美国最高院判欧盟美国数据隐私框架无效了？并没有！
一、先分清判决与推论
2026 年 6 月 29 日，美国最高法院作出 Trump v. Slaughter 判决。同日，noyb 发布文章，称美国最高法院“炸毁”了欧盟-美国数据传输。第二天，noyb 又致函欧盟委员会，要求欧委会准备有序撤回欧委会执行决定（EU）2023/1795，也就是现行欧盟-美国数据隐私框架（EU-US DPF）的充分性决定。
本文按两个层次展开。
第一层是美国最高法院判决。判决处理的是美国宪法下的总统免职权和分权问题。法院审查的是总统能否在没有《联邦贸易委员会法》所列法定事由的情况下免除联邦贸易委员会委员。判决没有审查 GDPR，没有审查欧盟基本权利宪章，也没有判断 DPF、标准合同条款（SCC）或约束性公司规则（BCR）的效力。
第二层是 noyb 的欧盟法推论。noyb 认为，DPF 的商业侧执行长期依赖 FTC；最高法院现在确认 FTC 委员不得通过“因故免职保护”抵御总统罢免，FTC 至少在委员免职层面的独立性基础被击穿。至于这是否足以使其不再满足欧盟法意义上的独立监督要求，则是 noyb 进一步提出的欧盟法推论。
两层之间不能混写。最高法院没有直接处理跨境数据传输；noyb 也没有宣布 DPF 已经自动失效。更准确的读法是：判决改变了欧委会曾经依赖的一项美国制度事实，noyb 试图把这个变化转化为挑战 DPF 的新理由。
判决结论与 noyb 推论的来源分层
二、判决对象：FTC 委员能否被总统免职
本案起因是总统免职决定。特朗普在第二任期开始后，免除了 FTC 两名民主党委员 Rebecca Slaughter 和 Alvaro Bedoya 的职务。判决摘要和法院意见都确认，总统没有援引《联邦贸易委员会法》中的“效率低下、失职或渎职”等法定事由；总统给出的理由是，两名委员继续任职不符合本届政府优先事项，并主张自己依据美国宪法第二条享有免职权。
Slaughter 随后起诉总统和相关行政官员，主张免职行为越权、违反行政程序法并违反宪法。地区法院支持 Slaughter。案件仍在下级上诉程序中时，最高法院提前受理，最终撤销下级法院判决并发回重审。
理解本案，需要先区分美国最高法院判决书中的几类意见。一个案件通常会有代表法院结论的意见，也可能有协同意见和异议意见。本文所称“多数意见”，指获得多数大法官支持、代表最高法院裁判结论的那份意见；“协同意见”指同意结论但另写理由的意见；“异议意见”指不同意结论的意见。本案多数意见由首席大法官 Roberts 撰写，Alito、Gorsuch、Kavanaugh、Barrett 加入，Thomas 加入其中大部分内容。因此，多数意见是本案的裁判基础。
三、多数意见：FTC 行使行政权，应受总统控制
多数意见从美国宪法第二条展开。美国宪法将行政权赋予总统，并要求总统负责忠实执行法律。法院据此认为，总统如果要对法律执行负责，就必须能够监督并免除行使行政权的主要官员。免职权在这里被理解为总统监督行政机关、维持民主问责链条的一部分。
随后，法院把现代 FTC 放进这个框架。多数意见指出，FTC 现在执行和管理 80 余部法律，覆盖美国经济的广泛领域。它可以制定具有法律效力的实质规则，可以调查企业，可以通过内部裁决执行法律，也可以代表美国在联邦法院起诉，并请求禁令、民事罚款、消费者返还等救济。
这些权力使 FTC 落在行政权的核心区域。法院由此认定，FTC 委员享有的因故免职保护违反分权原则。判决并未取消 FTC，也没有限制 FTC 继续执法。变化发生在机构领导层：FTC 委员不能再依靠因故免职保护，抵御总统基于政策方向作出的罢免。
判决与 DPF 的联系由此出现。欧盟过去把 FTC 视为美国商业隐私承诺的重要公共执法者。最高法院现在把 FTC 明确放回总统行政控制链条之内，noyb 便据此追问：欧委会还能否继续把 FTC 当作足以支撑 DPF 的独立监督组成部分？
四、Humphrey's Executor 的位置
本案还处理了 1935 年的 Humphrey's Executor 判例。那个判例曾经支持 FTC 委员的因故免职保护，也长期支撑美国独立行政机构的制度安排：在某些复杂监管领域，国会可以设置多成员、两党制、交错任期、因故免职的机构，使其与总统短期政治偏好保持距离。
多数意见认为， Humphrey's Executor 当年依赖的是一个很窄的 FTC 图像，即把 FTC 描述成几乎不行使行政权的“准立法、准司法”机关。现代 FTC 已经不同。它大量制定规则、调查、执法、裁决和诉讼，已经不能放在总统控制之外。多数意见进一步表示，如果 Humphrey's Executor 还被理解为支持更宽泛的独立机构免职保护，法院现在明确推翻这种理解。
这个判断对 DPF 的影响，主要体现在制度叙事上。DPF 依靠 FTC 作为公共执法机关支撑企业自认证承诺，不能只看 FTC 名义上的存在。最高法院削弱的是 FTC 与总统之间的隔离。noyb 由此主张，欧委会关于美国商业隐私执法独立性和稳定性的判断已经出现裂缝。
五、判决边界
多数意见没有宣布美国所有独立机构当然违宪。判决明确说，因为 FTC 的活动已经落入行政权核心，本案无需定义行政权的全部边界；国会创设的所有职位也未必都行使行政权。多数意见还保留了若干特殊问题，例如联邦储备体系相关制度，以及非第三条法院是否需要另作分析。
因此，严谨表述应当限于本案已经处理的内容：对 FTC 本身，以及同样处于总统一般行政控制之下并行使行政权的机构而言，最高法院的逻辑会严重削弱其通过因故免职保护抵御总统控制的宪法基础。这个结论已经足以影响 DPF 的制度评估，但仍不能推出 DPF 在判决当天自动失效。
六、协同意见与异议意见的作用
Gorsuch 的协同意见同意多数意见的结论，并进一步指出，现代独立机构承担的权力已经远超传统行政执法。国会长期把具有立法性、司法性的权力交给这些机构，包括规则制定、行业治理、内部裁决，以及影响私人权利的行政程序。既然判决确认总统可以罢免这些机构负责人，总统实际影响的范围便延伸到这些机构手中的准立法和准司法权力。
这段意见说明了判决的制度后果。noyb 关注的重点是美国最高法院正在把独立监管机构重新纳入总统控制逻辑，而非 FTC 少了两名反对党委员这一单独事实。对欧盟而言，关键疑问随之变化：美国法律中是否仍存在足以让欧盟信赖的独立监督结构。
Sotomayor 的异议意见提供了另一侧说明。她认为，美国国会和历届总统长期把若干政府职能安排在较远离党派政治的位置，例如核能、货币供应、工作场所安全、消费品安全和化学品风险等领域。她强调，这些领域的决定应依赖专业判断、法律和公共利益，而非完全随政治偏好变化。
异议意见不构成本案裁判结论，但它解释了欧洲隐私界为何会敏感。欧盟数据保护法所说的独立监督，指向的是对基本权利执行的制度保障。如果美国最高法院内部已经有人明确警告多数意见会削弱独立监管结构，noyb 就可以把该判决作为新材料，要求欧委会重新审查 DPF 的充分性基础。
七、DPF 的官方结构：企业承诺背后的监督链条
欧委会执行决定（EU）2023/1795 依据 GDPR 第 45 条作出充分性决定，认定向列入 DPF 名单的美国组织传输个人数据，可以在该决定覆盖范围内享有充分性基础。欧委会在决定中说明，充分性不要求第三国制度与欧盟完全相同，但实际保护效果需要达到基本等同。
DPF 的说服力来自一套组合结构。美国企业向商务部自认证遵守 DPF 原则，并公开相关隐私承诺；商务部维护 DPF 名单，负责合规监测、复核和名单管理；参加 DPF 的组织还需要受 FTC、交通部或其他被认可法定机关的调查和执法权约束。欧委会执行决定（EU）2023/1795 及其附件说明，违反 DPF 原则可能由 FTC 依据《联邦贸易委员会法》第 5 条关于不公平或欺骗行为的规则执法，也可能由交通部依据相应航空消费者保护规则执法。
在政府访问数据的场景下，欧委会还依赖 14086 号行政命令、相关司法部规则、公民自由保护官（CLPO）、数据保护审查法院（DPRC）、隐私与公民自由监督委员会（PCLOB）等监督和救济安排。FTC 官方页面对商业侧机制也作了同向说明：企业加入 DPF，需要向商务部自认证遵守 DPF 原则；参加企业不遵守原则，可能违反《联邦贸易委员会法》第 5 条；FTC 表示会执行 DPF 原则，并与欧盟隐私主管机关合作保护跨大西洋消费者隐私。
在这套结构中，FTC 是商业侧执行链条中的关键机关。欧委会接受“美国企业自认证”这种安排，前提是自认证背后还有商务部名单管理、FTC/交通部公共执法、争议解决、仲裁，以及政府访问场景下的监督救济机制。 Trump v. Slaughter 带来的疑问正落在这里：当 FTC 委员不再享有抵御总统任意免职的保护，欧委会还能否维持原先关于美国商业隐私执法独立、有效、稳定的判断？
DPF 的商业侧和政府访问侧监督链条
八、Latombe 背景：DPF 曾刚刚通过一次欧盟法院审查
这里还应放在 Latombe v Commission 的背景下理解。2025 年 9 月 3 日，欧盟普通法院在 T-553/23 案中驳回了针对 DPF 充分性决定的撤销之诉。根据欧盟法院官方新闻稿，普通法院认为，在欧委会作出 DPF 充分性决定之日，美国对从欧盟传输至美国相关组织的个人数据提供了充分保护。
Latombe 案中，申请人质疑 DPRC 缺乏独立性，并质疑美国情报机构批量收集传输中个人数据的限制不足。欧盟普通法院新闻稿说明，法院认可了 DPRC 的若干保障：DPRC 法官的任命和运作伴随保障条件；DPRC 法官只能由美国司法部长因故免职；美国司法部长和情报机构不得阻碍或不当影响其工作。新闻稿还说明，欧委会需要持续监测 DPF 所依赖的美国法律框架；如果美国法律框架发生变化，欧委会可以暂停、修订、撤回充分性决定，或限制其适用范围。
这使 Trump v. Slaughter 的时间点更重要。Latombe 是对 2023 年 DPF 决定作出的司法审查； Trump v. Slaughter 发生在 Latombe 之后，为 noyb 提供了一个新的制度变化事实。noyb 现在要推动的问题，已经从 Latombe 中被驳回的 DPRC 独立性和批量收集论点，延伸到美国最高法院重新定义独立执行机构与总统控制关系之后，欧委会是否仍能维持其充分性判断。
九、noyb 的推论：DPF 的独立监督基础受到挑战
noyb 的论证属于建立在判决之上的欧盟法分析，不属于美国最高法院判决本身。
noyb 先从 FTC 在欧盟-美国数据传输安排中的地位切入。它主张，自 2000 年以来，欧盟一直依赖 FTC 执行美国企业在数据传输框架下作出的隐私承诺；在现行 DPF 充分性决定中，欧委会大量提及 FTC。noyb 文中称欧委会对 FTC 的依赖出现 259 次。这个数字属于 noyb 的统计和传播表达，不能直接当作欧委会法律结论，但足以说明 noyb 的攻击目标：FTC 在 DPF 中的核心执法地位。
接着，noyb 转向欧盟法要求。它在文章和致欧委会信函中引用《欧盟运行条约》第 16 条第 2 款和《欧盟基本权利宪章》第 8 条第 3 款，主张个人数据保护必须受到独立机构监督。第三国要获得充分性认可，也需要提供实质等同保护。按照这个逻辑，如果美国的监督机构不能保持足够独立，DPF 的充分性基础就会受到影响。
最后，noyb 把 Trump v. Slaughter 解释为美国“统一行政权”理论的胜利，认为最高法院已经否定 FTC 这类独立执行机构抵御总统控制的宪法基础。noyb 还把这个逻辑推向数据保护审查法院、隐私与公民自由监督委员会等机制，认为这些安排同样处在美国行政体系之中，独立性需要重新审视。
noyb 对 SCC 和 BCR 的延伸，也来自同一思路。企业即便没有直接依赖 DPF，只要使用 SCC 或 BCR 向美国传输数据，通常也需要做传输影响评估。评估中如果依赖美国监督和救济机制，最高法院判决就可能成为必须纳入的新法律环境变化。
noyb 同时承认一个边界：DPF 在欧委会撤回或欧盟法院撤销前仍然形式有效，最高法院判决没有立即自动改变这一点。因此，noyb 的主张更准确地说，是要求欧委会主动复核并有序撤回充分性决定，同时为未来诉讼准备新的攻击面。
十、如何评价 noyb 的论证
noyb 抓到的是 DPF 中真实存在的薄弱处。过去“安全港”和“隐私盾”被推翻，焦点主要在美国情报访问是否过宽、欧盟个人是否缺乏有效救济。noyb 这次把问题往前推进了一层：即使美国设置了执法者和救济机制，这些机制是否具备欧盟法意义上的独立性。
这个转向很重要。DPF 的合法性从来不能只看美国企业是否自愿承诺遵守原则，还要看承诺背后是否存在公共执行、公共监督和有效救济。FTC 位于商业侧，CLPO、DPRC、PCLOB 等机制位于政府访问侧，它们共同支撑欧委会关于美国提供基本等同保护的判断。现在 FTC 被最高法院明确纳入总统控制链条，noyb 关于 DPF 独立监督叙事被削弱的主张有了新的事实基础。
但 noyb 的结论需要收窄。 Trump v. Slaughter 没有审查 DPF，也没有审查 14086 号行政命令、数据保护审查法院、SCC 或 BCR。多数意见围绕 FTC 这类落入行政权核心的机构作出判断，并保留了若干特殊问题。欧委会执行决定（EU）2023/1795 在欧委会撤回或欧盟法院撤销前仍然有效。
因此，较稳妥的结论是：DPF 的独立监督基础出现新的重大不确定性。这个不确定性不会让数据传输在判决当天自动违法，却足以成为欧委会持续审查、监管机构问询、企业更新传输影响评估和未来欧盟法院诉讼的重要材料。
十一、实务提示：企业应更新美国传输评估
企业层面的影响不属于判决事实，也不属于 noyb 推论本身。它是建立在前两层材料上的合规应用。
目前，DPF 仍然形式有效。依赖 DPF 向美国认证企业传输数据的企业，短期内仍有现行充分性决定作为依据。但合规文件不宜继续停留在“供应商已 DPF 认证，因此风险已经解决”的旧表述。更合适的做法，是把 Trump v. Slaughter 作为新的法律环境变化记录下来，说明企业已经复核 FTC 独立性争议对 DPF 监督基础的影响，并设置后续观察节点。
依赖 SCC 或 BCR 的企业，尤其是现有 TIA 中曾经引用 14086 号行政命令、DPRC、PCLOB、FTC 等美国监督和救济机制作为风险缓释理由的，应当重新评估现有 TIA 是否需要更新。 Schrems II 之后，SCC/BCR 的可用性不仅取决于合同文本，还取决于第三国法律环境和补充措施。美国最高法院判决对监督和救济机制的独立性提出新问题，既有 TIA、供应商问卷和传输记录不宜原样沿用。
更新重点可以放在几个具体位置：当前传输依据；美国数据进口方是否受 FTC 或交通部管辖；数据是否可能受到美国公共机关访问；补充措施是否仍然充分，例如加密、密钥控制、访问隔离、数据最小化、欧盟本地托管或可迁移替代方案。对长期依赖美国云服务、AI 服务、广告技术、数据分析和远程运维的场景，还应准备合同和技术上的退出或替代路径。
企业端复核动作：从传输依据到替代路径
结语
Trump v. Slaughter 没有判 EU-US DPF 无效。它处理的是 FTC 委员免职保护在美国宪法下能否成立。
noyb 的价值在于把这项美国宪法判决转化成欧盟法问题：如果 FTC 不能再被理解为相对独立的商业隐私执法者，欧委会还能否继续认定美国提供了基本等同保护。未来的争议，可能不再只围绕美国政府访问欧洲个人数据是否过宽，也会围绕美国监督机制是否足够独立、救济是否足够有效展开。
美国最高法院没有直接拆掉 DPF。它改变了欧盟审查美国制度时必须面对的背景事实。DPF 接下来能否继续站住，要看欧委会和未来的欧盟法院能否说明：在总统控制被进一步强化的美国宪法结构下，欧盟法要求的独立监督和有效救济仍然真实存在。
来源
美国最高法院判决书：U.S. Supreme Court, Trump v. Slaughter , No. 25-332, decided June 29, 2026。用于确认案件事实、程序姿态、多数意见、Gorsuch 协同意见和 Sotomayor 异议意见。
美国最高法院案卷：No. 25-332。用于确认问题呈现、提前受理、撤销并发回等程序信息。
欧盟官方决定：Commission Implementing Decision (EU) 2023/1795。用于确认 EU-US DPF 的 GDPR 第 45 条充分性基础、商务部/FTC/交通部/14086 号行政命令/CLPO/DPRC/PCLOB 等制度结构、持续监测和暂停/修订/撤销机制。
欧盟普通法院 Latombe v Commission 官方新闻稿：Case T-553/23, 3 September 2025。用于确认普通法院驳回 DPF 充分性决定撤销之诉、新闻稿所述 DPRC 独立性保障、欧委会持续监测以及暂停/修订/撤回充分性决定的可能性；该新闻稿为媒体用途文件，非约束性判决文本。
欧盟法基础：TFEU Article 16、Charter Article 8、GDPR Article 45。用于支撑个人数据保护、独立监督以及充分性判断中有效权利、救济和监督机制的分析框架。
Schrems I
/ Schrems II ：用于确认 Safe Harbor 与 Privacy Shield 被推翻的背景，以及美国公共机关访问、必要性和比例性、有效救济等争议脉络。
FTC 官方网页：Data Privacy Framework 页面。用于辅助确认 DPF 自认证、FTC Act 第 5 条执法和 FTC 对 DPF 原则的执法承诺；核心法律锚点仍以 EUR-Lex 决定及其附件为主。
noyb 文章与致欧委会信函：用于呈现 noyb 对 Trump v. Slaughter 的欧盟法推论、撤回 DPF 的主张、对 SCC/BCR/TIA 的影响判断和后续诉讼意图；这些内容均不作为法院或欧委会结论处理。