Une saga à rebondissements
Depuis plusieurs années, nous vous tenons informés des rebondissements concernant les transferts de données vers les États-Unis. Après l’invalidation du Safe Harbor (2015) et du Privacy Shield (2020) par la Cour de justice de l’UE (arrêts Schrems I et II), chaque nouveau cadre transatlantique a suscité espoir et incertitude. Le Data Privacy Framework (DPF), adopté en 2023, n’a pas échappé à cette règle, beaucoup craignant qu’il ne soit qu’un « Privacy Shield bis » destiné à être condamné par la jurisprudence.
Le Tribunal rassure… pour l’instant
Le 3 septembre 2025, le Tribunal de l’UE (T-553/23, Latombe/Commission) a confirmé la validité du DPF et rejeté le recours visant à l’annuler. Les critiques portaient sur l’indépendance de la Data Protection Review Court, la surveillance massive par les agences américaines et le manque de garanties en matière de sécurité et de décisions automatisées.
Le Tribunal a rejeté ces arguments : les réformes américaines apportent des garanties réelles, la surveillance est strictement encadrée et l’organe de recours est indépendant. Pour les juges européens, le DPF offre un niveau de protection « substantiellement équivalent » à celui de l’UE.
Ce que cela change pour vous
Cette décision apporte une sécurité juridique bienvenue. Vous pouvez transférer des données personnelles vers des entreprises américaines adhérentes au DPF, sans mesures supplémentaires.
Cela concerne vos usages quotidiens : solutions de cloud, messagerie électronique, ou logiciels de gestion fournis par des prestataires américains. Il reste essentiel de vérifier que vos prestataires figurent sur la liste officielle des entreprises certifiées et de rester vigilant, car la validité du DPF dépend de la mise en œuvre des garanties américaines et de possibles recours futurs. En effet, le Tribunal précise expressément que son analyse porte sur la situation juridique au jour de l’adoption du DPF, ce qui laisse la porte ouverte à de nouveaux recours.
Notre conseil :
Cet arrêt vous donne un souffle d’air, mais il ne faut pas se laisser bercer par une fausse impression de stabilité, d’autant plus que la CJUE a désormais accepté le pourvoi introduit par M. Latombe contre l’arrêt du Tribunal de l’Union. L’affaire est actuellement pendant sous le numéro C-703/25 P. Le débat juridique autour du niveau de protection offert par le DPF est donc loin d’être clos.
Il faut donc toujours veiller à vérifier vos prestataires, documenter vos transferts et mettre en place une stratégie capable de résister aux prochains changements. Des clauses contractuelles types peuvent être conclues pour anticiper tout changement de jurisprudence.
Nous sommes à vos côtés pour sécuriser durablement vos contrats. N’hésitez pas à nous contacter !