Transferts vers les États-Unis : le DPF tient, préparez le plan B

Le 29 juin 2026, la Cour suprême des États-Unis (États-Unis · Cour suprême) a jugé, par six voix contre trois, que le président peut révoquer librement les membres de la Commission fédérale du commerce (États-Unis · FTC), selon l’arrêt Trump v. Slaughter. Or la FTC est l’autorité chargée de faire respecter le Data Privacy Framework (DPF), le cadre qui permet depuis juillet 2023 de transférer des données personnelles vers les entreprises américaines certifiées. Le jour même, l’association noyb (Autriche · noyb) a demandé à la Commission européenne d’abroger ce cadre et annoncé un recours.

Juridiquement, rien n’a changé : la décision d’adéquation reste en vigueur, et le Tribunal de l’UE l’a validée en septembre 2025. Mais plusieurs des piliers sur lesquels elle repose ont bougé depuis son adoption. Le DPF est valide aujourd’hui ; c’est sa durée de vie qui est devenue incertaine.

Ce qui est déjà acté

• La décision d’adéquation (UE · Commission européenne) : adoptée le 10 juillet 2023 (décision d’exécution (UE) 2023/1795), elle autorise les transferts vers les organisations américaines inscrites sur la liste officielle du DPF, sans autre formalité.
• L’arrêt Latombe (UE · Tribunal de l’UE) : le 3 septembre 2025 (affaire T-553/23), le Tribunal a rejeté le recours du député français Philippe Latombe. Il juge suffisamment indépendante la Cour de révision de la protection des données (DPRC), qui instruit les plaintes des Européens, et rappelle que la Commission peut « suspendre, modifier ou abroger » sa décision si le droit américain change.
• Le pourvoi (UE · Cour de justice de l’UE) : Philippe Latombe a formé un pourvoi le 31 octobre 2025 (affaire C-703/25 P), limité aux questions de droit.
• La FTC (États-Unis · Cour suprême) : l’arrêt du 29 juin 2026 déclare contraire à la séparation des pouvoirs la protection qui empêchait de révoquer ses membres sans motif.
• Le PCLOB (États-Unis · PCLOB) : l’organe indépendant de contrôle du renseignement n’a plus qu’une membre sur cinq sièges depuis janvier 2025, donc pas de quorum. Sa revue du décret 14086 (25 septembre 2025) et son rapport sur la section 702 (2 avril 2026) sont des rapports des services, non approuvés par un collège.
• Le décret 14086 (États-Unis · Maison-Blanche) : signé le 7 octobre 2022, il fonde les garanties sur le renseignement et le recours devant la DPRC. Au 29 octobre 2026, le Journal officiel fédéral ne mentionne ni abrogation ni modification.
• La section 702 de FISA (États-Unis · Congrès) : la base légale de surveillance visée par l’arrêt Schrems II a expiré le 12 juin 2026, faute de réautorisation. Les certifications en cours restent valables jusqu’à leur terme, au plus un an ; aucune loi ne l’a rétablie au 29 octobre 2026.

Ce qui reste en cours

• Le pourvoi C-703/25 P (UE · Cour de justice de l’UE) : aucun arrêt au 29 octobre 2026. Pour mémoire, les deux cadres précédents ont été annulés par la Cour de justice, en 2015 (Safe Harbor) et en 2020 (Privacy Shield).
• Le recours de noyb (Autriche · noyb) : annoncé le 29 juin 2026 pour les semaines suivantes, en même temps qu’une lettre demandant à la Commission un retrait « ordonné » du cadre. Au 29 octobre 2026, nous n’avons pas trouvé trace de son dépôt.
• La surveillance de la Commission (UE · Commission européenne) : le Tribunal lui impose un suivi continu du droit américain. Le 31 juillet 2026, le comité européen de la protection des données (UE · CEPD) lui a demandé d’évaluer les effets de l’arrêt Slaughter sur sa décision. Au 29 octobre 2026, elle ne l’a ni suspendue ni modifiée.
• Les sièges vacants du PCLOB (États-Unis · PCLOB) : quatre sur cinq, sans nomination annoncée à notre connaissance.

Le vrai enjeu : savoir sur quel pilier le DPF pourrait tomber

Le DPF tient sur deux piliers distincts. Le premier est commercial : la FTC fait respecter les engagements des entreprises certifiées. Le second relève de la sécurité nationale : le décret 14086 limite l’accès des services de renseignement, la DPRC traite les plaintes, le PCLOB contrôle. L’arrêt Slaughter fragilise le premier ; un PCLOB réduit à une membre sur cinq fragilise le second.

La distinction compte pour le plan B. La Commission européenne (UE · Commission européenne) le dit elle-même : les garanties américaines en matière de renseignement s’appliquent à tous les transferts, quel que soit l’outil utilisé. Les analyses d’impact qui justifient aujourd’hui les clauses contractuelles types s’appuient donc sur le même décret 14086. Si le DPF tombe sur le pilier commercial, les clauses types restent un repli solide, car elles ne dépendent pas de la FTC. Si le DPF tombe sur la surveillance, les clauses contractuelles types vacillent avec lui.

Trois points de vigilance

1. Une certification n’est pas un flux. Le DPF couvre une organisation inscrite sur la liste officielle, avec un statut actif et pour les catégories de données qu’elle a déclarées, notamment les données de ressources humaines. Un fournisseur absent de la liste ne couvre rien.

2. Les transferts invisibles. Un éditeur européen peut héberger vos données chez un fournisseur américain, ou faire intervenir un support situé aux États-Unis. Le transfert existe, même si votre contrat est signé en Europe. Il doit figurer dans votre inventaire.

3. L’article 49 n’est pas un plan B. Les dérogations du RGPD, comme le consentement explicite ou l’exécution d’un contrat, s’interprètent strictement. Elles ne couvrent pas l’externalisation durable d’un service informatique.

Ce que les DPO et les acheteurs doivent faire

1. Inventorier les flux vers les États-Unis : destinataire, sous-traitants ultérieurs, données, base juridique (DPF, clauses types, règles d’entreprise contraignantes).
2. Vérifier chaque certification sur la liste officielle du DPF : statut actif, catégories de données couvertes.
3. Signer des clauses contractuelles types en secours (décision (UE) 2021/914) avec les destinataires certifiés, pour basculer sans renégocier.
4. Mettre à jour les analyses d’impact des transferts selon les recommandations 01/2020 (UE · CEPD), en intégrant l’arrêt Slaughter, l’absence de quorum du PCLOB et l’expiration de la section 702.
5. Renforcer les mesures techniques : chiffrement avec des clés détenues dans l’UE, pseudonymisation avant transfert quand l’usage le permet.
6. Préparer un plan de repli : flux relocalisables en Europe, clauses de réversibilité, délai réaliste de bascule.
7. Suivre trois signaux : l’arrêt de la Cour sur le pourvoi, le dépôt effectif du recours de noyb, toute décision de la Commission sur le cadre.

Un transfert bien construit survit à l’annulation de sa base juridique.

La question à poser lundi matin

À votre DPO et à votre DSI : « Si le Data Privacy Framework tombait demain, quels flux s’arrêteraient, et en combien de temps saurions-nous les basculer ? »