Marco de Protección de Datos UE–EE. UU.: Confirmada su validez tras la resolución del caso Latombe vs. Comisión Europea

El Tribunal General de la Unión Europea ha emitido el pasado 3 de septiembre de 2025 una importante resolución en el asunto T-553/23 Latombe vs. Comisión Europea, relativa al nuevo Marco de Protección de Datos UE–EE. UU. (Decisión de Ejecución 2023/1795).

Esta sentencia confirma la validez del marco de transferencias internacionales de datos personales entre la Unión Europea y Estados Unidos, proporcionando seguridad jurídica a las empresas que realizan estas transferencias.

Principales conclusiones del tribunal

En esta resolución, el Tribunal:

• Rechaza los argumentos sobre la falta de imparcialidad del Data Protection Review Court, considerando que sus garantías de nombramiento, funcionamiento y supervisión son sustancialmente equivalentes a las exigidas por el Derecho de la Unión.
• Valida las salvaguardas estadounidenses en materia de protección de datos personales, concluyendo que las normas estadounidenses limitan estrictamente esta práctica, imponiendo salvaguardas de proporcionalidad, control posterior y supervisión independiente. En ese sentido, no se exige que sean idénticas a las europeas, basta con que sean «sustancialmente equivalentes«.
• Confirma la obligación de supervisión continua por parte de la Comisión Europea, quien mantiene la facultad de supervisar de forma permanente el cumplimiento de este marco y puede suspenderlo o modificarlo si detecta deficiencias.

Validez confirmada

De ese modo, el Tribunal confirma la validez de la decisión de adecuación adoptada por la Comisión Europea en julio de 2023, que reconoce que Estados Unidos ofrece un nivel adecuado de protección de datos personales transferidos desde la Unión Europea.

Esta validación judicial refuerza la seguridad jurídica para las transferencias internacionales de datos bajo el marco UE-EE.UU. y el cumplimiento del RGPD.

Implicaciones prácticas para las empresas y organizaciones

• Marco vigente y seguridad jurídica: En consecuencia, el marco UE–EE. UU. de transferencias de datos sigue plenamente vigente y ofrece seguridad jurídica a las organizaciones que transfieren información personal a entidades estadounidenses certificadas en este marco.
• Recomendaciones para transferencias internacionales: Más allá de esta validación, resulta relevante que las organizaciones que realicen transferencias internacionales de datos —por ejemplo, una empresa tecnológica que aloja sus servidores en EE. UU. o un grupo empresarial con filiales en países como México— cuenten con procedimientos internos claros que establezcan las directrices necesarias para garantizar que dichas transferencias se lleven a cabo en pleno cumplimiento de la normativa aplicable.
• Prevención de sanciones: De este modo las organizaciones pueden minimizar el riesgo de posibles infracciones y, en consecuencia, evitar la imposición de las sanciones previstas en el RGPD.