本文提供EDPB来函全文翻译，并分析这项问题如何从外部挑战进入欧盟机构正式评估议程，以及哪些法律结论仍然不能提前作出。

📌 本文看点

一个月前，我写过《美国监督地基松了，欧盟还能放心传数据吗？》，分析美国最高法院 Trump v. Slaughter 判决可能怎样影响欧盟—美国数据隐私框架。当时的来源层级很清楚：最高法院处理的是美国宪法下的总统免职权；noyb率先把判决转化为针对DPF的欧盟法挑战；上一篇文章则进一步分析了这种挑战与GDPR第45条、充分性决定和企业传输工具之间的关系。

此后，欧盟机构先后作出两项重要回应。7月23日，欧盟委员会在例行记者会上表示，已注意到这项判决，并将认真分析它对欧美数据安排可能产生的影响。欧委会同时重申将持续监测充分性决定，并提到McGrath委员此前已与FTC主席及PCLOB有关负责人讨论DPF。7月31日，EDPB主席 Anu Talus 又正式致函McGrath委员，从GDPR第45条第2款(b)项出发，要求欧委会评估FTC委员免职保障的变化是否影响欧盟委员会实施决定（EU）2023/1795的运行。

现在，这项分析的制度权威层级上升了。EDPB来函没有改变DPF的法律效力，却改变了FTC独立性问题在欧盟制度中的位置：它不再只是外部组织提出的法律挑战，而是进入了EDPB与欧盟委员会之间以GDPR第45条为依据的正式机构沟通和评估议程。

连续篇新增的制度层次

把两篇连起来看，事件已经形成四个层次。

第一，美国最高法院改变了FTC委员免职保护的宪法基础。第二，noyb据此主张DPF的独立监督基础已经崩塌，并要求欧委会有序撤回充分性决定。第三，欧委会公开确认已注意到判决、将认真分析其影响，并继续监测充分性决定。第四，EDPB独立地从GDPR第45条出发，将同一制度问题正式提交欧盟委员会评估。

这里不能写成EDPB接受并转化了noyb的挑战。EDPB信函没有提及noyb，也没有材料证明两者之间存在直接因果关系。更准确的说法是：noyb率先提出欧盟法挑战；欧委会随后确认将分析判决影响；EDPB则通过正式机构信函，进一步明确了这项分析在欧盟法上的具体连接点。

EDPB官网把这份文件归类为“EDPB Correspondence”。它是一封正式、公开的机构信函，但不是GDPR第64条意见，也不等于欧委会已经启动暂停、修改或撤回充分性决定的法定程序。信函没有设定评估期限，也没有对欧委会必须采取的措施作出程序性指令。

EDPB增加的是哪一层

EDPB来函的增量，不是让欧委会第一次关注判决，而是把欧委会已经公开确认将开展的分析，进一步锚定在一条具体法律路径上。

信函首先援引GDPR第45条第2款(b)项：第三国是否存在一个或多个能够有效运作的独立监督机构，是评估其保护水平充分性时需要考虑的关键要素。随后，EDPB指出，DPF所依据的充分性决定曾明确援引包括FTC在内的美国主管机构的独立性，并记载只有在FTC委员履职不力、玩忽职守或存在职务不当行为时，总统才能将其免职。

最后，EDPB要求欧盟委员会密切评估这一制度变化是否影响充分性决定的运行，并表示欢迎欧盟委员会采取相关行动，包括继续及时向EDPB通报有关信息。这里存在两个不同的语气层级：EDPB请求欧委会开展评估，但对评估之后的行动只是表示欢迎，并未命令欧委会暂停、修改或撤回决定。

增加的是官方材料的权重和评估深度，不是法律结果。EDPB正式确认，FTC委员免职保障的变化与GDPR第45条及充分性决定的运行之间存在值得欧委会评估的法律关联；它没有接受“DPF必然失效”这一结论，也没有要求企业立即停止对美传输。

企业应怎样调整判断

以下属于基于这组连续材料的企业合规建议，不是EDPB来函明示的义务。

依赖DPF的企业可以把事项从一般外部法律动态，升级为需要明确负责人和复核节点的欧盟机构评估事项。内部记录应当区分四类材料：美国最高法院判决、noyb的倡议主张、欧委会7月23日的公开回应，以及EDPB 7月31日的正式来函。它们的法律性质和证明力并不相同。

如果既有评估曾把FTC的独立执法、持续监管能力或DPF商业执行机制的稳定性作为风险缓释理由，企业可以检查相关表述是否需要增加条件、更新证据或设置复核日期。EDPB这封信没有直接讨论14086号行政命令、数据保护审查法院、PCLOB、美国情报机关访问数据的必要性和比例性，也没有评价标准合同条款或约束性公司规则的有效性；不能把noyb提出的更广泛主张直接写成EDPB立场。

即使企业考虑从DPF切换至标准合同条款，也不能把SCC视为自动有效的替代方案，仍需结合接收方、数据类型和美国法律环境重新评估。供应商管理可以同步核对美国服务商是否受FTC管辖、合同中的法律变化通知机制，以及必要时切换传输工具、缩小数据范围或迁移服务的可行性。这些均属于企业风险管理选择，而非EDPB在来函中列出的措施。

下一篇真正要等什么

下一篇真正要等的，不是欧盟委员会是否回应，而是其是否从“将认真分析”进入更具体、书面且具有措施指向的阶段，例如事实调查、补充保障磋商、强化监测，或者调整充分性决定。

信息交换、政策和法律分析、事实调查、加强监测、调整充分性决定，以及传输法律依据发生变化，是完全不同的程序阶段。只有继续区分这些层级，才能既看到FTC独立性问题在欧盟制度中的位置确实发生了变化，又不把尚未出现的法律结果提前写出来。

主要来源

— EDPB来函的法律结构

欧盟委员会登记号（原PDF页眉）： Ref. Ares(2026)7540711 - 31/07/2026

发件人： Anu Talus，欧洲数据保护委员会主席

收件人： Michael McGrath 委员，民主、司法、法治和消费者保护事务委员，欧盟委员会，比利时布鲁塞尔1040

地点及日期： 布鲁塞尔，2026年7月31日

主题：美国最高法院 Trump v. Slaughter 判决

尊敬的 McGrath 委员：

首先，感谢您在EDPB 6月全体会议期间拨冗与EDPB成员交流。

在我们富有成效的讨论之后，美国出现了一些EDPB认为重要的司法进展。

2026年6月29日，美国最高法院在 Trump v. Slaughter 案中作出判决，[1]推翻了 Humphrey's Executor 案。[2] Humphrey's Executor 案曾确认，美国国会为美国联邦贸易委员会（FTC）委员规定的法定保护并不违反《美国宪法》的分权原则。这些保护规定，只有具备特定法定事由时，例如“履职不力、玩忽职守或职务不当行为”，总统才能免除FTC委员的职务。

美国最高法院在2026年6月29日的判决中裁定，“FTC已经积累了广泛的规则制定权、执法权和裁决权”，并且FTC“毫无疑问行使行政权，因此必须受被授予该权力的行政首长控制”。[3] 因此，美国最高法院认定，行政官员受总统统辖，其中包括总统将其免职的权力。

— 从判决到EDPB来函的事件进程

EDPB谨强调，根据《条例（欧盟）2016/679》第45条第2款(b)项，在评估第三国保护水平的充分性时，需要考虑的关键要素之一，是该第三国是否存在一个或多个负责确保数据保护规则得到遵守并予以执行、且能够有效运作的独立监督机构。这也被视为确保欧洲经济区（EEA）数据主体在实践中得到实质等同的数据保护水平保障，以及确保与成员国监督机构开展合作的关键要素之一。

EDPB谨提请注意，欧盟委员会在作为欧盟—美国数据隐私框架（DPF）依据的充分性决定中，[4]明确提及包括FTC在内的美国各主管机构的独立性，并提到只有在履职不力、玩忽职守或存在职务不当行为时，总统才能免除FTC五名委员的职务。[5]

— EDPB来函后的企业传输合规要点

鉴于美国最高法院判决可能对欧洲经济区产生的影响，以及该判决对EDPB的重要意义，EDPB请求欧盟委员会密切评估这一进展是否影响欧盟委员会实施决定（EU）2023/1795的运行。EDPB亦表示欢迎欧盟委员会采取相关行动，包括继续及时向EDPB通报有关信息。

EDPB愿随时与贵方部门合作，并愿就此事随时作进一步交流。

谨致敬意，

Anu Talus

脚注

欧洲数据保护委员会

维尔茨大街60号，1047 布鲁塞尔｜edpb.europa.eu

如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。