EU-États-Unis : une nouvelle fragilisation des transferts de données

Va-t-on vers une fin de l’indépendance des agences américaines ? En mars 2025, le président Donald Trump avait révoqué sans motif légal les deux commissaires démocrates de la FTC. L'un d'eux avait obtenu sa réintégration en justice sur le fondement d'un précédent vieux de neuf décennies, Humphrey's Executor v. United States, qui interdisait au président de révoquer les membres des agences indépendantes à sa discrétion.

C'est ce précédent que la Cour suprême a renversé le 29 juin dernier, dans la décision Trump v. Slaughter, en jugeant que la Constitution confie l'intégralité du pouvoir exécutif au président, lequel doit pouvoir révoquer ad nutum les dirigeants de toute autorité exerçant ce pouvoir, FTC comprise.

Dès lors, aucune loi fédérale ne peut désormais rétablir l'indépendance statutaire de la FTC. Ce verrou ne pourra sauter que par un amendement constitutionnel ou un nouveau revirement de jurisprudence, deux hypothèses sur lesquelles aucune entreprise européenne ne peut raisonnablement fonder sa stratégie de conformité.

Un cadre transatlantique privé de son socle

Désormais, l'essentiel des transferts de données personnelles entre l'Union européenne et les États-Unis repose sur le Data Privacy Framework, troisième accord du genre après le Safe Harbor et le Privacy Shield, ces derniers précédemment invalidés par la Cour de justice de l’Union européenne. Ce cadre datant du 7 octobre 2022 repose sur deux piliers : d'une part, la supervision des entreprises américaines par une FTC indépendante, mentionnée 259 fois dans la décision d'adéquation ; d'autre part, des garanties limitant l'accès des agences de renseignement aux données européennes et un mécanisme de recours, la Data Protection Review Court.

Le droit de l'Union européenne exige pourtant, au niveau de ses traités[1], que le contrôle de la protection des données soit confié à une autorité indépendante. Il s'agit d'une condition constitutionnelle que la Commission ne peut écarter et que la Cour de justice a, dans les arrêts Schrems, traduite en un standard d'équivalence substantielle. Après Trump v. Slaughter, aucun des deux piliers ne satisfait désormais cette exigence.

Pour le premier, la FTC est désormais placée sous l'autorité discrétionnaire du président américain. Quant au second, la section 702 FISA a expiré en juin 2026 faute de réautorisation par le Congrès, plongeant le régime de surveillance dans une incertitude, et la Data Protection Review Court, simple organe exécutif créé par un décret présidentiel révocable, n'offre pas le recours indépendant exigé par le droit de l'Union européenne.

Aucune illicéité immédiate mais un précédent à ne pas ignorer

Les entreprises qui transfèrent aujourd'hui des données vers les États-Unis sur le fondement du Data Privacy Framework n'ont pas à craindre une illicéité immédiate : la décision d'adéquation reste en vigueur tant que la Cour de justice de l’Union européenne ne l'a pas invalidée, et un tel recours prend habituellement plusieurs années. Néanmoins, l'expérience des arrêts Schrems I et Schrems II enseigne que l'invalidation, lorsqu'elle survient, prend effet sans période transitoire.

Les entreprises qui s'étaient reposées sur le Privacy Shield l'ont appris à leurs dépens : les contrats cloud ont continué de courir, les services SaaS de fonctionner, les filiales américaines de traiter les données de leurs salariés européens malgré l’absence de base légale pour le faire.

L'angle mort des clauses contractuelles types

Toutefois, le risque le plus immédiat ne pèse peut-être pas tant sur les entreprises qui se fondent sur la décision d'adéquation mais plutôt sur celles qui considèrent les clauses contractuelles types ou les règles d'entreprise contraignantes comme un bouclier suffisamment solide. Depuis l'arrêt Schrems II, ces instruments imposent à l'exportateur de vérifier, par une analyse d'impact actualisée, que le droit du pays destinataire permet au destinataire de respecter les garanties contractuelles. Or ces analyses reposaient sur trois garanties institutionnelles américaines, le contrôle de la FTC, le recours devant la Data Protection Review Court, la supervision du Privacy and Civil Liberties Oversight Board, qui sont désormais toutes trois compromises.

À la différence de la décision d'adéquation, qui reste en vigueur jusqu'à son annulation, les analyses d'impact ne bénéficient d'aucune présomption et doivent être régulièrement mises à jour. Pour l'exportateur, il ne s’agit pas uniquement de prétendre que rien n'a changé mais de documenter qu'il a pris la mesure du changement. Les mesures supplémentaires recommandées par le Comité européen de la protection des données, tel que le chiffrement avec conservation exclusive des clés en Europe ou encore la pseudonymisation robuste, constituent les seuls remèdes efficaces. Leur mise en œuvre se heurte toutefois au modèle des grands cloud américains, qui suppose un accès aux données en clair pour fournir le service.

Construire son bouclier de conformité

Bien que le contexte semble défavorable, nos entreprises peuvent, dès à présent, commencer à constituer un bouclier de conformité en cas de contrôle même si le réalisme opérationnel variera selon leur taille et leurs moyens.

Tout d’abord, une cartographie de l'ensemble des transferts transatlantiques, y compris les sous-traitants de second ou troisième rang, semble indispensable, afin d’identifier pour chaque flux son fondement juridique réel.

En conséquence, les entreprises, dont la conformité des transferts de données vers les Etats-Unis repose exclusivement sur le Data Privacy Framework, ont tout intérêt à mettre en place des clauses contractuelles types en parallèle. Une actualisation des analyses d'impact en prenant en considération la décision Trump v. Slaughter avec une réévaluation des mesures supplémentaires (chiffrement, pseudonymisation) peut également être judicieuse. Les entreprises traitant des données sensibles notamment les données de santé, de défense, financières ou relatives aux mineurs, doivent anticiper une tolérance minimale des autorités de contrôle européennes.

Enfin, il est important de ne pas surestimer les dérogations de l'article 49 du RGPD qui couvrent les transferts occasionnels et nécessaires mais jamais l'externalisation structurelle vers des prestataires américains.

Sur le plan contractuel, la période commande d'interroger les prestataires américains sur leurs offres de traitement localisant leurs serveurs en Europe, en examinant si ces offres neutralisent réellement l'application extraterritoriale du droit américain, notamment du Cloud Act ou se bornent à déplacer les serveurs. Tout contrat cloud en cours de négociation devrait intégrer des clauses de réversibilité, de portabilité et de sortie anticipée en cas d'invalidation du cadre de transfert.

Vers un quatrième cadre ?

Depuis 2000, l'Union Européenne a connu trois cadres de transfert vers les États-Unis, Safe Harbor, Privacy Shield, Data Privacy Framework, qui reposent tous sur des engagements américains selon lesquels le système institutionnel américain n'est structurellement pas en mesure de pérenniser et de garantir en réalité.  Après Trump v. Slaughter, la question n'est plus de savoir si le troisième cadre transatlantique tombera mais si un quatrième, entre l'exigence européenne d'indépendance qui procède des traités et l'interdiction américaine désormais de valeur constitutionnelle, peut survivre. Les entreprises qui traiteront la localisation de leurs données non comme une formalité de conformité mais comme un risque opérationnel permanent disposeront, quelle que soit l'issue du contentieux annoncé, d'une longueur d'avance.

L’exigence de souveraineté européenne voire nationale

La décision Trump v. Slaughter n’est qu’un nouvel épisode, parmi d’autres, dans la guerre de la donnée, notamment personnelle. 

Le réarmement numérique de l’Europe passe par la nécessaire capacité pour toute entreprise ou citoyen de conserver le contrôle de ses données, de ses infrastructures et des choix stratégiques technologiques face à des monopoles privés ou étatiques.

Cette chronique a été rédigée avec le concours d'Amanda Rolin, ancienne étudiante du Master 2 Droit de l’intelligence artificielle de l’Institut Catholique de Paris, en stage au sein du cabinet Alerion

[1] Article 8§3 de la Charte, article 16§2 TFUE