La Cour suprême vient de supprimer l’indépendance de la FTC – et le Data Privacy Framework UE-États-Unis pourrait ne pas y survivre
La structure juridique qui soutient les transferts de données UE-États-Unis vient de subir un choc majeur. Le 29 juin 2026, la Cour suprême des États-Unis a rendu une décision à 6 contre 3 dans l’affaire Trump v. Slaughter, permettant au président de révoquer les commissaires de la FTC à sa guise – supprimant ainsi l’indépendance statutaire dont l’agence bénéficiait depuis 1935. Pour les organisations européennes qui s’appuient sur le Data Privacy Framework UE-États-Unis pour transférer légalement des données personnelles vers des fournisseurs cloud américains, il ne s’agit pas d’un risque de conformité hypothétique. C’est une faille structurelle au cœur même de la décision d’adéquation.
La Commission européenne a adopté le Data Privacy Framework UE-États-Unis en juillet 2023, après des années de négociations suite à l’invalidation du Privacy Shield par Schrems II en 2020. La décision d’adéquation repose sur un principe juridique central : la FTC agit comme une autorité indépendante capable de faire respecter des obligations de protection des données équivalentes au RGPD. Selon l’analyse de NOYB de la décision d’adéquation, la Commission a cité l’indépendance de la FTC 259 fois dans ce document. La Cour suprême vient de rendre cette indépendance inconstitutionnelle.
Max Schrems, l’activiste autrichien dont les recours précédents ont fait tomber Safe Harbor puis Privacy Shield, n’a pas perdu de temps. Le 30 juin, son organisation NOYB a adressé une lettre officielle à la Commission, exigeant un retrait ordonné de la décision d’adéquation DPF et qualifiant le cadre de « château de cartes juridique ». Un recours devant la CJUE – déjà surnommé Schrems III – est attendu dans les prochaines semaines. Si l’on se fie aux deux précédents, la décision d’adéquation ne survivra pas à cette nouvelle attaque.
Les clauses contractuelles types et les Binding Corporate Rules – les mécanismes de secours sur lesquels la plupart des organisations européennes s’appuient réellement – sont également exposés. Les analyses d’impact sur les transferts pour ces mécanismes reposaient systématiquement sur l’existence d’organismes de contrôle indépendants aux États-Unis, dont beaucoup sont désormais révocables par le président. Toute l’architecture juridique des transferts de données UE-États-Unis est sous pression. Les organisations qui n’ont pas encore mené d’analyse formelle des risques sur leurs flux de données UE-États-Unis – en cartographiant chaque transfert, sa base légale et sa dépendance à l’indépendance des autorités américaines – doivent considérer cet inventaire comme la première étape de conformité imposée par cette décision.
Résumé de la situation
La Cour suprême a supprimé l’indépendance de la FTC.
Dans Trump v. Slaughter (29 juin 2026), une majorité de 6 contre 3 a jugé que les protections statutaires contre la révocation des commissaires de la FTC sont inconstitutionnelles, appliquant la théorie de l’« exécutif unitaire » et annulant 90 ans de jurisprudence depuis Humphrey’s Executor v. United States.
Le Data Privacy Framework UE-États-Unis est structurellement compromis.
La Commission européenne a cité l’indépendance de la FTC 259 fois dans sa décision d’adéquation DPF de 2023 – la base juridique permettant aux organisations européennes de transférer librement des données personnelles vers des fournisseurs cloud américains.
Schrems III arrive.
L’organisation de défense de la vie privée NOYB a envoyé une lettre officielle à la Commission européenne le 30 juin pour exiger un retrait ordonné de la décision d’adéquation DPF et a annoncé son intention de déposer un recours devant la CJUE dans les prochaines semaines.
Les clauses contractuelles types et les BCR subissent des dommages collatéraux.
Les analyses d’impact sur les transferts pour les SCC et les Binding Corporate Rules reposaient sur l’existence d’organismes de contrôle indépendants aux États-Unis, désormais soumis à la révocation présidentielle.
La souveraineté des données n’est plus un luxe.
Les organisations qui ont bâti leur stratégie autour de l’adéquation DPF – en stockant les données personnelles européennes chez des hyperscalers américains – s’exposent à un risque juridique que le stockage sur site, dans un cloud privé ou dans un cloud souverain européen élimine totalement. Un cadre de gouvernance des données qui cartographie chaque flux de données personnelles européennes selon sa base de transfert est indispensable pour bien comprendre l’ampleur de l’exposition.
Liste de contrôle RGPD pour la conformité
Pour en savoir plus :
Ce que la décision d’adéquation DPF disait de l’indépendance de la FTC – et pourquoi cela compte aujourd’hui
La décision d’adéquation de juillet 2023 de la Commission était un argumentaire juridique de 100 pages fondé sur une affirmation centrale : les États-Unis offrent un niveau de protection des données « essentiellement équivalent » à celui garanti par le droit européen. L’un des piliers de cette équivalence était l’indépendance de la FTC.
Le RGPD exige que l’application de la protection des données soit assurée par des autorités de contrôle indépendantes, libres de toute influence politique ou du pouvoir exécutif. La FTC, en vertu de la jurisprudence Humphrey’s Executor de 1935, bénéficiait de protections statutaires contre la révocation, protégeant ainsi les commissaires contre toute ingérence présidentielle. La Commission a cité cette indépendance à de nombreuses reprises – 259 fois – pour justifier la décision d’adéquation.
Ce fondement n’existe plus. Trump v. Slaughter applique la théorie de l’« exécutif unitaire » et considère que le Congrès ne peut pas protéger les dirigeants d’agences indépendantes contre la révocation présidentielle. L’application par la FTC des obligations de confidentialité commerciale du DPF peut désormais être dirigée, restreinte ou même annulée selon la volonté de l’exécutif. L’exigence du droit européen d’une supervision réellement indépendante de la protection des données n’est, en pratique, plus satisfaite.
Le Comité européen de la protection des données avait déjà émis des réserves sur le DPF dans ses avis consultatifs, soulignant que les exigences structurelles d’indépendance n’étaient pas pleinement respectées. Ces inquiétudes se révèlent aujourd’hui fondées. Un recours devant la CJUE contre la décision du Tribunal de septembre 2025 validant le DPF (affaire C-703/25 P) était déjà en cours. Schrems III viendra renforcer ce recours avec des arguments factuels encore plus solides. Les procédures de ce type devant la CJUE durent généralement deux à trois ans, mais le risque de conformité ne patientera pas jusqu’au verdict final. Les organisations soumises aux exigences de conformité RGPD et NIS2 font face à des obligations de supply chain et de gouvernance des données directement impactées par l’incertitude autour du DPF.
Le risque lié aux SCC et BCR dont personne ne parle
La plupart des commentaires sur Trump v. Slaughter se concentrent sur les organisations officiellement inscrites au DPF. L’exposition est en réalité bien plus large. Les clauses contractuelles types sont le mécanisme que la majorité des organisations européennes utilisent pour les transferts de données vers les États-Unis – et elles ne sont pas protégées de cette décision.
Les SCC ne garantissent pas une protection automatique. Depuis Schrems II, les organisations qui s’appuient sur les SCC doivent réaliser une analyse d’impact sur les transferts (TIA) pour évaluer si le pays de destination, ici les États-Unis, offre effectivement une protection adéquate des données. Ces TIA reposaient systématiquement sur une hypothèse factuelle : des agences américaines indépendantes, dont la FTC, assurent un contrôle effectif du respect des obligations de confidentialité, sans interférence de l’exécutif. Cette hypothèse n’est plus valable.
Le cadre TIA élaboré par le Comité européen de la protection des données demande explicitement aux organisations d’évaluer l’indépendance des mécanismes de contrôle dans le pays de destination. Une réponse honnête à cette question, après Trump v. Slaughter, diffère radicalement de ce qui figurait dans les documents de 2023.
Les autorités de contrôle ont approuvé les Binding Corporate Rules sur la base du fait que les maisons mères américaines étaient soumises à des obligations juridiques appliquées de manière indépendante – une hypothèse désormais remise en cause par la Cour suprême. Cela ne signifie pas que les transferts de données UE-États-Unis doivent cesser immédiatement. La décision d’adéquation DPF reste en vigueur jusqu’à son abrogation par la Commission ou son annulation par la CJUE, et les SCC restent techniquement disponibles. Mais les équipes conformité des données qui ne réexaminent pas leurs analyses d’impact sur les transferts prennent un risque. Les TIA défendables en 2023 pourraient ne plus tenir face à un examen approfondi aujourd’hui. Une violation de données ou une enquête réglementaire révélant une TIA juridiquement insuffisante après Trump v. Slaughter serait difficile à défendre – la décision est désormais publique, et les autorités de contrôle vérifieront si les organisations ont actualisé leur analyse TIA en conséquence.
Comment va se dérouler le recours Schrems III
La lettre de NOYB du 30 juin exige deux choses : un retrait ordonné de la décision d’adéquation DPF par la Commission, et une reconnaissance publique de l’effondrement de sa base juridique. La réponse de la Commission – refusant de commenter en attendant une analyse interne – s’inscrit dans la lignée des précédents recours.
La Commission tiendra le plus longtemps possible. Les flux de données transatlantiques représentent plus de 877 milliards d’euros, et la Commission n’a aucune volonté politique de couper le lien unilatéralement. Elle attendra que la CJUE tranche. NOYB déposera son recours dans les prochaines semaines, ciblant directement la décision d’adéquation sur la question de l’indépendance de la FTC.
Schrems I (2015) a invalidé Safe Harbor après avoir constaté que le droit américain ne garantissait pas un contrôle indépendant et proportionné. Schrems II (2020) a invalidé Privacy Shield en raison des surveillances prévues par la section 702 du FISA, jugées disproportionnées et dépourvues de contrôle judiciaire indépendant. Schrems III avancera que les mécanismes de contrôle du DPF ne répondent plus aux exigences d’indépendance européenne après Trump v. Slaughter. Le raisonnement de la Cour dans les deux affaires précédentes s’applique directement à la situation créée par cette décision – l’argumentaire est presque tout prêt.
Un calendrier de deux à trois ans devant la CJUE signifie une longue période d’incertitude juridique – pas d’interdiction immédiate des transferts, mais un risque de conformité qui s’accroît au fil de la procédure. Les organisations avec des flux de données UE-États-Unis importants doivent dès maintenant anticiper un scénario où la décision d’adéquation serait annulée sans solution de remplacement immédiate. Les architectures de résidence des données et de souveraineté des données qui éliminent toute dépendance aux transferts transfrontaliers sont la seule solution structurelle à ce scénario. Les organisations doivent également évaluer si leur gestion des clés de chiffrement – en particulier si les données personnelles européennes sont chiffrées avec des clés inaccessibles aux fournisseurs cloud américains – constitue un contrôle supplémentaire pertinent pour la TIA durant cette période d’incertitude.
La souveraineté des données comme architecture de gestion des risques – et non plus simple préférence de conformité
Pendant des années, la conformité souveraineté des données était considérée comme un avantage réservé aux organisations sensibles ou soumises à des obligations de défense, tandis que la plupart des entreprises se contentaient des décisions d’adéquation et des SCC. Trump v. Slaughter change la donne.
Les organisations qui dépendent des hyperscalers américains – AWS, Azure, GCP – pour stocker et traiter des données personnelles européennes font face à un risque structurel qu’aucune mise à jour contractuelle ou politique de confidentialité ne peut compenser. Le mécanisme juridique autorisant le transfert peut être invalidé par une décision de justice indépendante de leur volonté, à un moment impossible à anticiper. Dans ce cas, elles devront soit interrompre leurs flux de données, soit migrer en urgence vers une infrastructure européenne. Aucun de ces scénarios n’est gérable sans préparation.
La solution consiste à ne plus dépendre du mécanisme d’adéquation. La localisation des données – stockage et traitement des données personnelles européennes dans la juridiction de l’UE – élimine la question du transfert transfrontalier. Les données qui ne quittent jamais l’UE n’ont pas besoin de base légale de transfert au titre du RGPD, puisqu’il n’y a pas de transfert transfrontalier à autoriser. En appliquant la minimisation des données en parallèle – ne conserver que les données strictement nécessaires à chaque finalité, avec des durées de conservation définies – on réduit le volume de données à localiser et la surface réglementaire associée.
Kiteworks secure data exchange peut être déployé sur site, dans un cloud privé sous juridiction européenne ou dans une infrastructure cloud souveraine de l’UE – offrant ainsi aux organisations un contrôle total sur le stockage et le traitement de leur contenu sensible. Pour les organisations européennes traitant des données personnelles sous RGPD, la validité de la décision d’adéquation DPF devient tout simplement hors sujet pour leur conformité. Elles ont supprimé la dépendance.
L’architecture zero trust de Kiteworks garantit que, même lorsque des contenus sensibles circulent entre organisations ou à travers les frontières, l’accès est régi par des contrôles granulaires et des politiques d’accès qui répondent aux exigences de conformité RGPD indépendamment de tout cadre d’adéquation UE-États-Unis. Chaque transfert de fichier, pièce jointe d’e-mail ou échange via API est consigné dans une traçabilité infalsifiable – le type de preuve de responsabilité que les régulateurs exigent lorsque les cadres d’adéquation sont contestés.
Ce que les organisations européennes doivent faire dès maintenant
La période qui s’ouvre avant la décision finale de la CJUE n’est pas un délai de grâce. C’est une fenêtre de gestion des risques. Les organisations qui profiteront de ce temps pour réduire leur dépendance au traitement de données aux États-Unis seront dans une position bien plus solide que celles qui attendront l’annulation officielle pour agir.
Commencez par un audit protection des données : inventaire complet des flux de données personnelles européennes vers des sous-traitants américains, avec analyse du mécanisme légal de transfert pour chacun. Les organisations qui s’appuient sur l’adéquation DPF doivent dès maintenant évaluer les options de repli SCC, avec des TIA actualisées tenant compte de la nouvelle donne post-Trump v. Slaughter. Celles qui utilisent déjà les SCC doivent réexaminer leurs TIA existantes et documenter leur analyse actualisée de l’indépendance des autorités américaines.
À plus long terme, la décision est architecturale. Si vous stockez des données personnelles européennes chez un hyperscaler américain, vous pouvez accepter l’incertitude juridique et anticiper une interruption, ou migrer vers une infrastructure de données résidente dans l’UE et éliminer la question. Cette migration prend du temps – mieux vaut la lancer dès maintenant que de devoir agir dans l’urgence.
La conformité RGPD a toujours exigé une base légale pour chaque catégorie de traitement de données personnelles. Les transferts transfrontaliers vers les États-Unis reposaient sur l’adéquation DPF depuis trois ans. La réponse prudente à ce qui vient de se passer consiste à documenter le risque, à informer votre DPO, à mettre à jour votre DPIA pour les traitements concernés et à entamer la migration. Les organisations soumises à DORA doivent également signaler le changement d’indépendance de la FTC comme une évolution majeure dans toute évaluation des risques tiers TIC qui citait l’application civile américaine comme mesure d’atténuation.
Un autre enjeu : les obligations de la directive NIS 2. Les opérateurs d’entités essentielles et importantes font face à des exigences strictes de gestion des risques supply chain. Un fournisseur cloud américain dont l’application de la protection des données n’est plus indépendante du pouvoir exécutif représente désormais un risque supply chain que les analyses NIS2 doivent intégrer. La gestion des risques supply chain pour les organisations régulées de l’UE devient nettement plus complexe.
Pour en savoir plus sur la construction d’une architecture de données indépendante de la validité des cadres d’adéquation UE-États-Unis, réservez votre démo personnalisée dès maintenant.
Foire aux questions
Dans Trump v. Slaughter (29 juin 2026), la Cour suprême des États-Unis a jugé à 6 contre 3 que les protections statutaires contre la révocation des commissaires de la FTC sont inconstitutionnelles. En appliquant la théorie de l’« exécutif unitaire », la Cour a annulé la jurisprudence Humphrey’s Executor de 1935 et statué que le président peut révoquer à tout moment les dirigeants d’agences indépendantes. Pour le droit protection des données européen, cela compte car la loi exige que l’application de la protection des données soit assurée par des autorités indépendantes du pouvoir exécutif. La FTC était le principal organisme américain cité dans la décision d’adéquation DPF – 259 fois – et cette indépendance a disparu. Le fondement factuel de la décision d’adéquation ne tient plus. Les organisations doivent considérer que cette décision déclenche l’obligation de mettre à jour leur documentation de conformité réglementaire – en particulier les TIA et DPIA qui citaient l’indépendance de la FTC comme facteur d’atténuation du risque de transfert vers les États-Unis.
Oui – à la date de rédaction, la décision d’adéquation DPF reste formellement en vigueur. La Commission ne l’a pas abrogée et aucun jugement de la CJUE ne l’a annulée. NOYB a exigé un retrait ordonné, mais la Commission n’a pas agi immédiatement. Schrems III est attendu dans les prochaines semaines, et la procédure dure généralement deux à trois ans. Les organisations certifiées DPF peuvent techniquement continuer à s’y référer, mais considérer ce cadre comme acquis serait une erreur. Il faut revoir sa posture conformité des données et préparer des plans de contingence en cas d’invalidation. Le Réseau de données privé Kiteworks, déployé dans la juridiction européenne, élimine totalement la dépendance au DPF – les données personnelles européennes qui ne traversent jamais l’Atlantique n’ont besoin ni de décision d’adéquation ni de TIA.
Très probablement, au moins en partie. Les SCC exigent des analyses d’impact sur les transferts (TIA) pour évaluer si les États-Unis offrent effectivement une protection adéquate, notamment via des mécanismes de contrôle indépendants. Trump v. Slaughter modifie le contexte factuel sur lequel reposaient ces TIA. Réexaminez vos TIA, actualisez l’analyse de l’indépendance des autorités américaines et consultez votre DPO pour vérifier si vos conclusions restent défendables. Les Binding Corporate Rules doivent aussi être réévaluées. Des mesures techniques comme les clés de chiffrement contrôlées par le client renforcent les conclusions des TIA en démontrant des contrôles alignés RGPD, indépendants des conditions américaines. Vérifiez aussi que chaque flux de données couvert par des SCC dispose d’une TIA à jour et documentée – une enquête d’autorité après une invalidation se concentrera sur la mise à jour des analyses après Trump v. Slaughter.
Schrems I (2015) a invalidé Safe Harbor car la surveillance américaine donnait aux autorités un accès quasi illimité aux données personnelles européennes. Schrems II (2020) a invalidé Privacy Shield en raison de la surveillance FISA Section 702, jugée disproportionnée et sans contrôle judiciaire indépendant. Schrems III vise le DPF sur le fondement que son mécanisme de contrôle par la FTC n’est plus indépendant après Trump v. Slaughter. Les précédents portaient surtout sur l’accès à la surveillance ; Schrems III porte sur l’indépendance du contrôle. Le raisonnement de la CJUE dans les deux affaires précédentes s’applique directement ici. Les organisations doivent revoir leur stratégie de souveraineté des données en fonction de la trajectoire de Schrems III, pas seulement du calendrier. Celles qui auront anticipé une infrastructure de données résidente dans l’UE avant la décision n’auront aucune interruption opérationnelle ; celles qui attendront devront migrer en urgence. Une mise à jour DPIA qui modélise l’invalidation Schrems III comme un risque à court terme – et non comme un événement hypothétique – fournit aux conseils d’administration et DPO la base factuelle pour accélérer la migration.
Kiteworks secure data exchange peut être déployé sur site ou dans une infrastructure cloud privée sous juridiction européenne, ce qui garantit que les données personnelles européennes ne traversent jamais l’Atlantique et que la question du cadre d’adéquation ne se pose pas. Pour les organisations qui ne peuvent pas migrer immédiatement hors des environnements américains, Kiteworks propose des fonctions de conformité souveraineté des données, un reporting d’audit complet et des contrôles d’accès zero trust qui renforcent les conclusions des analyses d’impact sur les transferts et démontrent une gouvernance des données alignée sur le RGPD. Kiteworks prend aussi en charge les exigences de conformité NIS2 et DORA auxquelles sont soumises les organisations régulées de l’UE en plus du RGPD. Pour les secteurs régulés – services financiers sous DORA, entités essentielles sous NIS2, santé sous réglementation sectorielle – la combinaison du déploiement résident UE et de la traçabilité unifiée de Kiteworks sur tous les canaux de contenu offre aux équipes conformité le niveau de gouvernance attendu par les autorités de contrôle lors de la contestation des cadres d’adéquation.
Ressources complémentaires
- Article de blog La guerre d’influence sur vos données : comment les lois CLOUD et SHIELD opposent sécurité et vie privée
- Article de blog Sécurisez vos données sensibles en alignant le DSPM sur vos objectifs de conformité
- Brief Top 3 des violations FERPA et comment les éviter
- Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
- Article de blog Besoin de conformité NIS2 ? Commencez par ISO 27001