Adéquation UE-États-Unis : la Cour suprême américaine fragilise le Data Privacy Framework

Le 29 juin 2026, la Cour suprême des États-Unis a autorisé le président Trump à révoquer les dirigeants des agences fédérales indépendantes, mettant fin à près de 90 ans de jurisprudence protégeant leur autonomie. Le 14 juillet, EDRi et 36 organisations de la société civile ont interpellé la Commission européenne : cette décision fragilise directement l'un des piliers du Data Privacy Framework, l'accord qui encadre les transferts de données personnelles entre l'UE et les États-Unis.

Ce qui s'est passé

Dans l'affaire Trump v. Slaughter, la Cour suprême américaine a validé le pouvoir du président de révoquer à sa discrétion les responsables d'autorités fédérales indépendantes. Cette décision renverse une jurisprudence constitutionnelle vieille de près d'un siècle qui limitait l'ingérence de l'exécutif dans le fonctionnement de ces agences.

Le 14 juillet 2026, EDRi (European Digital Rights) et trente-six autres organisations et universitaires ont adressé un courrier au commissaire européen Michael McGrath, demandant l'ouverture immédiate d'un réexamen public de la décision d'adéquation UE-États-Unis. Ils réclament également une consultation de la société civile et la publication de l'analyse juridique de la Commission sur les conséquences de cet arrêt.

Pourquoi c'est important pour les DPO

Le Data Privacy Framework (DPF), adopté en 2023, permet aux organisations de transférer des données personnelles vers les États-Unis sans clauses contractuelles types ni analyse d'impact supplémentaire, dès lors que l'entreprise destinataire est certifiée. Ce mécanisme repose sur une décision d'adéquation de la Commission européenne, qui constate que le niveau de protection outre-Atlantique est « essentiellement équivalent » à celui garanti par le RGPD.

Or cette équivalence tient en grande partie à l'existence d'autorités de surveillance indépendantes — en l'occurrence, un mécanisme de recours administratif créé par décret présidentiel, le Data Protection Review Court. Si le président peut révoquer librement les responsables des agences fédérales, l'indépendance de ce mécanisme de recours devient, selon EDRi, structurellement fragile.

Le RGPD impose justement à la Commission de maintenir les décisions d'adéquation sous réexamen permanent et de les remettre en cause dès que les conditions juridiques ou institutionnelles qui les fondent évoluent significativement. C'est précisément l'argument mis en avant par les signataires du courrier : un changement de fait doit entraîner un changement d'appréciation.

Ce que ça change pour les organisations

Aucune suspension du DPF n'est actée à ce stade — la Commission n'a pas encore répondu publiquement. Mais l'histoire récente incite à la prudence : le précédent cadre, le Privacy Shield, avait été invalidé par la Cour de justice de l'UE dans l'arrêt Schrems II, précisément pour des raisons similaires de garanties jugées insuffisantes côté américain.

Pour les DPO et RSSI qui s'appuient sur le DPF pour leurs transferts vers les États-Unis, trois réflexes s'imposent : cartographier précisément quels transferts reposent sur la certification DPF plutôt que sur des clauses contractuelles types, documenter dès maintenant un plan de repli (SCC assorties d'une analyse d'impact des transferts, ou solutions d'hébergement européen), et suivre de près la position que prendra la Commission dans les prochaines semaines.

Ce que Leto pense de cette décision

Ce dossier illustre une dynamique que l'on observe de plus en plus souvent : la stabilité juridique d'un mécanisme RGPD dépend d'un contexte politique et institutionnel extérieur à l'Union, sur lequel elle n'a aucune prise directe. Attendre une invalidation judiciaire du DPF avant d'agir serait une erreur : les organisations qui ont vécu la bascule du Privacy Shield vers le DPF connaissent le coût opérationnel d'un transfert non anticipé. Documenter un plan B dès maintenant coûte largement moins cher qu'une remise en conformité dans l'urgence.

Sources : EDRi, « When the facts change, adequacy must be reviewed », The Guardian, couverture de l'arrêt Trump v. Slaughter