2026 年 6 月 29 日，美国联邦最高法院在 Trump v. Slaughter 一案中以 6 比 3 作出裁决：总统可以无正当理由免除联邦贸易委员会（FTC）委员，并明确推翻了沿用 91 年的 Humphrey's Executor（1935）先例。这一判决表面上与数据保护无关，却触动了欧美《数据隐私框架》（EU-US Data Privacy Framework，DPF）的一根支柱：2023 年欧盟委员会作出充分性认定时，反复把 FTC 的独立性当作美国企业履约执法的保障。次日，隐私组织 noyb 即致函欧盟委员会，要求“有序退出”DPF。对依赖 DPF 接收欧盟个人数据的中资美国子公司和跨境电商而言，问题已不是“DPF 会不会失效”，而是“失效那天有没有备份方案”。
一、背景：DPF 的三个支点与已知的裂缝
DPF 于 2023 年 7 月 10 日由欧盟委员会通过（决定编号 CELEX:32023D1795），允许经自我认证的美国企业接收欧盟个人数据，无需另行签署标准合同条款（SCCs）。其信任基础有三：一是美国总统第 14086 号行政令对情报机构收集数据设定的必要性与比例性限制；二是数据保护审查法院（DPRC）为欧盟个人提供的救济渠道；三是 FTC 与交通部对企业认证承诺的执法。
2025 年 9 月 3 日，欧盟普通法院在 Latombe v Commission（Case T-553/23）中驳回挑战，认定 DPRC 足够独立。Latombe 已于 2025 年 10 月 31 日就法律问题上诉至欧盟法院（CJEU），案号 C-703/25 P，目前尚未公布开庭日期；有评论估计，裁判不太可能早于 2026 年底或 2027 年初。同时，2025 年 1 月 27 日美国隐私与公民自由监督委员会（PCLOB）五名成员中的三人被免职，因失去法定人数，无法开展第 14086 号行政令要求的年度审查，欧洲数据保护委员会（EDPB）与欧盟委员会均对此表示关注。
二、Trump v. Slaughter：为什么 FTC 的“独立性”与 DPF 有关
最高法院认定，《联邦贸易委员会法》对总统免职权的限制违反宪法第二条的分权原则，FTC 委员可被随时免职。据 Fieldfisher 等事务所的解读，欧盟委员会 2023 年的充分性认定多次引用 FTC 的独立性；noyb 在 2026 年 6 月 30 日的信函中称该决定提及 FTC 独立性达 259 次，并要求委员会有序撤回。
需要克制的是：DPF 目前仍然有效。据报道，欧盟委员会表示已注意到该判决并正在分析其影响，同时在第 14086 号行政令仍然有效的前提下继续监测；欧洲数据保护委员会（EDPB）2026 年 7 月 31 日致函委员会，请其评估判决是否影响 DPF 的持续运作，但委员会与 EDPB 均未要求企业停止依赖 DPF。noyb 则表示可能提起撤销之诉，截至所见资料，尚未确认已提交。判决对 DPRC 与国家安全救济渠道的影响，业内仍有争论。
三、核心法律分析：DPF 失效意味着什么
回顾 Safe Harbor（2015 年 Schrems I）与 Privacy Shield（2020 年 Schrems II）相继被欧盟法院宣告无效的历史，两次都是即时生效、没有宽限期。若 DPF 被撤回或被宣告无效，依赖它的传输将立刻失去 GDPR 第 45 条下的充分性基础，必须转向第 46 条的保障措施，例如标准合同条款（SCCs）或约束性公司规则（BCR），并按 Schrems II 要求完成传输影响评估（TIA）。此外，GDPR 第 83 条第 5 款对违法跨境传输的罚款上限为 2,000 万欧元或全球年营业额的 4%（以较高者为准）。
另一个容易被忽视的层面是供应链。许多中资企业本身并未自行认证 DPF，而是通过美国云服务商、广告平台、支付或客服 SaaS 间接依赖它。供应商一旦丧失 DPF 地位，委托方作为控制者仍要对传输合法性负责。
四、对中资企业的合规要点
（一）盘点“只靠 DPF”的数据流。梳理哪些欧盟、英国、瑞士个人数据流直接或经由供应商与分包商依赖 DPF，哪些已有 SCCs 等备用机制。
（二）给 DPF 上“双保险”。在数据处理协议（DPA）中加入“级联条款”：若 DPF 失效，自动切换为 SCCs，避免临时重新谈判。
（三）更新 TIA。凡引用 FTC 独立性、DPRC 或 PCLOB 作为保障理由的评估文件，应重新审视并补充说明。
（四）向供应商要材料。要求美国云与 SaaS 供应商说明其应急方案，并提供已签署的传输文件和最新 TIA。
（五）补充技术措施。评估加密、假名化、数据驻留与访问控制，降低传输失效时的整改成本。
此外，中资企业还要留意双向合规：数据从欧盟流向美国只是其中一环，若再回流至中国境内，还要同时满足《个人信息保护法》第 38 条以下的出境路径与欧盟的再传输（onward transfer）要求，并注意美国司法部《数据安全计划》（28 C.F.R. Part 202）对涵盖人员的限制。
五、格知律所如何协助
格知律师事务所可以协助中资企业完成欧美跨境传输的“压力测试”：包括 DPF 依赖度盘点与数据流图谱、DPA 与 SCCs 级联条款起草、传输影响评估（TIA）的复核与更新、美国供应商合规尽调，以及自我认证 DPF 与 UK Extension 的申请和年度续证辅导。如果企业同时涉及中国境内数据出境与美国 DOJ 规则，我们也可以把几套制度放在同一张合规地图上统筹安排。
六、结语与展望
Slaughter 案没有让 DPF 一夜失效，却使“美国监管者足够独立”这个前提受到了质疑。接下来值得关注的是：欧盟委员会对判决影响的评估结果、EDPB 的后续意见、noyb 是否提起撤销之诉，以及 C-703/25 P 上诉的进展。历史经验提示我们，备份方案要在风暴来临之前签好。本文为一般性信息，不构成法律意见；具体事项请咨询专业律师。