Fasken月报：欧盟-美国数据隐私框架因Trump v. Slaughter再生变数，欧委会同步发布CRA实施指南

起因是美国最高法院作出的Trump v. Slaughter判决，该判决对美国联邦贸易委员会（FTC）的独立性提出质疑。由于欧盟委员会在作出对美充分性认定时，明确将FTC的独立性作为关键隐私执法保障加以依赖，该判决直接触及DPF的法律基础。欧盟隐私倡导团体已呼吁欧委会撤销对美充分性决定。

欧洲数据保护委员会（EDPB）在7月31日致欧委会的信函中指出，监管机构独立性是评估第三国是否提供充分保护水平的关键标准。鉴于DPF充分性决定明确依赖FTC独立性，EDPB已要求欧委会评估该判决对DPF的影响并随时通报进展。目前框架仍然有效，除非欧委会废除或欧盟法院予以撤销。

对依赖DPF、标准合同条款（SCCs）或有约束力的公司规则（BCRs）进行跨大西洋数据传输的企业，月报建议密切跟踪进展并适时重做传输风险评估。这是继Schrems II之后，跨大西洋数据流动机制面临的又一结构性挑战。

同期，欧盟委员会发布了支持《网络弹性法》（Cyber Resilience Act, CRA）及时实施的新指南。CRA自2024年12月生效，为数字产品全生命周期设定强制性网络安全要求。指南澄清了适用范围（含远程数据处理解决方案与开源软件）、"实质性修改"的构成、支持期限要求、报告义务与风险评估预期，帮助中小企业理解并履行新规。