à espera exatamente desta decisão da Suprema Corte.

Já havia um veículo vivo. Um parlamentar francês, Philippe Latombe, contestou o DPF em setembro de 2023. O Tribunal Geral rejeitou o caso em setembro de 2025 - mas se limitou explicitamente aos fatos como estavam quando o acordo foi adotado, e lembrou à Comissão que ela deve monitorar continuamente a situação jurídica americana e agir se ela mudar. Latombe recorreu ao Tribunal de Justiça em 31 de outubro de 2025. Esse recurso estava pendente quando Slaughter saiu, o que significa que a mais alta corte da Europa já tem um caso diante de si pelo qual os fatos mudados podem ser considerados, antes de o noyb apresentar qualquer coisa.

O Comitê Europeu para a Proteção de Dados, que reúne os reguladores nacionais, disse estar examinando as implicações e descreveu a independência dos órgãos de supervisão como central à legitimidade do acordo. A Comissão disse que segue monitorando. Os fluxos transatlânticos de dados são estimados em mais de 877 bilhões de euros por ano, e a leitura geral é que a Comissão vai segurar a posição até o tribunal forçar a questão. Comentaristas preveem decisão não antes do fim de 2026 ou de 2027; o próprio Schrems II levou uns quatro anos da petição à decisão.

Então a posição enquanto escrevo é: o DPF é válido, nada foi suspenso, e o resumo de um escritório brasileiro está correto ao dizer que as transferências continuam autorizadas. Também é o caso, como pôs uma análise europeia, que dois de dois acordos anteriores caíram diante deste tribunal, e o ponto de partida do terceiro é pior que o de qualquer dos dois.

Por que um tribunal em Luxemburgo chega sempre ao mesmo lugar

É tentador ler isto como burocracia girando - um acordo, uma contestação, uma substituição, uma contestação. Não é. O tribunal vem fazendo uma única pergunta há onze anos e recebendo a mesma resposta.

O Schrems II disse que um contrato entre duas empresas não pode obrigar um governo que não é parte dele. É por isso que as cláusulas contratuais padrão sobreviveram àquela decisão apenas condicionalmente: o exportador tem de olhar além do papel para o que o Estado de destino pode compelir o destinatário a fazer. Decisões de adequação são a tentativa da Comissão de responder a essa pergunta uma vez, para todos, para um país inteiro. A cada vez, o tribunal olhou para a resposta e constatou que o Estado americano podia compelir mais do que o acordo admitia, ou que um europeu não tinha órgão independente a quem recorrer, ou ambos.

Tire o vocabulário jurídico e a coisa se lê como um modelo de ameaças. O artigo do catálogo faz o ponto de que o TJUE pegou o registro de vigilância - a mesma infraestrutura de divisor de cabos que uma decisão europeia descreveu como achado de fato - e tirou dele uma conclusão jurídica. O desdobramento de 29 de junho é o mesmo formato pelo outro lado: a independência do árbitro era premissa estrutural, e um tribunal americano a removeu por razões americanas. O acordo não mudou. O mundo que ele descrevia mudou.

A pergunta do profissional que sai disso é a mesma com que o artigo do catálogo termina: quem pode ser compelido, e quem guarda as chaves? Se o provedor consegue decifrar, a jurisdição do provedor está no escopo, e nenhum seletor de região num console muda qual governo pode intimar a empresa que opera o console.

O canto brasileiro do triângulo

Esta é a parte que falta em todo texto europeu que li, e é a parte que decide o que um engenheiro brasileiro deve de fato fazer.

A lei brasileira de proteção de dados, a (Lei Geral de Proteção de Dados), tinha um capítulo sobre transferências internacionais desde o início, mas por seis anos faltou o como. Isso foi preenchido em 23 de agosto de 2024 pela autoridade nacional, a (Autoridade Nacional de Proteção de Dados), com a Resolução 19/2024: um regulamento completo de transferência internacional, de perto moldado no europeu, com cláusulas-padrão contratuais próprias, um caminho para normas corporativas globais e um mecanismo de decisões de adequação. As organizações receberam doze meses para pôr as cláusulas da ANPD em seus contratos. Esse prazo de graça terminou em 23 de agosto de 2025. Desde então, uma transferência com base contratual só é válida com as cláusulas da própria ANPD - ou com cláusulas específicas ou normas corporativas que a ANPD tenha aprovado antes, e segundo o portal da própria autoridade ela não aprovou nenhuma. Um modelo estrangeiro, e a orientação da ANPD nomeia especificamente as cláusulas europeias, não conta sozinho.

Então, em 26 de janeiro de 2026, a ANPD e a Comissão Europeia se reconheceram mutuamente como provedoras de proteção adequada. A Resolução 32/2026 foi a primeira decisão de adequação que o Brasil jamais emitiu, e foi recíproca. Dados podem agora fluir entre Brasil e União Europeia nas duas direções sem cláusula nenhuma. No portal da ANPD, a União Europeia é a única entrada dessa lista.

Os Estados Unidos não estão nela. Não há decisão brasileira de adequação para os Estados Unidos, e nenhum sinal de uma. Um controlador brasileiro que envia dados pessoais a um provedor de nuvem americano está nas cláusulas-padrão da ANPD - que são, por construção, um contrato entre duas empresas, e que portanto herdam exatamente a limitação que o tribunal de Luxemburgo identificou em 2020: não podem obrigar Washington.

O triângulo, desenhado

Ponha as três arestas lado a lado e o formato do problema fica visível:

Brasil para a Europa e de volta: adequado, nas duas direções, desde janeiro. Um corredor livre, e um fato genuinamente novo - a primeira vez que o Brasil esteve nesse pé com alguém.

Europa para os Estados Unidos: o DPF, formalmente válido, estruturalmente contestado desde 29 de junho, com recurso pendente diante do tribunal que já matou seus dois antecessores.

Brasil para os Estados Unidos: sem adequação, cláusulas da ANPD obrigatórias desde agosto de 2025, e as cláusulas carregam na cara a limitação conhecida do Schrems II.

Agora repare no que o corredor novo faz. Como Brasil e Europa são adequados um ao outro, dados brasileiros podem legalmente ir a uma região europeia sem mais formalidade. Mas no momento em que seguem adiante dessa região europeia para um provedor americano - um engenheiro de suporte na Virgínia, uma réplica de backup, um pipeline de logs, uma matriz - estão sob o DPF, e importaram o problema europeu para dentro de uma cadeia de dados brasileira. O corredor é real e é também um conduto. Uma organização que pensa ter resolvido a questão americana escolhendo Frankfurt em vez da Virgínia, em muitas implantações reais, só moveu a questão um salto adiante no pipeline.

O que isso significa no console

A plataforma que mais ensino é um serviço de segurança em nuvem: um intermediário que fica entre os usuários e as aplicações que alcançam, inspeciona o tráfego e aplica política. Configurá-lo significa responder, entre outras coisas: quais data centers servem este tenant, onde fica o ponto de inspeção, onde os logs são retidos, se pessoal de suporte em outro país consegue ver dados de cliente, para onde os backups replicam, e quem guarda as chaves usadas para decifrar o tráfego inspecionado.

Cada uma dessas coisas é um ajuste. Cada uma é também, depois dos últimos dois anos, uma posição jurídica - e para um cliente brasileiro o mesmo ajuste tem agora três significados jurídicos, um por aresta do triângulo. Manter o tenant no Brasil o mantém só sob a LGPD. Apontá-lo para uma região europeia o move para um corredor hoje limpo. Apontá-lo para uma região americana - ou para uma região europeia cujo operador, logs ou suporte sejam americanos - o move para um acordo que um tribunal está sendo pedido a anular e para cláusulas que não alcançam o Estado que importa.

Ensino engenheiros, não advogados, e o que posso dizer com honestidade é que as respostas a essas perguntas não estão na folha de especificações e não podem ser produzidas pelo jurídico. São produzidas por quem sabe o que o produto de fato faz com os dados: onde os metadados são processados, o que um failover faz com a residência, se "região europeia" quer dizer o disco ou o operador. Esse conhecimento é o insumo de que os advogados precisam e não conseguem fabricar, e ele acaba de passar a valer muito mais.

O que digo aos alunos

Três coisas, e nenhuma delas é "espere o tribunal".

A pergunta nunca é a papelada. Decisões de adequação e cláusulas padrão respondem a "assinamos a coisa certa?". O tribunal segue respondendo a outra pergunta: "o que o Estado de destino pode compelir?". Projete para a segunda e a primeira se resolve. Concretamente: onde o provedor não consegue decifrar, a jurisdição do provedor fica em larga medida fora do escopo, e isso é uma decisão de arquitetura - chaves do cliente, pontos de inspeção que você controla - e não contratual. O artigo das Crypto Wars segue esse mesmo argumento por três décadas de política pública; o Schrems II é onde ele chegou pelo lado comercial.

Mapeie o triângulo para os seus próprios dados antes que o tribunal o faça por você. Quais fluxos são Brasil-Europa, quais são Brasil-Estados Unidos, e quais são Brasil-Europa e depois adiante. A terceira categoria é a que ninguém desenhou, e é onde a exposição se esconde. Não é exercício grande para um tenant. É exercício grande para um parque, e é por isso que deveria começar agora e não no mês seguinte a uma decisão.

Tenha o plano que não depende do desfecho. A Europa teve dois precipícios de conformidade em onze anos, e a própria carta do noyb pede revogação ordenada justamente para evitar um terceiro. Se o DPF cair, as organizações que vão ficar bem são as que já sabem quais fluxos dependem dele e para o que trocariam. Isso é uma lista, e pode ser escrita neste trimestre.

O Brasil está numa posição incomumente boa aqui, e vale dizer. Tem um regulamento moderno de transferência, um corredor limpo com o regime de privacidade mais exigente do mundo, e uma autoridade doméstica que mostrou que emite decisões de adequação. O que não tem é um jeito de contornar a questão americana, porque ninguém tem. O tribunal em Luxemburgo já foi perguntado três vezes sobre o mesmo país, e a expectativa honesta - aquela contra a qual projetar - é que a resposta não mude enquanto os fatos em Washington não mudarem.

Este texto descreve o que tribunais e reguladores decidiram e o que decorre disso tecnicamente. Não é aconselhamento jurídico, e as avaliações de transferência que ele descreve precisam de um advogado além de um engenheiro.

Fontes