# Schrems II: o dia em que um tribunal leu o registro da vigilância e tirou uma conclusão

> Em 2020 a mais alta corte da Europa derrubou a base jurídica que cinco mil empresas americanas usavam para mover dados pessoais pelo Atlântico. Seu raciocínio não era sobre contratos. Era sobre o que a lei de inteligência dos Estados Unidos de fato permite, e se um europeu cujos dados fossem coletados sob ela teria onde reclamar. A consequência de engenharia é a parte que os profissionais mais erram.

Source: https://ronutz.com/pt-BR/learn/schrems-ii-and-where-data-may-live  
Updated: 2026-09-09

---

## O que o tribunal decidiu

Em 16 de julho de 2020 o Tribunal de Justiça da União Europeia proferiu sua decisão no Caso C-311/18, *Data Protection Commissioner contra Facebook Ireland Ltd e Maximilian Schrems*. Duas conclusões, em direções opostas.

**O Privacy Shield entre União Europeia e Estados Unidos foi invalidado, com efeito imediato.** Mais de cinco mil empresas americanas dependiam dele para receber dados pessoais da Europa. Naquela manhã ele deixou de ser base legal, sem período de transição.

**As cláusulas contratuais padrão sobreviveram - condicionalmente.** São termos contratuais pré-aprovados que um exportador e um importador de dados assinam. O tribunal entendeu que continuam válidas em princípio, mas anexou uma exigência que mudou o que assinar uma delas significa: o exportador precisa avaliar, caso a caso, se a lei do país destinatário de fato garante na prática o nível de proteção que as cláusulas prometem. Um contrato entre duas empresas não pode obrigar um governo que não é parte dele, então o exportador tem de olhar para o governo.

É por isso que este é um artigo de segurança, e não apenas jurídico. **O tribunal moveu a pergunta de "assinamos os papéis certos?" para "o que o Estado onde estes dados pousam pode compelir o destinatário a fazer?".** Essa é uma pergunta técnica e arquitetural, e se responde com projeto de sistema, não com assinatura.

## O raciocínio, que é uma avaliação de segurança

Tire o vocabulário jurídico e a decisão se lê como um modelo de ameaças.

O tribunal examinou as autoridades de vigilância dos Estados Unidos - a seção 702 do Foreign Intelligence Surveillance Act, a Ordem Executiva 12333 e a Diretiva Presidencial 28 - e concluiu que programas baseados nelas não podiam ser considerados limitados ao estritamente necessário, que é o padrão exigido pela Carta dos Direitos Fundamentais da União Europeia. Concluiu que as limitações à proteção decorrentes do direito interno americano não estavam circunscritas de modo a satisfazer exigências essencialmente equivalentes às do direito europeu.

Depois olhou para o remédio. O Privacy Shield oferecia um Ombudsperson no Departamento de Estado. O tribunal concluiu que essa pessoa não era independente do Executivo nem tinha poder para emitir decisões vinculantes contra as agências de inteligência - de modo que um europeu cujos dados tivessem sido coletados não tinha, na prática, a quem recorrer.

E um achado de fato merece atenção especial de quem lê este catálogo. A Alta Corte irlandesa estabelecera, e o tribunal europeu registrou, que a Ordem Executiva 12333 permite à National Security Agency acessar cabos submarinos e coletar e reter dados **antes que eles cheguem aos Estados Unidos**.

Aquela é a infraestrutura da [Sala 641A](https://ronutz.com/pt-BR/learn/electronic-frontier-foundation), descrita numa decisão europeia como achado de fato. A [EFF passou dezesseis anos](https://ronutz.com/pt-BR/learn/electronic-frontier-foundation) litigando sobre aquele divisor sem que um tribunal jamais decidisse se o programa era legal. Outro tribunal, em outra jurisdição, pegou os mesmos fatos e os usou para invalidar um acordo comercial. O [artigo das Crypto Wars](https://ronutz.com/pt-BR/learn/the-crypto-wars) segue a mesma pergunta pela via da política pública; isto é o que acontece quando ela chega a uma bancada disposta a respondê-la.

## O erro que os profissionais cometem

A leitura comum é "mantenha os dados numa região europeia e o problema some". Não é o que a decisão diz, e vale entender a diferença com precisão.

A preocupação do tribunal é **quem pode ser compelido**, não onde está o disco. Um provedor sujeito ao processo compulsório de uma jurisdição pode ser obrigado a entregar dados que detém ou pode obter, inclusive de infraestrutura que opera em outro lugar. Selecionar uma região europeia num console não muda, por si só, qual governo pode intimar a empresa que opera o console.

O que produz a pergunta que de fato determina a resposta: **quem guarda as chaves, e pode ser compelido a usá-las?** Se o provedor consegue decifrar, então a jurisdição do provedor está no escopo. Se o cliente guarda chaves que o provedor genuinamente não consegue obter, a análise muda - e este é exatamente o argumento do [acesso excepcional](https://ronutz.com/pt-BR/learn/the-crypto-wars) chegando pelo lado comercial em vez do político. O Clipper era sobre se um governo podia receber uma chave. O Schrems II é sobre o que decorre, juridicamente, de um provedor ter uma.

O caso limpo que a decisão deixa em aberto é o sem transferência nenhuma: dados pessoais processados por um provedor estabelecido na união e processados inteiramente dentro dela. Então não há terceiro país e a análise nem começa.

## Por que isto pertence à lista de leitura de um profissional

**É uma questão de configuração com força jurídica.** Para quem implanta um serviço de segurança entregue em nuvem - o intermediário de uma [arquitetura zero trust](https://ronutz.com/pt-BR/learn/zero-trust-ztna-and-sase-without-the-marketing), um broker de acesso a nuvem, um gateway seguro - a região do tenant, o local do ponto de inspeção, se os registros saem da região, e quem guarda as chaves de decifragem são todos ajustes. Depois do Schrems II são também posições jurídicas, e quem os configura está tomando uma decisão de conformidade, tenham lhe dito isso ou não.

**Recompensa saber o que seu produto de fato faz com os dados.** As avaliações que a decisão exige não se completam a partir de uma folha de especificações. Precisam de respostas a perguntas como onde os metadados são processados, se engenheiros de suporte em outro país conseguem ver dados de cliente, para onde os backups replicam, e o que acontece num failover. São perguntas que um profissional consegue responder e um advogado não.

**E não está encerrado.** Um acordo sucessor, o EU-US Data Privacy Framework, entrou em vigor em julho de 2023 com base em nova ordem executiva americana. Sua durabilidade é contestada, e reportagem de meados de 2026 registrou que uma decisão da Suprema Corte americana questionando a independência da Federal Trade Commission - que tem papel supervisor central no acordo - pôs sua situação em discussão. Quem projeta um sistema supondo que isto acabou deveria reparar que a mesma pergunta já foi litigada três vezes e produziu duas invalidações.

Para quem está sob a LGPD, a estrutura é familiar sem ser idêntica: um regime com capítulo próprio de transferência internacional, moldado na abordagem europeia, com autoridade própria decidindo o que conta como adequado. Os detalhes diferem e mudam; a pergunta de fundo - *a lei de quem alcança estes dados, e o que essa lei permite* - é a mesma, e é respondida por arquitetura.

Este artigo descreve o que um tribunal decidiu e o que decorre disso tecnicamente. Não é aconselhamento jurídico, e as avaliações que a decisão exige são do tipo que precisa de um advogado além de um engenheiro.

## Fontes

- [Norton Rose Fulbright, análise detalhada: em 16 de julho de 2020 o TJUE publicou sua decisão no Caso C-311/18, Data Protection Commissioner contra Facebook Ireland Ltd e Maximilian Schrems; o Privacy Shield foi completamente invalidado enquanto as cláusulas contratuais padrão continuam válidas, mas com condições estritas; a decisão não é clara quanto a como a conformidade satisfatória deve ser alcançada, e as organizações foram aconselhadas a mapear cuidadosamente fluxos internacionais de dados e mecanismos de transferência existentes](https://www.nortonrosefulbright.com/en-us/knowledge/publications/ad5f304c/schrems-ii-landmark-ruling-a-detailed-analysis)
- [Bird & Bird, citando a decisão: o TJUE registrou o achado da Alta Corte irlandesa de que a Ordem Executiva 12333 permite à NSA acessar cabos submarinos e coletar e reter dados antes que cheguem aos Estados Unidos; o tribunal concluiu que a seção 702 do FISA, a EO 12333 e a PPD-28 não correspondem às salvaguardas mínimas, com a consequência de que programas de vigilância baseados nessas disposições não podem ser considerados limitados ao estritamente necessário; as limitações à proteção de dados pessoais decorrentes do direito interno dos Estados Unidos não estão circunscritas de modo a satisfazer exigências essencialmente equivalentes às do direito europeu](https://www.twobirds.com/en/insights/2020/global/schrems-ii-judgment-privacy-shield-invalid-sccs-survive-but-what-happens-now)
- [Sobre os achados por parágrafo e a situação atual: o TJUE concluiu que o acesso da inteligência americana a dados pessoais de cidadãos da UE não se limita ao estritamente necessário exigido pela Carta (parágrafos 178-185); o Ombudsperson do Departamento de Estado não atendia aos requisitos de um recurso efetivo, por não ser independente nem ter poder de emitir decisões vinculantes contra as agências (parágrafos 195-197); as cláusulas contratuais padrão continuam válidas em princípio, com a limitação de que os exportadores devem avaliar caso a caso se a lei do país destinatário garante na prática o nível de proteção assegurado pelas cláusulas (parágrafo 134); o acordo sucessor entrou em vigor em julho de 2023 com base na Ordem Executiva 14086, e em junho de 2026 a Suprema Corte americana questionou a independência da FTC, que tem papel supervisor central no acordo, com o efeito sobre sua validade em discussão; onde um provedor está estabelecido na UE e realiza todo o processamento dentro dela, não há transferência a terceiro país](https://www.passcreator.com/en/blog/schrems-ii-what-the-ruling-means-for-businesses-and-why-it-is-relevant-in-2026)
- [IAPP: a decisão invalida a decisão de adequação da Comissão Europeia para o Privacy Shield, do qual mais de 5.000 empresas americanas dependiam para o comércio transatlântico em conformidade com as regras europeias; embora mantenha a validade das cláusulas contratuais padrão, exige que empresas e reguladores façam análises caso a caso para determinar se as proteções estrangeiras quanto ao acesso governamental aos dados transferidos atendem aos padrões europeus](https://iapp.org/news/a/the-schrems-ii-decision-eu-us-data-transfers-in-question)
- [Hogan Lovells: o tribunal considerou as cláusulas válidas em princípio, apontando que sua validade não é posta em causa pelo mero fato de não serem diretamente vinculantes para as autoridades do terceiro país; para transferências aos Estados Unidos é especialmente relevante em que medida o destinatário está sujeito à Seção 702 do FISA e à EO 12333; provedores com operações de processamento nos Estados Unidos e em outros lugares deveriam considerar como facilitar a tarefa de verificação imposta a seus clientes europeus](https://www.hoganlovells.com/en/publications/schrems-ii-privacy-shield-invalidated-and-standard-contractual-clauses-under-scrutiny)
- [GDPR Summary: o Privacy Shield foi invalidado com efeito imediato em 16 de julho de 2020; as cláusulas continuaram válidas como mecanismo de transferência em princípio, mas exigiam trabalho adicional; o grupo ativista por trás da decisão apresentou depois reclamações contra 101 empresas europeias pelo uso de integrações do Google Analytics e do Facebook Connect, sob o argumento de que o provedor se apoia nas cláusulas para a transferência subsequente aos Estados Unidos](https://www.gdprsummary.com/schrems-ii/)