La justice maintient l'accord qui encadre les flux de données entre l'Europe et les Etats-Unis

Ce mercredi 3 septembre 2025, le Tribunal de l'Union européenne a rendu une décision majeure. Saisi par le député français Philippe Latombe, à titre personnel, il a tranché : à la date d'adoption du Data Privacy Framework, les Etats-Unis assuraient un niveau adéquat de protection des données personnelles transférées depuis l'Union européenne vers des organisations établies dans ce pays.

Un texte qui sous-tend les échanges franco-américains

Pour rappel, le Data Privacy Framework est le texte qui encadre les flux de données personnelles entre l'Union européenne et les Etats-Unis. Arraché après plusieurs mois de négociations, il est le successeur du Safe Harbor et du Privacy Shield, annulés par la Cour de justice de l'Union européenne à cause des risques d'ingérence par les autorités américaines de surveillance dans les données personnelles des citoyens européens.

Le député vendéen avait introduit un recours contre le Data Privacy Framework le 6 septembre 2023 à titre personnel. Il affirmait que cette nouvelle décision d'adéquation ne respectait ni le Règlement général sur la protection des données (RGPD), ni la Charte des droits fondamentaux de l'Union européenne. A ce titre, il demandait au Tribunal de l'Union européenne d'annuler cet acte ainsi que condamner la Commission européenne aux dépens.

Dans un premier temps, le juge européen avait rejeté sa demande d'instruire le dossier dans l'immédiat car le député n'avait pas réussi à prouver le caractère d'urgence. "Les arguments du requérant relatifs à l’absence d’un niveau adéquat de protection des données à caractère personnel aux États-Unis (…) ne permettent pas d’établir l’existence d’un préjudice grave et irréparable", avait déclaré le Tribunal sans se prononcer sur le fond du litige.

La DPRC est bien indépendante

C'est désormais chose faite. Dans sa décision, le Tribunal statue sur deux principaux points. Le premier : l'indépendance de la Data Protection Review Court (DPRC), la cour chargée du contrôle de la protection des données. Sur ce point, le juge a conclu qu'elle possédait bien les garanties nécessaires pour être indépendante, notamment des règles sur la nomination et la révocation des juges.

Le deuxième argument de Philippe Latombe était l'illégalité de "la collecte en vrac" des données personnelles. Le Tribunal a déclaré que la loi européenne n'interdit pas la collecte de données, mais elle exige un contrôle judiciaire après coup. Puisque le nouveau système américain prévoit ce contrôle, il est jugé conforme aux exigences de l'UE, peut-on lire dans le communiqué du Tribunal.

Vers de futures contestations ?

Bien qu'il s'agisse d'un rejet, la décision du Tribunal peut être nuancée à deux niveaux. Premièrement, cette décision peut être contestée en appel devant la Cour de justice de l'Union européenne. Deuxièmement, dans sa décision, le Tribunal ne se prononce pas si les conditions ayant permis de conclure un accord en juillet 2023 sont intact. Autrement dit, il ne ferme pas la porte à de futures contestations.

Sélectionné pour vous

Cohere choisit Paris comme centre névralgique pour ses activités en Europe

Apple alerte des journalistes, militants et politiques visés par des logiciels espions sophistiqués

La FTC enquête sur l'impact des chatbots développés par les Big Tech sur les plus jeunes