Schrems II, le Data Privacy Framework et l'incertitude

Module 1: Pourquoi un cloud européen ? · Temps de lecture : 12 minutes

Objectif pédagogique : Après cette leçon, vous pourrez retracer l'histoire des accords relatifs aux données entre l'UE et les États-Unis, expliquer ce qu'a décidé l'arrêt Schrems II, ce qu'est l'EU-US Data Privacy Framework, et pourquoi le cadre actuel reste incertain.

Notions clés : transfert, décision d'adéquation, Safe Harbor, Schrems I, Privacy Shield, Schrems II, clauses contractuelles types (CCT), transfer impact assessment (TIA), mesures supplémentaires, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, autocertification, Latombe, PCLOB

Transfert : la règle et l'exception

Dans la leçon 1.2, vous avez vu que les données ne peuvent quitter l'Espace économique européen (EEE) que si le pays de destination offre un niveau de protection adéquat, ou si des garanties supplémentaires existent (RGPD, chapitre V). Cette sortie s'appelle un transfert. Un transfert n'est pas seulement l'envoi d'un fichier vers les États-Unis : le fait qu'un technicien du support américain consulte à distance votre environnement européen, ou que vos données se trouvent chez un service américain, peut également constituer un transfert.

La voie la plus simple est une décision d'adéquation (art. 45) : la Commission européenne décide qu'un pays offre un niveau de protection « substantiellement équivalent » à celui de l'UE. De telles décisions existent notamment pour la Suisse, le Royaume-Uni, le Japon et le Canada (pour les organisations commerciales). Pour les États-Unis, l'histoire est plus compliquée : la Commission a été désavouée à deux reprises par la Cour de justice de l'Union européenne (CJUE).

Ceci est une explication, pas un conseil juridique. L'état des lieux présenté dans cette leçon date de novembre 2026.

Pont 1 : Safe Harbor et Schrems I

En 2000, l'UE et les États-Unis ont conclu l'accord Safe Harbor. Les entreprises américaines pouvaient s'inscrire et s'engager à bien protéger les données européennes. La Commission avait émis pour cela une décision d'adéquation.

En 2013, Edward Snowden a révélé comment les services de renseignement américains collectaient à grande échelle des données auprès des entreprises d'internet. Le juriste autrichien Max Schrems a déposé une plainte contre Facebook en Irlande : ses données partaient vers les États-Unis et n'y étaient pas protégées. L'affaire est arrivée devant la Cour de justice de l'Union européenne. Le 6 octobre 2015, la Cour a déclaré invalide la décision Safe Harbor (affaire C-362/14, « Schrems I »). L'essentiel : la Commission n'avait pas vérifié si les autorités américaines respectaient des limites, et les Européens ne disposaient d'aucune véritable protection juridictionnelle.

Pont 2 : Privacy Shield et Schrems II

Dès 2016, un successeur est apparu : l'EU-US Privacy Shield, avec des règles plus strictes et un médiateur auprès du ministère américain des Affaires étrangères. Schrems a de nouveau engagé une procédure.

Le 16 juillet 2020, la Cour a rendu sa décision dans l'affaire C-311/18, « Schrems II ». La Cour a déclaré le Privacy Shield invalide. Les raisons :

• Les programmes de surveillance américains, notamment en vertu de la FISA Section 702 et de l'Executive Order 12333 (leçon 1.3), n'étaient pas limités à ce qui est « strictement nécessaire ».
• Les Européens n'avaient pas d'accès effectif à un juge indépendant ; le médiateur n'était pas suffisamment indépendant et ne pouvait pas prendre de décisions contraignantes.

La Cour s'est également exprimée sur un point important concernant l'alternative, les clauses contractuelles types (CCT, en anglais standard contractual clauses). Il s'agit de contrats types de la Commission signés par l'expéditeur et le destinataire. Ceux-ci sont restés valides, mais : la partie qui transfère les données doit vérifier au cas par cas que le droit du pays destinataire ne compromet pas ces engagements. Si c'est le cas, des mesures supplémentaires sont nécessaires, par exemple un chiffrement dont le destinataire ne détient pas la clé. Si cela n'est pas possible, le transfert doit cesser.

Cette évaluation s'appelle un transfer impact assessment (TIA). Les autorités européennes de protection des données (CEPD) ont publié des recommandations à ce sujet en 2021. De nouvelles clauses contractuelles types sont également entrées en vigueur en 2021 (décision d'exécution (UE) 2021/914).

Pour une petite organisation, c'était compliqué : comment une boulangerie peut-elle évaluer le droit américain du renseignement ? En pratique, beaucoup se sont appuyés sur les contrats et la documentation des grands prestataires.

Pont 3 : l'EU-US Data Privacy Framework

Les États-Unis et l'UE ont de nouveau négocié. Le président Biden a signé le 7 octobre 2022 l'Executive Order 14086. Celui-ci prévoit notamment que les activités de renseignement doivent être « nécessaires et proportionnées », et instaure une procédure de plainte dont la dernière étape est une Data Protection Review Court (DPRC) au sein du ministère américain de la Justice.

Le 10 juillet 2023, la Commission a adopté la décision d'adéquation relative à l'EU-US Data Privacy Framework (DPF). Son fonctionnement :

• Il s'applique uniquement aux organisations américaines qui y ont adhéré (autocertification auprès du ministère américain du Commerce). Le site dataprivacyframework.gov publie la liste. Si une entreprise n'y figure pas, le DPF ne s'applique pas à elle.
• Le respect des règles est contrôlé aux États-Unis, notamment par la Federal Trade Commission (FTC).
• Une évaluation périodique est effectuée par la Commission.

Pour les utilisateurs, le DPF signifie que le transfert vers une entreprise américaine adhérente est de nouveau autorisé sans TIA. C'est pourquoi de nombreux prestataires affirment : « Nous respectons le RGPD. »

Pourquoi le cadre reste incertain

Le DPF existe, mais sur des bases fragiles :

• Un Executive Order n'est pas une loi. Un prochain président peut le modifier ou l'abroger, sans passer par le Congrès.
• Le Tribunal et l'appel. Le parlementaire français Philippe Latombe a demandé au Tribunal de l'Union européenne d'annuler la décision relative au DPF. Le 3 septembre 2025, le Tribunal a rejeté cette demande (affaire T-553/23) : selon le Tribunal, la DPRC était suffisamment indépendante. Latombe a formé un pourvoi devant la Cour de justice de l'Union européenne (affaire C-703/25 P). En novembre 2026, aucune décision n'a encore été rendue. La Cour s'est montrée plus stricte dans Schrems I et II que ne l'a été le Tribunal cette fois.
• Le contrôle aux États-Unis sous pression. En janvier 2025, les membres du Privacy and Civil Liberties Oversight Board (PCLOB) nommés par les Démocrates ont été démis de leurs fonctions ; depuis, cette autorité de contrôle ne dispose plus du quorum et ne peut exercer que de manière limitée ses missions, dont le contrôle de la procédure de plainte. Le 29 juin 2026, la Cour suprême des États-Unis a décidé, dans l'affaire Trump v. Slaughter, que le président peut révoquer les membres de la FTC sans motif. Les juristes soulignent que cela accentue la question de l'indépendance du contrôle, sur laquelle repose le DPF.
• De nouvelles procédures. L'organisation de défense de la vie privée noyb a annoncé envisager une procédure propre. Une telle affaire prend des années.

Si le DPF venait à tomber, ce qui s'est produit en 2015 et en 2020 se reproduirait : les organisations devraient du jour au lendemain revenir aux clauses contractuelles types avec une TIA, ou cesser le transfert. Aucune période de transition n'est prévue dans ce cas.

Qu'est-ce que cela signifie pour vous ?

Pour Bakkerij De Korrel, la question n'est pas « est-ce autorisé actuellement ? », car avec le DPF, cela l'est pour le moment. La question est : « est-ce que je veux dépendre d'un cadre qui a déjà échoué deux fois et qui se trouve pour la troisième fois devant la Cour ? » Un service établi au sein de l'EEE et qui conserve les données dans l'EEE ne dépend pas du DPF. Ce n'est pas une obligation juridique, mais c'est un point de départ plus serein.

En pratique : à quoi cela ressemble-t-il chez un prestataire

Consultez la politique de confidentialité ou le contrat de sous-traitance de votre prestataire cloud actuel pour savoir sur quelle base il transfère des données vers les États-Unis : le DPF, les clauses contractuelles types, ou les deux. Les grands prestataires citent souvent les deux, justement pour parer à une éventuelle chute du DPF. Un prestataire européen sans transfert hors de l'EEE n'a pas besoin de régler ce point ; sa liste de sous-traitants permet de le vérifier (leçon 9.2). Chez WebOké, le contrat de sous-traitance précise que tout transfert hors de l'UE nécessite un accord écrit préalable ; chez d'autres prestataires, vous trouverez généralement une disposition similaire dans un article consacré au « transfert » ou au « transfert international ».

Résumé

• Le transfert hors de l'EEE n'est autorisé qu'avec une décision d'adéquation ou avec des garanties telles que les clauses contractuelles types.
• La Cour a invalidé le Safe Harbor (2015, Schrems I) et le Privacy Shield (2020, Schrems II), principalement en raison de la surveillance américaine et de l'absence de protection juridictionnelle.
• Depuis le 10 juillet 2023, l'EU-US Data Privacy Framework s'applique, uniquement aux entreprises américaines qui y ont adhéré.
• Le DPF repose sur une décision présidentielle et reste contesté : le pourvoi de Latombe (C-703/25 P) est en cours, et le contrôle américain est sous pression.
• Un service qui conserve les données au sein de l'EEE ne dépend pas du DPF.

Quiz

Exercice

Exercice E1.4 : Sur quelle base juridique vos données partent-elles vers les États-Unis ? Recherchez dans la politique de confidentialité ou le contrat de sous-traitance de votre service cloud actuel si des données sont traitées hors de l'EEE, et sur quelle base (DPF, CCT, décision d'adéquation pour un autre pays). Vérifiez sur dataprivacyframework.gov si l'entreprise figure sur la liste. Décrivez ce qui se passerait pour vous si le DPF venait à être annulé.

Pour aller plus loin

Les étapes décrites dans ces articles valent pour les services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• Cour de justice de l'Union européenne, arrêts C-362/14 (Schrems I, 6 octobre 2015) et C-311/18 (Schrems II, 16 juillet 2020), sur curia.europa.eu
• Décision d'exécution (UE) 2023/1795 (décision d'adéquation relative à l'EU-US Data Privacy Framework, 10 juillet 2023), sur EUR-Lex
• Décision d'exécution (UE) 2021/914 (clauses contractuelles types), sur EUR-Lex
• Tribunal de l'Union européenne, affaire T-553/23 (Latombe, 3 septembre 2025) ; pourvoi C-703/25 P
• Liste du Data Privacy Framework : https://www.dataprivacyframework.gov