Le monde européen de la protection des données a déjà vécu cela. Deux fois, en réalité. À chaque fois, le mécanisme qui permettait aux entreprises de transférer des données personnelles de l'UE vers les États-Unis s'est effondré sous un arrêt de la Cour de justice de l'Union européenne (CJUE) — Safe Harbor dans Schrems I (2015), Privacy Shield dans Schrems II (2020). Le mécanisme actuel, le cadre de protection des données UE-États-Unis (Data Privacy Framework, DPF), adopté en 2023, a été conçu précisément pour survivre à cet historique. Un arrêt de la Cour suprême des États-Unis cet été a rouvert la question de savoir s'il le peut.

Ce qui s'est réellement passé

Le 29 juin 2026, la Cour suprême a jugé, par 6 voix contre 3, dans l'affaire Trump v. Slaughter, que la protection contre la révocation « pour motif valable » des commissaires de la FTC violait la séparation des pouvoirs, annulant ainsi Humphrey's Executor — un précédent vieux de près de 90 ans qui protégeait l'indépendance de l'agence depuis 1935. En pratique, le président peut désormais révoquer les commissaires de la FTC à volonté, et non plus seulement pour un motif documenté.

L'affaire a débuté lorsque l'administration a révoqué la commissaire de la FTC Rebecca Kelly Slaughter en mars 2025 sans invoquer de base légale. Une juridiction inférieure a d'abord jugé la révocation illégale ; la Cour suprême, dans un arrêt rendu par le Chief Justice Roberts, a tranché en faveur de l'administration.

Cela ressemble à une affaire de droit administratif américain sans lien évident avec l'UE. Ce n'est pas le cas. L'indépendance de la FTC est l'une des garanties spécifiques sur lesquelles la Commission européenne s'est appuyée pour approuver la décision d'adéquation du DPF en 2023 — l'instrument juridique qui permet à des milliers d'entreprises de transférer des données personnelles de l'UE vers les États-Unis sans garanties contractuelles supplémentaires. Une analyse juridique de cette décision recense 259 références distinctes à l'indépendance de la FTC comme raison pour laquelle les États-Unis offriraient une protection « essentiellement équivalente » à celle du RGPD.

Pourquoi cela touche précisément le DPF

L'architecture juridique du DPF repose sur l'idée que les organes d'application américains — au premier rang desquels la FTC — sont suffisamment indépendants de la pression politique pour contrôler la manière dont les entreprises américaines traitent les données personnelles des citoyens européens, avec des voies de recours réelles pour ces citoyens en cas d'usage abusif. Une FTC dont les commissaires peuvent être révoqués à volonté par le président constitue, sur le papier, une institution substantiellement différente de celle que la Commission a évaluée en 2023.

L'arrêt n'invalide pas le DPF en lui-même — les décisions d'adéquation ne s'effondrent pas automatiquement. Mais il fournit aux défenseurs de la vie privée un changement factuel concret et documenté sur lequel s'appuyer : un pilier central de la décision d'adéquation de 2023 ne tient plus tel qu'il a été formulé.

La Commission n'a pas mentionné l'indépendance de la FTC en passant, une ou deux fois — elle a intégré 259 références distinctes dans son raisonnement. Ce n'est pas une note de bas de page que les régulateurs peuvent tranquillement réinterpréter ; c'est le fondement.

noyb a déjà réagi

Ce n'est pas une hypothèse que les défenseurs de la vie privée traiteront un jour, plus tard. Dès le 30 juin 2026 — le lendemain de l'arrêt — l'organisation de Max Schrems, noyb, a envoyé une lettre formelle à la Commission européenne exigeant un retrait ordonné de la décision d'adéquation du DPF, qualifiant le cadre de « château de cartes juridique ». noyb a explicitement présenté la contestation à venir comme le « Schrems III », la même organisation à l'origine des deux invalidations précédentes.

C'est un démarrage nettement plus rapide que lors des deux précédents épisodes. Si le schéma se répète, on peut s'attendre à ce qu'une plainte transite d'abord par une autorité nationale de protection des données, probablement renvoyée devant la CJUE dans le cadre d'une question préjudicielle — la même voie qui a produit Schrems I et II.

Le calendrier réaliste

Rien ne va vite ici, même avec noyb déjà à la porte de la Commission. Les commentateurs juridiques qui suivent l'affaire considèrent fin 2026 comme la date la plus précoce plausible pour un arrêt de la CJUE, 2027 étant l'hypothèse de travail la plus probable. Le DPF ne va pas disparaître ce trimestre, ni probablement cette année.

259
Nombre de fois où l'indépendance de la FTC est citée dans la décision d'adéquation du DPF
6–3
Vote de la Cour suprême pour lever la protection des commissaires de la FTC
2023
Année d'adoption du cadre de protection des données UE-États-Unis
2027
Année la plus réaliste pour un arrêt de la CJUE, si l'histoire se répète

Cela dit, « pas ce trimestre » est une mauvaise raison d'attendre. Les deux invalidations précédentes sont arrivées brutalement dès que la CJUE a effectivement statué, et les organisations qui avaient bâti toute leur conformité en matière de transferts autour du mécanisme du moment se sont retrouvées prises de court. La leçon que la mémoire institutionnelle devrait désormais fournir : construisez le plan de repli avant d'en avoir besoin, pas après.

Que faire maintenant

Si vous transférez des données personnelles de l'UE vers les États-Unis dans le cadre du DPF, c'est un moment pour « consolider le plan de repli », pas pour « arracher la tuyauterie ».

  1. Ne renoncez pas à vos clauses contractuelles types (CCT). Si vous superposez déjà des CCT à la certification DPF — l'approche « ceinture et bretelles » que plusieurs autorités de protection des données ont recommandée —, continuez ainsi. Les organisations disposant déjà de CCT subiront une perturbation bien moindre si le DPF est annulé ; celles qui reposent uniquement sur la certification DPF font face à une transition bien plus difficile.
  2. Tenez vos analyses d'impact des transferts (AIT) à jour. Si vous menez des AIT en complément des CCT, considérez cet arrêt comme le signal pour les réviser dès maintenant, plutôt que d'attendre qu'une décision de la CJUE vous y contraigne. Si vous n'avez pas encore de processus d'AIT, c'est la lacune à combler en premier — la même logique qui s'applique à la mise en place d'un processus d'AIPD avant d'en avoir besoin s'applique ici.
  3. Surveillez la première plainte déposée au niveau d'une autorité. Le vrai signal pour accélérer sera une plainte concrète déposée auprès d'une autorité de protection des données de l'UE citant explicitement Trump v. Slaughter. C'est le moment où ce dossier passe de « risque à surveiller » à « procédure judiciaire active ». Compte tenu de la lettre de noyb, cette étape pourrait plausiblement survenir dans les prochains mois.
  4. Ne migrez pas votre infrastructure dans la panique. Rien n'indique que le DPF soit juridiquement mort, et déplacer vos flux de données de manière réactive sur la base d'une seule décision d'un tribunal américain serait prématuré et coûteux. Réparez le plan de repli ; n'arrachez pas encore la voie principale.

Mis en perspective avec tout ce qui bouge par ailleurs dans la protection des données européenne cette année — les obligations haut risque du règlement IA désormais superposées au RGPD, la bataille sur l'Omnibus numérique visant à restreindre la définition des données personnelles, la campagne de contrôle coordonnée du CEPD sur la transparence pour 2026 —, cela s'inscrit dans un schéma plus large : les fondations juridiques qui semblaient acquises sont renégociées simultanément sur plusieurs fronts, depuis Bruxelles comme depuis Washington. Si vous n'êtes pas sûr que le mécanisme de transfert de votre organisation dispose d'un véritable plan de repli, mieux vaut y répondre avant qu'une plainte ne vous y contraigne. Réservez une consultation gratuite avec GDPRGard →

Sources

À lire également :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et de l'AI Act européen font l'objet d'orientations réglementaires continues — vérifiez vos obligations actuelles avec votre conseiller juridique.