La sentencia Schrems III es cada vez más probable: por qué tus herramientas estadounidenses podrían suponer un riesgo para la protección de datos

El Tribunal de Justicia de la Unión Europea ha anulado los dos acuerdos de protección de datos entre la UE y EE. UU. Ahora, el Tribunal Supremo de EE. UU. ha anulado la independencia del principal organismo regulador de la protección de datos de EE. UU., y noyb está preparando su próxima demanda. Se ha vuelto mucho más probable que se lleve a cabo una nueva revisión de fondo del Marco de Protección de Datos UE-EE. UU. ante el TJUE. Queda por ver cuándo tendrá lugar y cuál será el resultado.

El 29 de junio de 2026, el Tribunal Supremo de EE. UU. dictaminó, en el caso Trump contra Slaughter, que el presidente de EE. UU. puede destituir a los miembros de la Comisión Federal de Comercio en cualquier momento y sin causa justificada. Dos días después, noyb —la organización dirigida por Max Schrems— instó a la Comisión Europea a retirar el Marco de Protección de Datos UE-EE. UU.

El Marco de Protección de Datos sigue vigente. Las transferencias de datos a EE. UU. no se han convertido en ilegales de la noche a la mañana. Pero tampoco lo eran antes de «Schrems I». Ni antes de «Schrems II». En ambas ocasiones, el mensaje fue: «Todo va bien; el acuerdo sigue vigente». Hasta que se vino abajo. Por eso, debes actuar ahora.

Este artículo explica qué ha ocurrido, por qué afecta a los datos de tus clientes y qué debes hacer lo antes posible.

Nota: Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Deberías consultar a un abogado para obtener una evaluación jurídica de tu situación concreta.

¿Qué ocurrió el 29 de junio de 2026?

El Tribunal Supremo de EE. UU. dictaminó por 6 votos contra 3 que la protección que, desde 1935, ha amparado a los comisionados de la FTC frente a un cese infundado por parte del presidente es inconstitucional.

En términos sencillos:

• La FTC está dirigida por varios comisionados
• Estaban legalmente protegidos contra el despido sin causa justificada
• El Tribunal Supremo ha derogado esta protección, tras 91 años
• El presidente de EE. UU. puede ahora sustituir a los miembros de la FTC en cualquier momento y sin justificación

El presidente del Tribunal Supremo, Roberts, escribió: «La FTC ejerce, sin lugar a dudas, el poder ejecutivo y, por lo tanto, debe estar bajo el control del jefe del Ejecutivo».

La jueza Sotomayor advirtió en su voto particular: «Hoy, el Tribunal descarta [este] régimen democrático en favor de otro que distorsiona la estructura del Gobierno».

Para las empresas europeas, esto significa que la protección jurídica de la FTC frente a la influencia política se ha visto significativamente debilitada. Las implicaciones que esto tiene para la evaluación jurídica del Marco de Protección de Datos son controvertidas y es probable que ocupen a los tribunales europeos en el futuro.

Por qué el Marco de Protección de Datos UE-EE. UU. está ahora en peligro

La FTC: la piedra angular del DPF

El Marcode Protección de Datos UE-EE. UU. (DPF) es el tercer intento de establecer una base jurídica para las transferencias de datos entre la UE y EE. UU. Más de 3.400 empresas estadounidenses cuentan con la certificación, incluidos los principales proveedores de servicios en la nube y SaaS de los que dependen casi todas las empresas europeas.

La FTC es la agencia que supervisa y vela por el cumplimiento de este sistema. Noyb ha contabilizado que, en su decisión de adecuación, la Comisión Europea hace referencia a la FTC y a su independencia 259 veces. Esta independencia dejará de estar garantizada legalmente a partir del 29 de junio de 2026.

La respuesta de Noyb fue inequívoca: «La decisión del Tribunal Supremo refuerza los argumentos a favor de la derogación del DPF».

La PCLOB: el segundo punto débil

La FTC no es el único problema. En el caso Schrems II, el Tribunal de Justicia de la Unión Europea dejó claro que el problema fundamental es la vigilancia masiva por parte de las agencias de inteligencia estadounidenses. La Junta de Supervisión de la Privacidad y las Libertades Civiles (PCLOB) —un organismo que supervisa el acceso de las agencias de inteligencia a los datos— tenía por objeto proteger contra ello.

Trump también destituyó a sus miembros demócratas. Un tribunal de apelación había suspendido las destituciones a la espera de la sentencia del caso Trump contra Slaughter. Ahora es probable que los nuevos principios se apliquen también a la PCLOB.

Es probable que esto socave simultáneamente los dos pilares de supervisión del DPF. Contraargumento: ¿Es realmente la FTC el punto conflictivo?

Esta valoración es jurídicamente controvertida. El profesor Alexander Golland sostiene en beck-aktuell (6 de julio de 2026) que la independencia de la FTC, en sí misma, no constituye una infracción grave. El TJUE no anuló el Escudo de Privacidad por la falta de aplicación de la ley por parte de la FTC, sino por las competencias de los servicios de inteligencia estadounidenses. El verdadero peligro reside en la PCLOB, y es precisamente ahí donde se avecina la próxima batalla jurídica.

El caso Schrems: el mismo guion, por tercera vez

Siempre es la misma historia:

1. 1. La Comisión Europea firma un acuerdo de transferencia de datos con EE. UU.
2. 2. Schrems / noyb presenta una demanda
3. 3. El Tribunal de Justicia de la Unión Europea anula el acuerdo porque la vigilancia estadounidense viola los derechos fundamentales europeos
4. 4. Nuevas negociaciones. Nuevo acuerdo. Vuelta al paso 2.

Este patrón se ha repetido dos veces. En ambas ocasiones, el acuerdo ha fracasado.
Y esta vez, la situación ha empeorado, no ha mejorado.

Qué ha empeorado desde que se adoptó el DPF

En 2023, la Comisión de la UE adoptó un acuerdo basado en la independencia de las agencias reguladoras estadounidenses. Tres años después, esta independencia fue anulada por una sentencia del Tribunal Constitucional. Las hipótesis clave en las que se basó la evaluación de la Comisión Europea de 2023 han cambiado desde entonces. Las implicaciones jurídicas completas de estos cambios aún no se han aclarado de forma definitiva.

¿Ya estamos ante el caso «Schrems III»?

Todavía no, en el sentido de una sentencia del Tribunal de Justicia de la Unión Europea. Pero el proceso ya está en marcha:

• El 30 de junio de 2026, Noyb envió una solicitud por escrito a la Comisión Europea para que retirara el DPF y anunció que interpondría una demanda
• El recurso de Latombe (C-703/25 P) está pendiente ante el TJUE; el TJUE debe pronunciarse sobre el DPF
• La Comisión Europea aún no ha respondido públicamente

A fecha de 14 de julio de 2026, según la información disponible públicamente, la demanda de Noyb aún no se ha presentado formalmente. Pero Noyb ya lo demostró en los casos Schrems I y II: cuando anuncian una demanda, esta se lleva a cabo.

¿Qué tiene que ver el caso Latombe con todo esto?

El diputado francés Philippe Latombe interpuso una demanda impugnando la Decisión de adecuación UE-EE. UU. El Tribunal General de la UE desestimó la demanda en septiembre de 2025 y confirmó la validez del DPF, aunque explícitamente solo basándose en la situación fáctica y jurídica existente en el momento de su adopción en 2023.

El tribunal declaró: «Si el marco jurídico de Estados Unidos cambia, la Comisión podrá decidir suspender, modificar o revocar la decisión».

Latombe interpuso un recurso de casación el 31 de octubre de 2025. El asunto está pendiente ante el Tribunal de Justicia de la Unión Europea con el número de asunto C-703/25 P.

Esto es relevante para el debate sobre el caso Schrems III por dos razones:

1. 1. El TJUE debe pronunciarse sobre el DPF, independientemente de que noyb presente su propia demanda.
2. 2. Si el TJUE confirma el derecho de los particulares a interponer acciones judiciales, esto abre la puerta a nuevas demandas individuales, incluidas las de noyb.

¿Sigue siendo válido el Marco de Protección de Datos?

Sí. Por ahora. La decisión de adecuación sigue vigente hasta que la Comisión Europea la modifique, suspenda o retire, o hasta que un tribunal de la UE la invalide.

Pero «sigue siendo válido» no significa «seguro». El «Safe Harbor» también era válido hasta el mismo día en que se dictó la sentencia. Lo mismo ocurre con el «Privacy Shield». Las empresas que habían confiado en ellos se enfrentaron entonces a un problema que no pudieron resolver en 48 horas.

Cualquiera que no haya revisado sus transferencias de datos a EE. UU. antes de que se dicte la sentencia ya no tendrá tiempo para hacerlo una vez dictada.

¿Son ahora ilegales Google, Microsoft, AWS y otros servicios estadounidenses?

No. No se puede hacer una afirmación tan general. Que un servicio estadounidense concreto pueda utilizarse cumpliendo la normativa de protección de datos depende de varios factores:

• ¿Se transfieren realmente datos personales a EE. UU.? Algunos servicios pueden configurarse de modo que los datos permanezcan en la UE; sin embargo, el mero hecho de que un centro de datos se encuentre en la UE no garantiza que no se produzca ninguna transferencia a un tercer país —por ejemplo, si los empleados del proveedor en EE. UU. tienen acceso a los datos—.
• ¿Cuenta el proveedor concreto o la empresa estadounidense con la certificación DPF? No todos los productos de una empresa estadounidense están automáticamente cubiertos por el DPF.
• ¿Cuál es la base jurídica de la transferencia especificada en el acuerdo de tratamiento de datos? ¿La certificación DPF, las cláusulas contractuales tipo (SCC) o ambas?
• ¿Qué tipos de datos se tratan? Los datos analíticos anonimizados deben evaluarse de forma diferente a los datos sanitarios o de los empleados.
• ¿Qué medidas de seguridad técnicas se han implantado? El cifrado solo es eficaz si el proveedor estadounidense no tiene acceso a las claves.

Cada servicio debe considerarse de forma individual.

¿Son las cláusulas contractuales tipo la solución?

Muchas empresas piensan: «Si falla el DPF, simplemente utilizaremos las SCC». Por desgracia, no es tan sencillo.

El Tribunal de Justicia de la Unión Europea aclaró en el caso Schrems II que las cláusulas contractuales tipopor sí solas no son suficientes si el país receptor no ofrece un nivel de protección adecuado. Las empresas deben:

1. Realizar una evaluación del impacto de la transferencia (TIA), por separado para cada proveedor
2. Aplicar medidas de seguridad adicionales: cifrado, seudonimización y restricciones de acceso
3. Verificar si estas medidas son realmente eficaces: el cifrado solo protege si el proveedor estadounidense no tiene acceso a las claves

En muchos servicios en la nube habituales, el punto 3 es el problema: el proveedor debe poder acceder a los datos en texto sin cifrar para que el servicio funcione. En estos casos, las SCC por sí solas no son suficientes.

Las SCC son un freno de emergencia, no un paracaídas.

Lo que debes hacer AHORA:

1. Inventario de datos (esta semana)

Haz una lista. Ahora mismo. No tiene por qué ser perfecta, pero al menos debe estar completa:

2. Revisa la base jurídica de las transferencias de datos (este mes)

Para cada proveedor de tu lista:

• ¿Cuenta la empresa estadounidense concreta con la certificación DPF?
• ¿Se han acordado también las cláusulas contractuales tipo (SCC)?
• ¿Existe una evaluación del impacto de la transferencia?
• ¿Seguirá siendo válida la TIA después del 29 de junio de 2026?

3. Prioriza los datos críticos

Empieza por lo que más duele:

• Datos sanitarios (tarjetas de seguro, datos de pacientes)
• Datos de los empleados (sistemas de RR. HH. de proveedores estadounidenses)
• Bases de datos de clientes (CRM, boletines informativos, programas de fidelización)
• Datos financieros (pagos, contabilidad)

4. Prepara un plan B antes de que lo necesites

• Busca alternativas de la UE/EEE para los sistemas críticos
• Prueba la exportación y la migración de datos (no te limites a planificarlas)
• Documenta las condiciones contractuales y los plazos de preaviso
• Establece ya a nivel regional los procesos especialmente sensibles

5. Establece un sistema de seguimiento

Por qué es fundamental una arquitectura de datos específica

A la hora de evaluar los servicios en la nube, no basta con fijarse únicamente en la ubicación del centro de datos. Lo que más importa es qué empresas participan en el tratamiento, dónde se tratan los datos personales y si es posible el acceso o la transferencia desde terceros países.

Si los datos personales se tratan exclusivamente dentro del EEE y no hay acceso desde terceros países, por lo general no se requiere ni el Marco de Protección de Datos UE-EE. UU. ni las cláusulas contractuales tipo para este tratamiento. En cuanto intervengan empresas estadounidenses, subcontratistas de terceros países o existan las correspondientes opciones de acceso, deberá revisarse por separado el acuerdo de transferencia específico.

Alojamiento en la UE sin una empresa matriz estadounidense: por qué es importante el operador del centro de datos

El hecho de que un centro de datos se encuentre en Fráncfort no convierte automáticamente a un servicio en la nube en una solución puramente europea. También es fundamental qué empresa gestiona el centro de datos y a qué jurisdicción está sujeta dicha empresa.

Passcreator utiliza centros de datos en Alemania gestionados por empresas europeas y que no pertenecen a un grupo empresarial estadounidense. A veces se utiliza el término «alojamiento de propiedad europea» para describir esto: la ubicación del servidor está en Europa y el operador también es una empresa europea.

Para las empresas, esto significa que la gestión y la prestación de sus pases de monedero se gestionan a través de una plataforma europea alojada en Alemania por operadores de centros de datos europeos. Esto reduce significativamente la dependencia directa del Marco de Protección de Datos UE-EE. UU. para el sistema central.

Esto proporciona una mayor seguridad en la planificación y soberanía digital, especialmente en el caso de las tarjetas de cliente, las tarjetas de socio, las entradas y las credenciales digitales que se utilizan a largo plazo.

Por qué es relevante en este momento

Los «Wallet Passes» contienen datos personales. Dependiendo de su uso previsto, estos incluyen:

• Tarjetas de fidelización digitales: nombres, números de cliente, datos de contacto, puntos de fidelidad
• Tarjetas de seguro digitales: números de seguro, detalles de la póliza y, en algunos casos, información sanitaria
• Tarjetas de socio: números de identificación personal, niveles de acceso, afiliación a una organización
• Permisos de acceso: quién tiene acceso a qué lugar y cuándo, incluidos los datos de ubicación
• Entradas para eventos y cupones: comportamiento de compra, patrones de uso y datos de ubicación

Con un proveedor de carteras digital de EE. UU., estos datos se almacenan en infraestructuras estadounidenses o, como mínimo, pueden ser solicitados por las autoridades de EE. UU. No es así con Passcreator. Sin transferencias a terceros países, sin la Ley Cloud Act y prácticamente sin riesgo Schrems.

Ya se trate de tarjetas de socio, tarjetas de fidelización, certificados de seguro, permisos de acceso o programas de fidelización: la infraestructura de alojamiento de «Passcreator», gestionada por empresas europeas, sigue en pie, independientemente de si el Marco de Protección de Datos UE-EE. UU. se mantiene o se deroga.

Comprueba ahora mismo en qué base procesan los datos tus herramientas estadounidenses más importantes. O cambia directamente a una solución en la que esta cuestión ni siquiera se plantee.

Passcreator Pruébalo: alojamiento en Alemania con operadores de centros de datos europeos.

Proveedores europeos en lugar de la dependencia de EE. UU.: ¿qué es posible ahora?

El debate sobre Schrems III no es una cuestión aislada de protección de datos, sino que forma parte de una cuestión mucho más amplia: ¿hasta qué punto queremos depender de la tecnología estadounidense?

Según una encuesta representativa de Bitkom de abril de 2026, el 93 % de los alemanes cree que su país depende de otros países en lo que respecta a las tecnologías digitales. El 99 % considera que es importante ganar en independencia. Y un tercio ya ha tomado la decisión consciente de pasarse a un proveedor europeo.

Al mismo tiempo, el estudio pone de relieve el dilema: el 55 % considera que cambiar a proveedores europeos supone demasiadas complicaciones.

Esto es comprensible cuando se trata de sistemas completos de CRM o paquetes ofimáticos. Pero hay ámbitos en los que cambiar a una solución europea no supone una tarea titánica: se puede hacer en unas pocas horas o días.

Pasarse a un proveedor europeo de monederos electrónicos que no tenga una empresa matriz estadounidense es uno de esos cambios rápidos.

El cambio que no supone ningún problema

• Sin proyecto de migración: simplemente creas tus Wallet Passes en Passcreator en lugar de hacerlo con tu proveedor anterior
• Mismos dispositivos: los pases aparecen en Apple Wallet y Google Wallet; tus clientes no notarán ninguna diferencia
• Integración mediante API: Passcreator ofrece una API REST que se puede integrar en los sistemas existentes
• Empieza ya mismo: sin tediosos procesos de incorporación, sin trámites de aprobación que se alargan durante meses

Con Passcreator, pasarse a un servicio «made in Europe» es realmente fácil.
¡Te lo prometemos! Solo tienes que ponerte en contacto con nosotros.

Entre el pánico y la espera

Actualmente no hay motivo para una salida inmediata e imprevista de todos los servicios estadounidenses. El DPF es válido, la demanda aún no se ha presentado y aún faltan años para que el Tribunal de Justicia de la Unión Europea dicte sentencia.

Sin embargo, sería igual de negligente ignorar el tema. El historial de Noyb demuestra que estas demandas tienen consecuencias reales. El «Safe Harbor» cayó. El «Privacy Shield» cayó. En ambas ocasiones, «todo era válido» durante años —hasta que dejó de serlo—.

La respuesta más sensata es revisar la base jurídica, dar prioridad a los flujos de datos críticos y preparar alternativas realistas.

Conclusión: tres preguntas, tres respuestas sinceras

¿Se ha resuelto ya el caso Schrems III? No. No hay sentencia del TJUE y Noyb aún no ha presentado formalmente una demanda. Pero la demanda se ha anunciado y el caso Latombe ya está pendiente ante el TJUE.

¿Es inválido actualmente el Marco de Protección de Datos? No. La Decisión de Adecuación sigue en vigor. Pero su fundamento —la independencia de la autoridad de protección de datos de EE. UU.— ya no estará garantizado legalmente a partir del 29 de junio de 2026.

¿Ha aumentado el riesgo? Sí, de forma significativa. Dos de los dos acuerdos anteriores han fracasado ante el TJUE. El punto de partida para el tercero es peor que para los dos anteriores.

Las empresas que tratan los datos de sus clientes en servicios en la nube de EE. UU. necesitan ahora un plan B. El Marco de Protección de Datos (DPF) no se desmoronará mañana ni la semana que viene, pero llegará ese momento, y para entonces ya será demasiado tarde para su empresa.

Preguntas frecuentes

¿Qué es Schrems III?

Schrems III es el tercer gran recurso judicial previsto ante el Tribunal de Justicia de la Unión Europea en relación con la legalidad de las transferencias de datos entre la UE y EE. UU. El término hace referencia a Schrems I (2015, anulación del «Safe Harbor») y a Schrems II (2020, anulación del «Privacy Shield»). Actualmente, Schrems III no es un caso zanjado, sino más bien un escenario para el que las empresas deben prepararse.

¿Se ha dictado ya una sentencia sobre el caso «Schrems III»?

No (a fecha de julio de 2026). El caso estadounidense Trump contra Slaughter es una sentencia constitucional de EE. UU., no una sentencia de la UE sobre protección de datos. Noyb ha anunciado una demanda ante el TJUE, pero aún no la ha presentado formalmente. Al mismo tiempo, el recurso de Latombe (C-703/25 P) está pendiente ante el TJUE.

¿Sigue vigente el Marco de Protección de Datos UE-EE. UU.?

Sí. La Decisión de adecuación (UE 2023/1795) sigue en vigor hasta que la Comisión Europea la modifique, suspenda o revoque, o hasta que un tribunal competente de la UE la anule. Eso aún no ha ocurrido.

¿Están ahora prohibidas las transferencias de datos a EE. UU.?

No. La legalidad depende de la base específica de la transferencia: certificación del Marco de Protección de Datos (DPF), cláusulas contractuales tipo (SCC), normas corporativas vinculantes (BCR) o consentimiento. Cada transferencia debe evaluarse caso por caso.

¿Qué significa esto para Google Analytics, Microsoft 365, AWS o HubSpot?

Cada servicio debe analizarse de forma individual: ¿Qué datos se transfieren y adónde? ¿Qué empresa estadounidense es la parte contratante? ¿Cuál es la base jurídica de la transferencia? ¿Qué garantías técnicas se han establecido? El factor clave es si los datos personales se transfieren a EE. UU. o si los empleados estadounidenses tienen acceso a ellos.

¿Son las cláusulas contractuales tipo (SCC) una alternativa suficiente?

No necesariamente. Las SCC requieren una evaluación del impacto de la transferencia (TIA) y, si es necesario, medidas técnicas y organizativas adicionales. Si el proveedor estadounidense debe acceder a los datos en texto sin cifrar para que el servicio funcione, la protección mediante cifrado resulta ineficaz, y las SCC por sí solas no son suficientes.

¿Cuál es la diferencia entre el alojamiento en la UE y el alojamiento de propiedad europea?

El alojamiento en la UE se refiere principalmente a que los datos se tratan en servidores situados dentro de la UE. El operador puede seguir siendo una empresa estadounidense. En el caso del alojamiento de propiedad europea, los centros de datos están ubicados en Europa y también son gestionados por empresas europeas que no son propiedad de una sociedad estadounidense.

A fecha de 15 de julio de 2026. Este artículo se actualizará a medida que surjan novedades.

Este artículo refleja la valoración de Passcreator y no sustituye al asesoramiento jurídico individual. Para su situación concreta en materia de transferencia de datos, póngase en contacto con su responsable de protección de datos o con un bufete de abogados especializado.

Fuentes: Tribunal Supremo de los Estados Unidos, Trump contra Slaughter (asunto n.º 25-332); EUR-Lex, Decisión de Ejecución (UE) 2023/1795; TJUE, C-703/25 P; noyb.eu; beck-aktuell (Prof. Dr. Alexander Golland, 6 de julio de 2026); IAPP; SCOTUSblog; CNBC.