- Le 3 septembre 2025, le TUE a rejeté le recours de Philippe Latombe contre le cadre de protection des données UE-États-Unis (DPF).
- La Cour a estimé que la Data Protection Review Court (DPRC) était suffisamment indépendante et contraignante, malgré les critiques concernant son ancrage exécutif.
- Le TPICE a estimé que la surveillance de masse n’était pas autorisée de manière générale, que ce soit aux États-Unis ou ailleurs, et que l’ordonnance 14086 et d’autres restrictions suffisaient comme garanties.
- Les décisions individuelles automatisées et les exigences en matière de sécurité des données ont été jugées par le TPICE comme étant suffisamment couvertes par des mécanismes de protection et des mesures techniques spécifiques au secteur.
Le cadre UE-États-Unis pour la protection des données (DPF) permet aux entreprises et aux autorités, depuis son Entrée en vigueur le 10 juillet 2023La loi sur la protection des données prévoit la transmission de données personnelles à des destinataires américains certifiés DPF. En Suisse, le Conseil fédéral a adopté l’équivalent, le CH-US Data Privacy Framework, 15 septembre 2024. mis en vigueur.
Cependant, le DPF a été critiqué dès le départ pour sa faiblesse et le député français Philippe Latombe avait porté plainte contre le DPF devant le TPI. La CJCE a confirmé l’adéquation du DPF, ou plutôt l’absence d’adéquation. Rejet de la plainte de Latombe (Arrêt dans l’affaire T‑553/23(actuellement seulement disponible en français et en portugais).
La décision n’est pas définitive, Latombe peut la contester devant la CJCE dans un délai de deux mois.
Précurseurs : Schrems I & II
Comme on le sait, le DPF est une réglementation qui fait suite aux efforts visant à permettre le transfert économiquement nécessaire de données personnelles de la Terre du Milieu (UE) vers le Mordor (États-Unis) :
- Schrems I – Sphère de sécurité (Safe Harbor)La première tentative de réglementation de ce type a été le Safe Harbor Agreement. La CJCE l’avait 2015 annulée dans l’arrêt Schrems I 2015avec les messages clés suivants :
73 […] Toutefois, comme l’a indiqué l’avocat général […], l’expression “niveau de protection adéquat” doit être comprise comme exigeant que le pays tiers assure effectivement, en vertu de sa législation interne ou de ses obligations internationales, un niveau de protection des libertés et des droits fondamentaux équivalent à celui garanti dans l’Union […]. équivalentes quant au fond est. […]
81 Même si le recours par un pays tiers à un système d’autocertification n’est pas en soi contraire à l’exigence […] qu’un niveau de protection adéquat soit assuré dans le pays tiers concerné “en vertu de sa législation interne ou de ses obligations internationales”, la fiabilité d’un tel système au regard de cette exigence repose essentiellement sur la mise en place de mécanismes de surveillance et de contrôle efficacesLes États membres sont tenus de mettre en place des mécanismes permettant d’identifier et de sanctionner, dans la pratique, les éventuelles violations des règles garantissant la protection des droits fondamentaux, en particulier le droit au respect de la vie privée et le droit à la protection des données à caractère personnel.
87 […], la dérogation prévue au paragraphe 4 de l’annexe I de la décision 2000/520 permet donc, vu d’interférer avec les droits fondamentaux des personnes pour des raisons de sécurité nationale, d’intérêt public ou de législation des États-Unisdont les données à caractère personnel sont ou pourraient être transférées de l’Union vers les États-Unis. Pour déterminer l’existence d’une ingérence dans le droit fondamental au respect de la vie privée, il est indifférent que les informations relatives à la vie privée concernées présentent un caractère sensible ou que les personnes concernées aient pu subir un préjudice du fait de cette ingérence ([…]).
89 Il convient d’ajouter que la décision 2000/520 l’absence de constatation de l’existence d’une protection juridictionnelle effective contre de telles ingérences. Comme l’a indiqué l’avocat général aux points 204 à 206 de ses conclusions, les mécanismes d’arbitrage privé et les procédures devant la Federal Trade Commission, dont les pouvoirs, décrits notamment dans la FAQ 11 de l’annexe II de la décision, sont limités aux litiges commerciaux, portent sur le respect des principes de la “sphère de sécurité” par les entreprises américaines et ne peuvent pas être utilisés dans le cadre de litiges relatifs à la légalité d’ingérences dans des droits fondamentaux résultant de mesures d’origine étatique.
92 En outre, la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige avant tout que les Limiter les exceptions à la protection des données à caractère personnel et ses restrictions au strict nécessaire […].
98 Dès lors, sans qu’il soit nécessaire d’examiner le contenu des principes de la “sphère de sécurité”, il convient de conclure que l’article 1er de la décision 2000/520 est contraire aux exigences énoncées à l’article 25, paragraphe 6, de la directive 95/46, lu à la lumière de la Charte […].
- Schrems II – Bouclier de protection des données (Privacy Shield)La deuxième tentative s’appelait Privacy Shield, un système analogue de transfert aux importateurs américains certifiés. En juillet 2016 entré en vigueurLa Cour de justice des Communautés européennes l’a confirmé en juillet 2020. annulée dans l’arrêt Schrems II:
105 […] L’article 46, paragraphe 1, et l’article 46, paragraphe 2, sous b). c) du RGPD doivent être interprétés en ce sens que les garanties appropriées, les droits exécutoires et les recours effectifs requis par ces dispositions doivent assurer que les droits des personnes dont les données à caractère personnel sont transférées vers un pays tiers sur la base de clauses types de protection des données sont respectés, bénéficient d’un niveau de protection matériellement équivalent à celui garanti dans l’Union par le RGPD à la lumière de la Charte. […].
176 Enfin, pour satisfaire à l’exigence de proportionnalité, qui veut que les exceptions et limitations à la protection des données à caractère personnel soient proportionnées à l’objectif poursuivi, la réglementation en cause, qui contient l’ingérence, doit se limiter au strict nécessaire doivent des règles claires et précises concernant la portée et l’application de la mesure en question prévoir et fixer des exigences minimales afin que les personnes dont les données ont été communiquées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus. Elle doit notamment indiquer dans quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, afin de garantir que l’ingérence est limitée au strict nécessaire. L’exigence de disposer de telles garanties est d’autant plus importante lorsque les données à caractère personnel font l’objet d’un traitement automatisé […].
177 À cet égard, l’article 45, paragraphe 2, sous a), du RGPD dispose que, lorsqu’elle examine le caractère adéquat du niveau de protection offert par un pays tiers, la Commission doit notamment “droits effectifs et exécutoires de la personne concernée” dont les données à caractère personnel sont transmises.
180 […] laisse Section 702 de la FISA n’indique aucunement que l’autorisation de mettre en œuvre des programmes de surveillance qu’il contient à des fins de renseignement extérieur Restrictions n’existent pas. Il n’est pas non plus évident qu’il existe des garanties pour les personnes non américaines potentiellement couvertes par ces programmes. Dans ces circonstances, cette disposition est […]. ne permet pas d’assurer un niveau de protectionLe Conseil de l’Union européenne a adopté une résolution sur le niveau de protection des droits de l’homme dans l’Union européenne, qui est équivalent en substance à celui garanti par la Charte […].
184 Par conséquent, on peut supposer que ni la section 702 de la FISA, ni l’E.O. 12333 en relation avec la PPD-28 satisfont aux exigences minimales prévues par le droit de l’Union en vertu du principe de proportionnalité, de sorte que l’on ne saurait considérer que les programmes de surveillance fondés sur ces dispositions sont limités à ce qui est strictement nécessaire.
194 L’examen de la question de savoir si le mécanisme de médiation évoqué dans la décision DSS permet effectivement de compenser les restrictions au droit à la protection juridictionnelle constatées par la Commission doit, conformément aux exigences découlant de l’article 47 de la Charte et de la jurisprudence rappelée au point 187 du présent arrêt, partir du principe selon lequel les particuliers doivent avoir la possibilité d’introduire un recours devant un tribunal indépendant et impartialLes données à caractère personnel sont traitées conformément aux dispositions de l’article 6, paragraphe 1, de la directive 95/46/CE du Parlement européen et du Conseil du 29 avril 1995 relative à la protection des données à caractère personnel et à la libre circulation de ces données.
197 En conséquence, la décision de la DSS ouvre la voie à une Mécanisme de médiation pas de voie de recours à une institution qui offrirait aux personnes dont les données sont transférées aux États-Unis des garanties équivalentes à celles exigées par l’article 47 de la Charte.
199 Il s’ensuit que l’article 1 de la décision DSS est incompatible avec l’article 45, paragraphe 1, du RGPD, interprété à la lumière des articles 7, 8 et 47 de la Charte, et donc non valide est
Critique du DPF
Dans ce contexte, il n’est guère surprenant que le DPF ait été rapidement attaqué :
- La décision d’adéquation se fondait principalement sur la Ordre exécutif 14086 “Enhancing Safeguards for United States Signals Intelligence Activities”, qui soumettait les mesures de renseignement à certaines restrictions et introduisait une procédure de recours pour les personnes concernées. Ces engagements ont permis à la Commission européenne de vérifier l’adéquation de ce cadre juridique malgré Schrems I et II. constater. Le fait qu’un décret exécutif ne soit pas une loi et puisse donc être facilement annulé, que les activités des services secrets américains ne soient pas suffisamment limitées, par exemple sur la base de la FISA 702, et que la “Data Protection Review Court” (DPRC) créée par le décret exécutif ne soit pas indépendante (mais fasse partie du pouvoir exécutif) ont été particulièrement critiqués.
- Une autre base de la décision d’adéquation était le PCLOB. Le Privacy and Civil Liberties Oversight Board (à ce sujet ici) est chargé de la protection, notamment de la vie privée, dans le domaine de la lutte contre le terrorisme et doit superviser le DPRC. Le site Licenciement des membres démocrates du PCLOB par le président Trump a soulevé la question (également dans le Parlement européen), si le DPF était ainsi privé d’une base.
- Ce qui n’a pas aidé non plus, c’est le fait que l’on ait maintenant évalué Plainte du député français Philippe Latombe peu après l’entrée en vigueur du DPF.
La plupart des entreprises ne se sont donc pas appuyées exclusivement sur le DPF, mais ont conclu en plus les clauses contractuelles types pour les transmissions à des destinataires américains certifiés, avec un effet direct ou conditionné par une suppression du DPF.
Rejet de la plainte Latombe
Le 3 septembre 2025, le Tribunal de l’Union européenne (TUE) a rejeté la plainte de Latombe. La motivation du TUE est en substance la suivante :
Indépendance du DPRC
Latombe avait fait valoir que le DPRC n’était pas un tribunal indépendant et impartial au sens de la Charte. Le TPI est arrivé à la conclusion que le DPRC est suffisamment indépendant, d’autant plus que ses membres sont nommés selon des critères comparables à ceux des juges fédéraux, que les membres ne peuvent pas exercer de fonction exécutive et que les décisions du DPRC sont contraignantes. La surveillance exercée par le PCLOB renforce cette situation. Le fait que le DPRC n’ait pas été créé par une loi n’y change rien. Le TPI n’a toutefois pas abordé la question de la destitution de certains juges par Trump.
Collecte massive de données par les services secrets américains
Selon Latombe, la décision d’adéquation viole également la Charte parce que les services secrets américains peuvent collecter des données personnelles en masse (“bulk collection”) sans autorisation judiciaire. Le TUE se base sur la distinction entre la collecte de données aux Etats-Unis et en dehors de ce pays :
- Aux États-Unis, la collecte de données à des fins de sécurité nationale (y compris pour les données transmises depuis l’UE) ne peut être que ciblée, c’est-à-dire qu’elle se rapporte à une personne, à un compte ou à un autre sélecteur.
- En dehors des États-Unis, les données sont généralement collectées de manière ciblée, mais aussi, dans certains cas, par le biais d’une collecte massive. Cette collecte de masse est soumise à l’OE 14086 et à l’OE 12333, qui la soumettent à des garanties et à des restrictions. Une collecte de masse non réglementée n’est pas autorisée, que ce soit à l’intérieur ou à l’extérieur des Etats-Unis.
La seule question qui se pose est de savoir si une collecte de masse peut être envisagée pour les données qui sont transmises sur la base du DPF. La FISA 702 n’est pas pertinente à cet égard, car elle ne concerne pas une collecte en masse.
En se référant à l’ordonnance 14086, Latombe avait notamment critiqué le fait que l’acquisition ne nécessitait pas l’autorisation préalable d’une autorité judiciaire ou administrative. C’est certes le cas. Mais selon le TPI, Schrems II ne l’exige pas non plus ; un contrôle judiciaire ultérieur est en principe suffisant (comme ici par le DPRC). Même en tenant compte de la jurisprudence de la CJCE et de la CEDH, l’autorisation préalable ne semble pas être la seule garantie. Le droit américain contient, comme nous l’avons mentionné, des restrictions suffisantes à l’obtention massive et prévoit le droit à un recours effectif – cela est suffisant.
Décisions individuelles automatisées et sécurité des données
Enfin, Latombe a critiqué l’absence de garantie explicite que les personnes ne seront pas soumises à des décisions automatisées. L’article 22 du RGPD n’est toutefois pas applicable uniquement lorsqu’une entreprise américaine certifiée collecte directement des données dans l’UE, sans qu’il y ait orientation de l’offre conformément à l’article 3, paragraphe 2, du RGPD. Dans ce cas, il existe des mécanismes de protection sectoriels suffisants (par exemple dans le droit du crédit, du travail, des assurances ou de la santé). – Le TPICE a également vu d’un autre œil l’absence de prescriptions relatives aux mesures de sécurité techniques et organisationnelles.