Передача данных из ЕС в США после решения Верховного суда по FTC: что это значит для данных ваших встреч

Наш консультант по GDPR обратил на это наше внимание в то же утро, когда было вынесено решение. В нём стоит разобраться, а не реагировать сгоряча, и коротко суть проста: решение важно для передачи данных из ЕС в США, но пока ничего не отключилось.

Коротко о главном

Что на самом деле решил Верховный суд

29 июня 2026 года Верховный суд вынес решение по делу Trump v. Slaughter со счётом 6:3. Суд постановил, что президент вправе без объяснения причин отстранить члена Федеральной торговой комиссии Rebecca Slaughter, и тем самым отменил прецедент Humphrey’s Executor 1935 года, который позволял Конгрессу защищать руководителей некоторых ведомств от произвольного увольнения.

Последствия прямые. Комиссары FTC теперь работают, пока этого хочет президент. Ведомство, которое Конгресс задумывал двухпартийным и независимым, с конституционной точки зрения больше не независимо от исполнительной власти.

Почему решение американского суда касается ваших европейских данных

На первый взгляд это дело о полномочиях президента, а не о конфиденциальности. Связь идёт через право ЕС.

Когда ЕС решает, что страна за его пределами достаточно хорошо защищает персональные данные, чтобы получать их без дополнительных гарантий, он принимает «решение об адекватности». Одно из требований: в стране есть независимый орган, контролирующий защиту данных. EU-US Data Privacy Framework, принятый в июле 2023 года, и есть такое решение об адекватности для США, а Европейская комиссия при его принятии 259 раз сослалась на независимость FTC. Та же логика распространяется на Data Protection Review Court и Privacy and Civil Liberties Oversight Board, другие американские органы, которые механизм считает независимыми проверками.

Уберите независимость, и фундамент, на котором строила Комиссия, начинает выглядеть шатким. Как сформулировала организация noyb, рассуждения, на которых держалась вся конструкция, больше не работают.

Что это значит для механизмов, на которые опираются компании

Стоит различать три вещи.

Data Privacy Framework не исчез. Он остаётся юридически действующим, пока Европейская комиссия не отзовёт его или Суд ЕС не признает его недействительным. noyb, организация под руководством Max Schrems, уже попросила Комиссию упорядоченно отозвать его и заявляет, что передаст вопрос в суд. Решение может занять два-три года. Именно этим путём закончились Safe Harbor в 2015 году и Privacy Shield в 2020-м, поэтому третье признание недействительным нужно включать в планы, а не оставлять в сносках.

У стандартных договорных условий есть подвох. SCC — запасной вариант, к которому прибегает большинство компаний, но они работают, только если вы одновременно проводите оценку воздействия передачи данных, показывающую, что страна назначения на практике защищает данные. Теперь эта оценка должна учитывать надзорный орган, который больше не независим.

Carsten Wittmann, консультант по GDPR и соответствию требованиям к ИИ, консультирующий Hedy по вопросам защиты данных, сформулировал проблему прямо:

Без независимой FTC уже нельзя прийти к выводу, что все необходимые критерии соблюдены.

На этом этапе совет взвешенный, а не паникёрский. Обновите оценки воздействия передачи данных уже сейчас, выясните, куда уходят ваши данные, и начните с самой чувствительной обработки, но не отказывайтесь от механизма, который всё ещё действует. После Schrems II ошибкой было ждать до последнего момента, а потом импровизировать.

Позиция Hedy без прикрас

Мы предпочитаем сказать прямо, а не делать вид, что Hedy стоит в стороне от проблемы. Путь через регион США в Hedy использует те же стандартные договорные условия ЕС (модуль 2) и ту же оценку воздействия передачи данных, что и остальная отрасль, и это решение затрагивает его так же, как любой другой. Полная система мер, включая наше DPA, SCC, TIA и технические меры, описана в нашей статье о соответствии GDPR и в Центре доверия.

Hedy отличает не более хитрый договор. Дело в том, что две части работы Hedy вообще не зависят от решения о передаче данных в США.

Две вещи, которые не зависят от решения о передаче данных

Распознавание речи на устройстве. Hedy расшифровывает ваш разговор на вашем телефоне, планшете или компьютере. Аудио, самая чувствительная часть любой встречи, превращается в текст на оборудовании, которое вы контролируете, и никогда не отправляется на сервер для расшифровки. Так это работает на всех платформах, которые поддерживает Hedy. Для этого шага никакой передачи, ни в США, ни куда-либо ещё, не происходит. Как сказал Carsten, «локальная обработка на устройстве возможна всегда». На поддерживаемых устройствах Hedy может пойти дальше: при включённом локальном ИИ анализ тоже выполняется на вашем устройстве, и из разговора вообще ничего никуда не отправляется.

Хранение данных в ЕС и обработка ИИ в ЕС. Когда вы выбираете регион ЕС, данные ваших разговоров хранятся на европейских серверах, а весь анализ ИИ выполняется на инфраструктуре внутри ЕС. Мы можем это гарантировать: для аккаунтов с хранением в ЕС обработка никогда не покидает Европу. Наш основной поставщик вычислений, Inceptron, сам является европейской компанией из шведского Лунда, и наш договор с ним обязывает обрабатывать данные только внутри ЕС. Для надёжности у нас есть резервные мощности у нескольких других поставщиков, которые тоже ведут обработку внутри ЕС, хотя головные офисы этих компаний находятся в США. В любом случае ваши разговоры анализируются в Европе, а не отправляются через Атлантику. Полную картину можно прочитать в нашей статье о хранении данных в ЕС.

Это отвечает на справедливое возражение, которое высказывает Carsten. Первый вопрос: где обрабатываются ваши данные, и для аккаунтов с хранением в ЕС ответ всегда один: в Европе. Второй вопрос: кто эту обработку обеспечивает. Хранение данных в ЕС, полностью организованное американской компанией, снижает риск, но не устраняет его до конца, потому что до американской материнской компании всё равно может дотянуться законодательство США. Европейская компания в роли основного поставщика — самый сильный вариант ответа, а американские поставщики остаются только резервом на территории ЕС.

Две честные оговорки. Несколько служебных сервисов, включая вход в аккаунт, оплату и отчёты об ошибках, по-прежнему работают через инфраструктуру в США для всех, но ни один из них не обрабатывает содержимое ваших разговоров. Исключение составляют письма с резюме сессий: в них есть резюме и заметки ваших сессий, а отправляются они через почтовую инфраструктуру в США, поэтому, если для вас это важно, их можно отключить и читать резюме в приложении. И существующие пользователи региона США остаются там, пока не перейдут сами; европейская схема действует для региона ЕС.

Что компаниям из ЕС делать сейчас

Carsten советует, и это совпадает с мнением большинства специалистов по защите данных, относиться к падению механизма как к сценарию, к которому нужно готовиться, а не как к риску, который, может быть, обойдёт стороной.

1. Составьте перечень передач. Выпишите, какие поставщики хранят персональные данные в США, для чего и на каком правовом основании.
2. Обновите оценки воздействия передачи данных. Отразите тот факт, что надзор в США больше не независим, и задокументируйте свои рассуждения.
3. Начните с чувствительных данных. Сначала данные о здоровье, финансах, сотрудниках и несовершеннолетних.
4. Рассматривайте европейские альтернативы при каждом продлении. Выкидывать всё сегодня не нужно, но каждый новый договор — повод снизить риск.

О том, как оценивать именно сервисы для встреч, рассказывают наш чек-лист GDPR для ИИ-инструментов для встреч и наш сравнительный обзор ИИ-инструментов для встреч, соответствующих GDPR.

Что остаётся неопределённым

Два исхода могли бы изменить картину. Европейская комиссия могла бы трактовать требование «независимого органа» мягче, хотя это было бы неловким отказом от её же стандарта. Или позиция США могла бы со временем измениться. Ни то ни другое в ближайшее время маловероятно, и оба варианта потребуют лет. До тех пор честное описание ситуации — неопределённость, а не решённость, и именно поэтому архитектура, которая вообще обходится без передачи, сейчас стоит больше, чем договор, прикрывающий проблему.

Итог

Решение ничего не отключило, но сдвинуло почву под передачей данных из ЕС в США, и направление движения ясно. Надёжнее всего защищают меры, при которых ваши данные вообще не пересекают Атлантику. В Hedy распознавание речи остаётся на вашем устройстве, а у пользователей региона ЕС и хранение, и обработка ИИ остаются внутри Европы.

Обновитесь до последней версии и выберите регион ЕС при первом запуске или опирайтесь на обработку на устройстве, где бы вы ни находились. Полная документация по соответствию требованиям — в нашем Центре доверия на trust.hedy.ai.

Часто задаваемые вопросы

Делает ли решение Верховного суда передачу данных из ЕС в США незаконной?

Нет. Data Privacy Framework между ЕС и США остаётся юридически действующим, пока Европейская комиссия не отзовёт его или Суд ЕС не признает его недействительным. Решение подрывает правовую основу, на которой строился этот механизм, но за одну ночь ничего не меняется. Компаниям, которые опираются на стандартные договорные условия, стоит обновить оценки воздействия передачи данных (Transfer Impact Assessment) сейчас, а не ждать, пока их к этому вынудит суд.

Умер ли EU-US Data Privacy Framework?

Пока нет. Механизм остаётся в силе. noyb под руководством Max Schrems попросила Европейскую комиссию упорядоченно отозвать его и планирует оспорить его в суде, а это может занять два-три года. Именно так закончились Safe Harbor в 2015 году и Privacy Shield в 2020-м, поэтому третье признание недействительным стоит держать в уме при планировании.

Продолжают ли работать стандартные договорные условия после этого решения?

SCC по-прежнему остаются допустимым механизмом передачи, но они работают, только если ваша оценка воздействия передачи данных показывает, что страна назначения на практике защищает данные. Когда FTC больше не независима, добросовестно провести такую оценку для передач в США труднее. Обновите свои TIA с учётом перемен и начните с чувствительных данных.

Затрагивает ли это решение мои данные в Hedy?

Самые важные части Hedy вообще обходятся без передачи данных в США. Распознавание речи работает на вашем устройстве, поэтому аудио никуда не отправляется для расшифровки. Если вы выбираете регион ЕС, данные ваших разговоров хранятся в Европе, а анализ ИИ выполняется на инфраструктуре внутри ЕС. Путь через регион США использует SCC и оценку воздействия передачи данных, как и большинство сервисов, поэтому он затронут так же, как и вся отрасль.

Что компаниям из ЕС делать прямо сейчас?

Действуйте поэтапно: составьте перечень того, куда уходят ваши данные, обновите оценки воздействия передачи данных, начните с самой чувствительной обработки и при каждом продлении договоров рассматривайте европейские альтернативы. Относитесь к падению этого механизма как к сценарию, к которому нужно готовиться, а не как к маловероятному риску. Те, кто после Schrems II ждал, в итоге импровизировали в цейтноте.