L’association autrichienne noyb, fondée par le juriste Max Schrems, a demandé le 30 juin 2026 à la Commission européenne de retirer l’accord qui autorise les transferts de données personnelles vers les États-Unis, après un arrêt de la Cour suprême américaine ayant mis fin à l’indépendance de l’agence chargée d’en surveiller l’application.
La décision remet en cause le socle juridique du Data Privacy Framework, adopté le 10 juillet 2023, sur lequel repose la circulation légale des données de millions d’Européens vers plus de 2 800 entreprises certifiées outre-Atlantique, des services cloud aux plateformes publicitaires.
Un arrêt de la Cour suprême au cœur du litige
Le 29 juin 2026, la Cour suprême des États-Unis a jugé, par six voix contre trois, dans l’affaire Trump v. Slaughter, que les protections statutaires empêchant le président de révoquer librement les commissaires de la Federal Trade Commission (FTC) étaient inconstitutionnelles. L’arrêt renverse le précédent Humphrey’s Executor, en vigueur depuis 1935, qui garantissait l’autonomie des agences de régulation américaines vis-à-vis de l’exécutif.
Or la FTC constitue l’un des piliers du dispositif de surveillance censé, côté américain, offrir aux Européens un niveau de protection jugé équivalent à celui de l’Union. Selon noyb, la décision d’adéquation de la Commission européenne s’appuie sur l’indépendance de la FTC à plus de 250 reprises, un décompte qui atteint 259 mentions dans certaines parties du texte.
La position de noyb
Pour l’association, la disparition de cette indépendance vide l’accord de sa substance. « Étant donné que l’UE s’appuie dans presque tous les cas sur l’indépendance de la FTC comme autorité de contrôle de la vie privée, le fondement du cadre de protection des données UE-États-Unis s’est effondré », a fait valoir noyb dans sa lettre à Bruxelles, selon PPC Land.
Max Schrems a appelé la Commission à tirer les conséquences de la situation. « Puisqu’il n’existe plus d’autorités indépendantes aux États-Unis, nous appelons la Commission européenne à retirer de façon ordonnée la décision d’adéquation sur les États-Unis », a-t-il déclaré, cité par PPC Land. Le juriste, à l’origine de l’invalidation des deux accords précédents, a ajouté que les entreprises européennes devraient s’éloigner du cloud américain, une démarche selon lui difficile mais devenue inévitable, d’après le média Techzine.
Les fondements juridiques invoqués
noyb appuie sa demande sur plusieurs textes fondamentaux du droit européen, qui exigent que le contrôle de la protection des données soit assuré par des autorités indépendantes du pouvoir exécutif.
- L’article 16, paragraphe 2, du traité sur le fonctionnement de l’Union européenne ;
- L’article 8, paragraphe 3, de la Charte des droits fondamentaux ;
- L’article 49 du Règlement général sur la protection des données (RGPD).
L’association estime que l’exigence d’un contrôle indépendant, garantie par ces dispositions, ne peut plus être satisfaite dès lors qu’un commissaire de la FTC peut être démis à tout moment par la Maison-Blanche.
Un cadre encore en vigueur, mais fragilisé
À ce stade, le Data Privacy Framework demeure formellement applicable. La décision d’adéquation reste active tant que la Commission ne l’abroge pas ou que la Cour de justice de l’Union européenne (CJUE) ne l’annule pas, précise Techzine. Les organisations certifiées peuvent donc continuer à s’appuyer dessus pour leurs transferts.
La Commission européenne n’a pas publié de réponse officielle à la lettre de noyb, selon PPC Land. L’association a prévenu qu’elle déposerait un recours en annulation devant la CJUE dans les semaines à venir si Bruxelles ne réagissait pas, une procédure dont l’issue pourrait, d’après le même média, prendre deux à trois ans. Les deux mécanismes précédents encadrant ces transferts, le Safe Harbor puis le Privacy Shield, avaient déjà été invalidés par la CJUE à l’issue de recours portés par le même juriste.
