Schrems II

Schrems II é a forma abreviada da decisão do Tribunal de Justiça da União Europeia C-311/18, proferida em 16 de julho de 2020. A decisão invalidou o regime Privacy Shield UE-EUA que até então regia os fluxos de dados transatlânticos e impôs um conjunto de obrigações muito mais rígido a qualquer operador da UE que transfira dados pessoais para os Estados Unidos.

Para veículos de notícias que mantêm comentários de leitores baseados na UE em plataformas sediadas nos EUA, Schrems II é a dor de cabeça jurídica que reabriu a discussão sobre fornecedores de comentários em 2020-2022.

O que mudou

Antes de Schrems II, uma editora da UE que usasse um sistema de comentários hospedado nos EUA (Disqus, OpenWeb, Coral) podia se apoiar no Privacy Shield como um mecanismo de autocertificação. O TJUE disse : não é suficiente. Especificamente :

• O Privacy Shield foi invalidado imediatamente. Os operadores que dependiam dele tiveram que encontrar outra base legal.
• As Cláusulas Contratuais Padrão (SCCs) continuam sendo uma base possível, mas exigem uma avaliação caso a caso sobre se o país de destino (os EUA) de fato oferece proteção equivalente à da UE.
• A avaliação caso a caso é responsabilidade da editora, incluindo a análise das leis de vigilância dos EUA (FISA 702, EO 12333) que podem obrigar o fornecedor americano a divulgar dados da UE.

Na prática, isso significa : se você mantém comentários em um sistema hospedado nos EUA e seu DPO faz seu trabalho, há uma trilha documental de avaliações de risco a ser mantida, com responsabilidade não trivial caso a avaliação esteja errada.

A situação em 2026

Um novo Data Privacy Framework UE-EUA (substituindo o Privacy Shield) foi adotado em 2023. Ele está em vigor, mas é objeto de litígio ativo, com uma provável decisão “Schrems III” prevista para contestá-lo.

Para editoras que querem uma resposta estável que não dependa do próximo caso do TJUE, o caminho mais simples é hospedar os comentários dentro da UE com um fornecedor controlado pela UE. Isso elimina toda a questão da transferência transfronteiriça, das avaliações de SCC e da exposição à vigilância dos EUA.

Por que isso importa na escolha do fornecedor

Esta é uma das diferenças mais concretas entre a Logora e as plataformas de comentários dos EUA :

• Logora, apenas UE (OVH, França). Sem transferência de dados transatlântica. Schrems II não se aplica.
• Disqus / Viafoura / OpenWeb, com sede ou hospedagem nos EUA. Schrems II se aplica. Avaliação de SCC necessária.
• Coral (Vox), código aberto. A residência dos dados é onde quer que você escolha hospedar. Se você hospedar na UE, Schrems II fica sem efeito.

Conceitos relacionados

• RGPD, o regime dentro do qual Schrems II opera
• Data Processing Agreement, Artigo 28 do RGPD
• Dados próprios (first-party data)

Veja a comparação Logora vs Disqus para entender como Schrems II aparece na seleção de fornecedores.