Le 29 juin 2026, la Cour suprême des États-Unis a rendu un arrêt qui, sans viser directement la protection des données, va probablement rattraper toutes les entreprises européennes travaillant avec des prestataires américains.
Dans l'affaire Trump c. Slaughter, la Cour a jugé que les commissaires de la Federal Trade Commission (FTC) pouvaient être révoqués librement par le président, sans motif. Elle revient ainsi sur un précédent de 1935 (Humphrey's Executor), qui garantissait justement l'indépendance des agences fédérales américaines face au pouvoir exécutif.
Pourquoi ce sujet, a priori très américain, concerne directement les entreprises européennes ?
Parce que la décision d'adéquation qui encadre le Data Privacy Framework (le mécanisme qui légitime les transferts de données UE-États-Unis) repose en grande partie sur l'indépendance de la FTC. La Commission européenne y fait référence à 259 reprises. Max Schrems et son organisation noyb ont d'ailleurs déjà saisi la Commission pour lui demander de retirer cette décision d'adéquation.
Ce n'est pas un cas isolé. C'est même, à ce stade, une trajectoire connue :
📍 2015 — le Safe Harbor est invalidé par la CJUE (arrêt Schrems I)
📍 2020 — le Privacy Shield, son successeur, subit le même sort (arrêt Schrems II)
📍 2026 — le Data Privacy Framework, troisième génération de ce mécanisme, se retrouve à son tour fragilisé, pour une raison très proche : l'absence d'un contrôle réellement indépendant côté américain.
Dans les trois cas, le motif de fond est identique : le droit de l'Union exige, pour qu'un transfert vers un pays tiers soit licite, que ce pays offre une protection "essentiellement équivalente" à celle du RGPD — ce qui suppose un mécanisme de contrôle indépendant du pouvoir exécutif. C'est précisément cette exigence que la décision Slaughter vient fragiliser.
Ce qu'il faut vérifier concrètement, si votre entreprise travaille avec des sous-traitants américains :
- Votre base légale de transfert repose-t-elle uniquement sur la certification Data Privacy Framework de votre prestataire ?
- Avez-vous anticipé un scénario où cette décision d'adéquation serait suspendue ou annulée, comme l'ont été les deux mécanismes précédents ?
- Vos contrats prévoient-ils, en complément ou à défaut, des Clauses Contractuelles Types (CCT), assorties d'une analyse d'impact du transfert (Transfer Impact Assessment) ?
Ce dernier point mérite d'être précisé, parce que c'est souvent là que se joue la vraie différence de robustesse juridique.
Le Data Privacy Framework est un mécanisme d'adéquation : sa validité dépend d'une décision politique et juridique américaine, qui peut être remise en cause par un changement de jurisprudence ou de composition d'une agence fédérale — comme on vient de le voir.
Les Clauses Contractuelles Types fonctionnent différemment : elles engagent contractuellement l'exportateur et l'importateur de données, indépendamment du statut réglementaire des autorités du pays de destination. Elles demandent davantage de travail en amont (documenter les garanties, évaluer les risques d'accès par les autorités américaines), mais elles ne s'effondrent pas du jour au lendemain parce qu'une cour a statué sur l'indépendance d'une agence.
Pour un responsable de traitement, la question n'est donc pas de choisir un camp entre DPF et CCT dans l'absolu. C'est une question de robustesse : un mécanisme peut coexister avec l'autre, mais s'appuyer uniquement sur le premier, dans le contexte actuel, revient à construire sa conformité sur un fondement dont l'histoire récente montre qu'il est loin d'être stable.
Anticiper cette instabilité, plutôt que la découvrir a posteriori sous la pression d'une autorité de contrôle ou d'un client, fait partie du travail de mise en conformité.
