Depuis , le Data Privacy Framework (DPF) encadre les transferts de données personnelles entre l'Union européenne et les États-Unis. Troisième tentative après le Safe Harbor (invalidé en 2015) et le Privacy Shield (invalidé en 2020), ce mécanisme est déjà contesté en justice.
Cet article décortique le fonctionnement du DPF, identifie ses failles structurelles, et propose des recommandations pratiques pour les entreprises françaises.
Chronologie des transferts transatlantiques
| Date | Événement | Impact |
|---|---|---|
| Safe Harbor adopté | Transferts US autorisés pour les entreprises certifiées | |
| Révélations Snowden (PRISM) | Preuve de surveillance de masse via les géants tech | |
| Arrêt Schrems I (C-362/14) | Safe Harbor invalidé | |
| Privacy Shield adopté | Remplace le Safe Harbor | |
| Arrêt Schrems II (C-311/18) | Privacy Shield invalidé, SCC sous conditions | |
| Executive Order 14086 | Encadrement de la surveillance US (base du DPF) | |
| DPF adopté par la Commission | Transferts US re-autorisés sous conditions | |
| Recours NOYB | Contestation du DPF devant la CJUE |
Comment fonctionne le DPF
Le principe d'auto-certification
Les entreprises américaines qui souhaitent recevoir des données européennes s'engagent volontairement à respecter un ensemble de principes (notice, choice, accountability, security). La certification est gérée par le Department of Commerce américain.
En , environ 2 900 entreprises sont certifiées DPF (source : dataprivacyframework.gov). Parmi elles : Google, Microsoft, Meta, Amazon, Salesforce, Stripe. Cependant, des millions d'entreprises américaines ne sont pas certifiées, et les transferts vers ces dernières ne sont pas couverts par le DPF.
L'Executive Order 14086
Le DPF repose sur l'Executive Order 14086, signé par le président Biden le . Ce décret introduit deux garde-fous :
- Proportionnalité : la collecte de renseignements doit être "nécessaire et proportionnée"
- Recours : création d'un mécanisme de plainte en deux niveaux (Civil Liberties Protection Officer + Data Protection Review Court)
Le mécanisme DPRC
La Data Protection Review Court (DPRC) est l'innovation clé du DPF. Un citoyen européen qui soupçonne une surveillance illégale peut déposer une plainte auprès de son autorité nationale (en France : la CNIL), qui la transmet au DPRC via le Department of Commerce.
Le DPRC examine la plainte et rend une décision contraignante. Le plaignant reçoit une réponse standardisée confirmant qu'aucune violation n'a été constatée, ou que les mesures correctives ont été prises.
Les faiblesses structurelles du DPF
1. FISA 702 reste inchangée
Le programme de surveillance de masse autorisé par la section 702 du FISA n'a pas été modifié. Il a même été renouvelé et élargi en avril 2024. L'Executive Order 14086 ne peut pas primer sur une loi fédérale. Comme l'a souligné l'arrêt Schrems II, c'est précisément FISA 702 qui pose problème.
« L'EO 14086 ne peut constituer une base adéquate tant que la Section 702 du FISA permet la collecte en vrac de données de personnes non-américaines sans examen judiciaire individualisé. »
Max Schrems, communiqué NOYB, 10 juillet 2023
2. Le DPRC n'est pas un tribunal indépendant
Les juges du DPRC sont nommés par le procureur général des États-Unis (Attorney General), qui fait partie de l'exécutif. Le DPRC siège de manière non publique, ne communique pas les motifs détaillés de ses décisions, et le plaignant ne connaît pas les éléments du dossier. Selon plusieurs juristes européens, ces caractéristiques ne satisfont pas l'exigence de "recours juridictionnel effectif" au sens de l'article 47 de la Charte des droits fondamentaux de l'UE.
3. Un Executive Order est révocable
Contrairement à une loi fédérale, un Executive Order peut être révoqué par tout président ultérieur d'un simple trait de plume. La stabilité juridique du DPF dépend donc de la volonté politique de chaque administration américaine.
4. L'auto-certification est un contrôle faible
Le DPF repose sur la bonne foi des entreprises américaines. Le Department of Commerce effectue des contrôles aléatoires, mais les ressources sont limitées. Aucune sanction significative n'a été prononcée pour non-respect des engagements DPF depuis son adoption.
Le recours NOYB et le scénario "Schrems III"
L'association NOYB (None Of Your Business), fondée par Max Schrems, a déposé un recours en . La procédure suit le circuit habituel : tribunal national, puis question préjudicielle à la CJUE. Un arrêt est attendu entre 2026 et 2028.
Si la CJUE invalide le DPF (scénario "Schrems III"), les conséquences seraient immédiates :
- Toutes les entreprises s'appuyant exclusivement sur le DPF pour leurs transferts US seraient en infraction
- Les Clauses Contractuelles Types (SCC) resteraient valables, mais avec l'obligation de mesures supplémentaires (chiffrement de bout en bout, pseudonymisation)
- Les autorités de protection des données pourraient ordonner la suspension immédiate de certains transferts
Recommandations pour les entreprises françaises
- Ne pas dépendre exclusivement du DPF : maintenir des SCC à jour avec les prestataires US
- Documenter les Transfer Impact Assessments (TIA) : pour chaque prestataire US, évaluer par écrit les risques liés à FISA 702 et au Cloud Act
- Privilégier les fournisseurs européens : les transferts intra-UE ne nécessitent aucun mécanisme de protection spécifique
- Préparer un plan de contingence : identifier dès maintenant les alternatives souveraines pour chaque service US critique
Lancez un scan COCORRIDOR pour identifier tous les services soumis au Cloud Act sur votre site, et consultez le comparateur d'alternatives pour préparer votre plan B.
Foire aux questions
Le DPF protège-t-il vraiment mes données ?
Le DPF impose des engagements de transparence et de sécurité aux entreprises certifiées. Cependant, il ne modifie pas les lois de surveillance américaines (FISA 702, Cloud Act). Les agences de renseignement conservent leurs pouvoirs d'accès. La protection est donc juridiquement fragile, comme l'ont été le Safe Harbor et le Privacy Shield avant lui.
Mon prestataire US est certifié DPF. Suis-je en conformité RGPD ?
Oui, tant que le DPF est en vigueur. Cependant, la CNIL recommande de ne pas s'appuyer uniquement sur le DPF et de maintenir des Clauses Contractuelles Types (SCC) en parallèle. En cas d'invalidation, vous disposerez ainsi d'un mécanisme de secours. Vérifiez la certification de votre prestataire sur dataprivacyframework.gov.
Quand le "Schrems III" pourrait-il tomber ?
Les procédures devant la CJUE prennent généralement 2 à 4 ans. Le recours NOYB ayant été déposé en février 2024, un arrêt est plausible entre 2026 et 2028. En cas d'invalidation, l'effet serait immédiat, sans période de transition (comme pour Schrems I et II).
Que faire si j'utilise des services US non certifiés DPF ?
Les transferts vers des entreprises US non certifiées DPF ne bénéficient d'aucune décision d'adéquation. Vous devez utiliser des SCC, accompagnées d'un Transfer Impact Assessment. Si les garanties sont insuffisantes (pas de chiffrement E2E, données accessibles en clair par le prestataire), le transfert doit être suspendu. Envisagez un remplacement par une alternative européenne via le comparateur COCORRIDOR.