「独立监管机构这根支柱，被美国最高法院自己抽掉了」：EDPB 7·31 致函欧委会要求重审欧美《数据隐私框架》适格性（Trump 诉 Slaughter，No. 25-332，2026年6月29日）——中资企业的 SCC 回退方案与 EO 14086 双轨敞口

2026 年 7 月 31 日，欧洲数据保护委员会（EDPB）致函欧盟委员会司法专员 Michael McGrath，要求欧委会评估美国联邦最高法院 2026 年 6 月 29 日在 Trump 诉 Slaughter（No. 25-332）一案中作出的判决，是否已经动摇欧美《数据隐私框架》（EU-U.S. Data Privacy Framework，下称 DPF）适格性决定所依据的基础。函件指向的是一句写进欧委会 2023 年 7 月 10 日第 (EU) 2023/1795 号实施决定的话：美国联邦贸易委员会（FTC）的委员，只能因 inefficiency、neglect of duty 或 malfeasance in office 被总统免职。欧委会当年正是以此论证美国存在"独立监管机构"，进而认定其保护水平与 GDPR"实质等同"。Slaughter 案以 6 比 3 推翻了 1935 年的 Humphrey's Executor v. United States（295 U.S. 602），把这句话作废了。

截至本文写作之日，适格性决定仍然有效，DPF 清单上 2,800 余家美国企业依然可以合法接收来自欧盟的个人数据。但对于把欧盟子公司数据送往美国总部、美国云服务商或美国广告技术供应商的中资企业而言，现在就应当重做传输依据盘点，而不是等欧委会给出答复之后再动手。

一、DPF 的两根支柱，只有一根被撼动

适格性决定实际上建立在两套彼此独立的制度之上，理解这一点，才能判断这次冲击的真实范围。

第一根支柱是商业维度：在 DPF 下完成认证的美国企业，须遵守《框架原则》，由美国商务部国际贸易管理局（ITA）维护认证清单并要求年度重新认证，由 FTC 依《联邦贸易委员会法》第 5 条对违反承诺的企业实施执法。欧委会对 FTC 独立性的描述，就落在这一层。

第二根支柱是政府获取维度：针对 Schrems I（C-362/14）与 Schrems II（C-311/18）两案所认定的救济缺陷，美国于 2022 年 10 月 7 日颁布第 14086 号行政命令（EO 14086），并由司法部制定 28 C.F.R. Part 201，设立数据保护审查法院（Data Protection Review Court，DPRC），受理欧盟个人就美国信号情报活动提出的申诉。欧盟普通法院在 Latombe 诉欧委会（T-553/23，2025 年 9 月 3 日判决）中审查并接受了这一机制，驳回了原告的撤销之诉；该案目前正在欧盟法院（CJEU）上诉审理中。

Slaughter 案涉及的是 FTC，而 FTC 从未对国家安全与信号情报活动享有管辖权。因此该判决即便产生最大化的影响，其射程也只及于第一根支柱。

二、Slaughter 案判了什么，又明确没有判什么

最高法院的裁判要点是：国会以制定法限制总统免除 FTC 委员职务的权力，违反权力分立原则。多数意见强调，违宪之处在于国会对行政权的限制，而非行政机关对自身的限制。判决同时留下了三处关键的未决地带。

其一，法院明确保留了非第三条法院（如联邦税务法院、联邦索赔法院）法官任期保障的合宪性问题，认为该问题未经充分辩论，留待将来。DPRC 恰恰是这样一个裁决机构：受理申诉、审阅涉密材料、作出有约束力的决定。

其二，判决未推翻 Morrison v. Olson（487 U.S. 654）与 United States v. Perkins（116 U.S. 483）所确立的规则——下级官员（inferior officers）可以享有"有因方可免职"的保护。DPRC 法官由司法部长任命、管辖范围狭窄且法定、仅得因法定事由被免职，正是下级官员的典型形态。

其三，也是最容易被忽略的一处：判决丝毫未触动 United States v. Nixon（418 U.S. 683）与 Accardi v. Shaughnessy（347 U.S. 260）所确立的原则——行政机关为自己制定的规章，在其有效期内对行政机关本身具有法律拘束力；依 Motor Vehicle Mfrs. Ass'n v. State Farm（463 U.S. 29），废止该规章还须经与制定时同等的公开、说理程序。DPRC 的独立性，正是建立在这一自我拘束机制之上，而非国会的命令之上。

奥地利隐私组织 noyb 在判决当月即致函欧委会，主张 Slaughter 的逻辑"同等适用"于 DPRC，要求撤回适格性决定。Christakis、Propp 与 Swire 三位学者在 2026 年 7 月 8 日发表的分析中逐项反驳了这一推论。就目前公开的裁判文本而言，反驳的一方更有说服力。

三、真正的敞口在商业维度，而商业维度有替代方案

这就带出了一个对企业最有实操价值的结论：即便适格性决定日后因商业监管环节的缺陷被撤回或被判无效，跨大西洋的数据流动也不会因此中断。

理由在于，绝大多数欧美数据传输并非依赖 DPF 认证，而是依 GDPR 第 46 条采用标准合同条款（SCC，欧委会第 (EU) 2021/914 号实施决定）或具有约束力的公司规则（BCR）。SCC 的执行力来自合同承诺、出口方所在国数据保护机关的监督，以及出口方在接收方无法履约时中止传输的义务，从不依赖 FTC 的独立性。而 Schrems II 对 SCC 提出的额外要求，即政府获取层面的保障，由 EO 14086 提供；依 EDPB 2023 年 7 月的信息说明，该行政命令的保障措施适用于一切传输工具，并不限于已认证企业。

更进一步，救济机制本身也不随适格性决定存续。欧盟及欧洲经济区成员国被认定为"合格国家"（qualifying state），依据的是 EO 14086 第 3(f) 条下美国司法部长作出的单独指定，其存废与适格性决定无关。

换言之，需要警惕的是把全部传输安排押在 DPF 认证这一项依据上的企业。

四、对中资企业的合规要点

其一，先做传输依据分层盘点。把欧盟实体流向美国的每一条数据链路列出来，逐条标注所依据者是 DPF 认证、SCC 还是 BCR。只标"已合规"没有意义，必须标到工具一级。仅以 DPF 为唯一依据的链路，就是本次事件下的风险敞口。

其二，在数据处理协议中预置回退条款。与美国供应商的 DPA 应当加入一项条款：若适格性决定被撤回、中止或被欧盟法院宣告无效，双方已签署但处于备用状态的 SCC 模块自动生效，无需另行谈判。此类条款在合同签订阶段几乎没有成本，在适格性决定失效当日则价值极高。2020 年 Schrems II 判决后重签合同的混乱，多数企业应当记忆犹新。

其三，重做转移影响评估（TIA）。2023 年以来大量 TIA 文本直接援引"FTC 系独立监管机构"作为论证基础。这一表述在 Slaughter 案之后已不能再不加限定地使用。修订时应将论证重心移至 EO 14086 的必要性与相称性限制、DPRC 的救济路径，以及上述自我拘束机制的法律效力，并载明修订日期与所依据的判决。

其四，核查供应商的认证状态是否仍然有效。DPF 认证须逐年重新认证，未按期完成的企业会被商务部从清单上移除。一家已脱离清单的供应商，其接收欧盟数据的依据即告落空，而客户方往往数月之后才发现。建议将 DPF 清单查询纳入供应商年度复核的固定动作。

其五，不要遗漏中国法项下的另一条腿。"欧盟—美国—中国"的三角数据流动中，中国境内环节仍须满足《个人信息保护法》第三十八条所规定的安全评估、标准合同备案或个人信息保护认证路径，并适用 2024 年 3 月国家互联网信息办公室第 16 号令《促进和规范数据跨境流动规定》确立的数量门槛与豁免情形。欧盟一侧的依据成立，不等于中国一侧的义务已经履行，两侧需要分别建档。

五、格知律所如何协助

格知律师事务所在跨境数据传输合规方面为中资企业提供全链条支持：一是数据流向测绘与传输依据分层盘点，输出可直接交付监管机关的链路清单；二是 SCC 与 BCR 文本的起草、模块选择及 DPA 回退条款设计，确保适格性决定一旦生变即可无缝切换；三是转移影响评估（TIA）的撰写与既有文本的 Slaughter 后修订；四是供应商与云服务商的 DPF 认证状态尽职调查及合同条款谈判；五是欧盟 GDPR 与中国《个人信息保护法》双轨义务的协同方案，包括标准合同备案与出境安全评估的申报支持。就本文所涉情形，最紧迫的工作通常是第一项与第二项：把依据盘清、把回退条款签下，此后无论欧委会作何决定，企业都不必在几周之内被动重构数据架构。

六、结语

欧委会尚未就 EDPB 的函件作出公开答复。EDPB 在首次定期审查中曾建议下一次审查应在三年以内进行，Latombe 案的上诉亦在欧盟法院待决，而美国隐私与公民自由监督委员会（PCLOB）自 2025 年 1 月起因五名委员中三人被免职而丧失法定人数，至今未能恢复运作。三条线索叠加，DPF 在未来十二至十八个月内面临的审查压力只会上升，不会下降。

对企业而言，正确的应对不是判断适格性决定会不会倒，而是使其是否倒台对自身不再构成关键变量。把 SCC 作为常备依据、把 DPF 认证降格为便利性选项，这一调整在今天做，成本只是一轮合同修订。