Introduction
Le 3 septembre 2025, le Tribunal de l’Union européenne a rendu une décision très attendue : il a rejeté le recours introduit par l’eurodéputé Philippe Latombe contre la décision d’adéquation de la Commission européenne relative au EU-US Data Privacy Framework (DPF).
Cette décision confirme que, au moment de son adoption, le nouveau cadre transatlantique assurait un niveau de protection adéquat pour les données personnelles transférées vers les États-Unis. Pour les entreprises, cela signifie un répit bienvenu dans la longue saga des « Safe Harbor », « Privacy Shield » et « Schrems II ».
Quel était l’objet du litige ?
Philippe Latombe contestait deux aspects essentiels du nouveau cadre :
-
L’indépendance du nouveau tribunal de recours américain, le Data Protection Review Court (DPRC). Selon lui, ce mécanisme ne garantissait pas une protection équivalente à celle exigée par l’article 47 de la Charte des droits fondamentaux de l’UE.
-
La légalité des collectes massives effectuées par les services de renseignement américains, qu’il estimait contraires aux principes de nécessité et de proportionnalité.
Ce qu’a décidé le Tribunal ?
Le Tribunal a balayé ces critiques et confirmé la validité du EU-US Data Privacy Framework :
-
Indépendance du DPRC : ses juges bénéficient de garanties statutaires et sont protégés contre toute influence extérieure. L’ingérence injustifiée des autorités américaines est explicitement interdite.
-
Collectes de données : la jurisprudence Schrems II (CJUE, 16 juillet 2020) n’exige pas une autorisation préalable pour chaque collecte, mais une surveillance a posteriori par un organe indépendant. Le DPRC remplit cette fonction.
-
Contrôle dynamique : la Commission européenne surveille de manière continue l’évolution du cadre et peut le suspendre ou l’adapter en cas de défaillance des garanties américaines.
Conséquences pour les entreprises
Concrètement, le jugement sécurise les transferts de données personnelles vers les États-Unis, mais sous conditions :
-
Les données peuvent être transférées sans garanties supplémentaires aux organisations américaines certifiées dans le cadre du EU-US DPF.
-
Pour tout autre destinataire américain, les entreprises européennes doivent recourir à des instruments de transfert appropriés (par ex. clauses contractuelles types – CCT, art. 46 RGPD).
-
La vigilance reste de mise : un changement du droit américain pourrait amener la Commission à revoir ou suspendre la décision d’adéquation.
Un débat loin d’être clos
Même si le Tribunal a écarté le recours Latombe, la partie n’est pas définitivement terminée. Un pourvoi devant la Cour de justice de l’Union européenne (CJUE) peut encore être formé dans un délai de deux mois et dix jours.
Un hypothétique « Schrems III » n’est donc pas totalement exclu – mais pour l’instant, le EU-US Data Privacy Framework continue de constituer une base légale valable pour les transferts transatlantiques.
Conclusion
Le jugement du 3 septembre 2025 apporte une stabilité juridique bienvenue après des années d’incertitude. Toutefois, les entreprises doivent rester prudentes :
-
S’assurer que leurs partenaires américains sont effectivement certifiés DPF.
-
Prévoir des clauses contractuelles types pour les transferts hors DPF.
-
Suivre de près l’évolution du droit américain et les futurs contrôles de la Commission européenne.
Chez Balthasar Legal, nous accompagnons les organisations dans la mise en conformité de leurs flux de données internationaux – avec pragmatisme, efficacité et transparence.
