Le Comité européen de la protection des données (CEPD) a écrit le 31 juillet 2026 à la Commission européenne pour lui demander de « réexaminer de près » la solidité de l’accord qui autorise les transferts de données personnelles des Européens vers les États-Unis, après un arrêt de la Cour suprême américaine fragilisant l’indépendance du régulateur fédéral outre-Atlantique.
La démarche vise le Data Privacy Framework (DPF), pilier juridique sur lequel reposent des dizaines de milliers de flux de données transatlantiques, des services cloud aux réseaux sociaux. Il est fragilisé par un arrêt du 29 juin 2026 qui permet désormais à la présidence américaine de révoquer les commissaires de la Federal Trade Commission (FTC) sans motif, alors que l’indépendance de cette agence figure parmi les garanties invoquées par Bruxelles en 2023 pour juger la protection américaine « adéquate ».
Ce que reproche le CEPD
Dans son courrier adressé au commissaire à la Justice Michael McGrath, le CEPD demande à la Commission d’évaluer précisément l’impact de la décision judiciaire américaine sur la capacité de la FTC à faire respecter les engagements du DPF. L’autorité européenne ne réclame pas la suspension immédiate de l’accord, mais un examen de sa validité au regard du droit de l’Union.
Sa présidente, Anu Talus, a rappelé un principe cardinal du droit européen. « L’existence et le fonctionnement effectif d’une ou plusieurs autorités de contrôle indépendantes dans le pays tiers, chargées de veiller au respect des règles de protection des données et de les faire appliquer, constituent l’un des éléments clés à prendre en compte pour apprécier le caractère adéquat du niveau de protection dans un pays tiers », a-t-elle écrit.
Un arrêt qui rebat les cartes
La décision Trump v. Slaughter concerne la commissaire de la FTC Rebecca Kelly Slaughter, écartée par la Maison-Blanche au motif que son action était jugée « incompatible avec les priorités de l’administration ». En validant ce renvoi, la Cour suprême a écarté un précédent de 1935, Humphrey’s Executor, qui protégeait les commissaires d’agences indépendantes contre une révocation discrétionnaire.
Or le DPF cite explicitement l’indépendance de la FTC et prévoyait qu’un président ne pouvait démettre un commissaire que pour « inefficacité, manquement à ses devoirs ou faute dans l’exercice de ses fonctions ». La nouvelle jurisprudence contredit frontalement cet engagement, ce qui prive potentiellement Bruxelles de l’un des étais de son raisonnement de 2023.
Des transferts toujours licites, pour l’instant
À ce stade, l’accord reste en vigueur. Aucune juridiction ne l’a annulé et les organisations certifiées peuvent continuer de recevoir légalement des données personnelles en provenance de l’Union. Le courrier du CEPD ne produit aucun effet contraignant, et il appartient à la Commission de décider s’il convient d’ouvrir une procédure de réexamen, voire de suspendre l’adéquation.
Plusieurs juristes appellent d’ailleurs à la prudence. Dans une analyse publiée par l’IAPP, des spécialistes soulignent que l’arrêt Trump v. Slaughter ne démantèle pas à lui seul le mécanisme de recours ouvert aux Européens, distinct du fonctionnement quotidien de la FTC. La question porterait donc moins sur une rupture immédiate que sur l’érosion progressive d’une garantie structurelle.
Une épée de Damoclès pour les entreprises
L’incertitude ravive le souvenir des invalidations successives du Safe Harbor puis du Privacy Shield par la Cour de justice de l’Union européenne, en 2015 et 2020, à la suite des recours portés par le militant autrichien Max Schrems. Chaque annulation avait contraint les entreprises à revoir en urgence leurs contrats et leurs architectures de traitement.
Une éventuelle remise en cause du DPF obligerait de nombreux acteurs à se rabattre sur les clauses contractuelles types et sur des analyses d’impact des transferts, des mécanismes plus lourds et juridiquement plus fragiles. Les autorités nationales, dont la CNIL en France, se retrouveraient en première ligne pour instruire d’éventuelles plaintes. Pour l’heure, la balle est dans le camp de la Commission, qui n’a pas indiqué de calendrier de réponse.
