En bref. Le 29 juin 2026, la Cour suprême des États-Unis a jugé, dans l’affaire Trump v. Slaughter, que le Président pouvait révoquer librement les commissaires de la Federal Trade Commission (FTC). Cet arrêt de droit constitutionnel américain ne dit pas un mot du RGPD. Il touche pourtant l’un des piliers sur lesquels la Commission européenne a bâti, en 2023, la décision d’adéquation qui autorise les transferts de données personnelles vers les entreprises américaines certifiées (le Data Privacy Framework, DPF). Le DPF reste en vigueur, mais il est fragilisé. Pour une entreprise française qui utilise des services cloud ou SaaS américains, c’est le moment de vérifier sur quoi reposent ses flux, pas d’attendre une éventuelle invalidation.
Ce que la Cour suprême a jugé
En mars 2025, le Président américain avait révoqué deux commissaires de la FTC, dont Rebecca Kelly Slaughter, sans invoquer l’un des motifs limitatifs prévus par la loi (inefficacité, manquement à ses devoirs ou faute dans l’exercice des fonctions). La Cour suprême, à six voix contre trois, a validé cette révocation : les protections statutaires contre un licenciement discrétionnaire sont contraires à la séparation des pouvoirs. Le précédent Humphrey’s Executor de 1935, qui fondait depuis près d’un siècle le modèle des agences fédérales indépendantes, est abandonné.
Concrètement, les commissaires de la FTC exercent désormais leurs fonctions à la discrétion du Président et peuvent être démis à tout moment.
Pourquoi cela concerne le RGPD
Le lien n’est pas évident au premier regard. Il tient à la manière dont la Commission européenne a raisonné en 2023.
L’article 45 du RGPD permet un transfert de données vers un pays tiers lorsque la Commission constate que ce pays assure un niveau de protection « adéquat », c’est-à-dire essentiellement équivalent à celui garanti dans l’Union. Parmi les éléments que la Commission doit prendre en compte figure, à l’article 45, paragraphe 2, point b), l’existence et le fonctionnement effectif d’une ou plusieurs autorités de contrôle indépendantes.
Dans sa décision d’exécution (UE) 2023/1795, la Commission a expressément retenu l’indépendance de la FTC – mandats de sept ans, révocation possible uniquement pour des motifs déterminés – comme garantie du respect, par les entreprises certifiées, de leurs engagements en matière de protection des données. La FTC est en effet l’autorité chargée de sanctionner les entreprises qui ne tiennent pas les promesses faites lors de leur certification au DPF.
Or l’arrêt Trump v. Slaughter supprime précisément cette garantie. L’une des prémisses énoncées noir sur blanc dans la décision d’adéquation n’est plus exacte.
Où en est le DPF aujourd’hui
Trois points doivent être clairement distingués.
Le DPF n’est pas invalidé. La décision d’adéquation demeure en vigueur. Un transfert vers une organisation américaine certifiée reste, à ce jour, licite sur ce fondement. Ni la Commission ni le Comité européen de la protection des données (CEPD) n’ont demandé aux entreprises de cesser de s’appuyer sur le DPF.
Le réexamen est engagé. Par un courrier du 31 juillet 2026, la présidente du CEPD a demandé à la Commission d’évaluer si l’arrêt affecte le fonctionnement de la décision d’adéquation et de lui communiquer ses conclusions. La Commission a indiqué qu’elle procédait à cette évaluation, en lien avec les autorités américaines. Elle dispose du pouvoir de modifier, suspendre ou abroger la décision si elle conclut que les garanties ne sont plus suffisantes.
Le risque contentieux est réel. Le DPF a déjà survécu à un premier recours devant le Tribunal de l’Union européenne (affaire Latombe, dont l’appel est pendant devant la Cour de justice). L’association noyb, à l’origine des arrêts Schrems I et Schrems II qui ont fait tomber le Safe Harbor en 2015 puis le Privacy Shield en 2020, a annoncé un nouveau recours. L’arrêt américain lui offre un argument qu’elle n’avait pas.
Il faut aussi rester mesuré. L’arrêt porte sur le volet commercial du DPF (la surveillance des entreprises certifiées). Il ne modifie pas directement les garanties relatives à l’accès des services de renseignement américains aux données, ni le mécanisme de recours institué par l’Executive Order 14086 et la Data Protection Review Court. Sur ces derniers points, la doctrine est partagée quant aux effets indirects de l’arrêt. C’est l’appréciation globale de la Commission qui est fragilisée, pas chacune de ses composantes.
Les clauses contractuelles types ne sont pas un plan B automatique
Le réflexe habituel consiste à se dire que, si le DPF tombe, on basculera sur les clauses contractuelles types (CCT) de la Commission. C’est juridiquement possible, mais ce n’est pas si simple.
Depuis l’arrêt Schrems II, le recours aux CCT impose à l’exportateur de données de réaliser une analyse d’impact du transfert (transfer impact assessment, TIA). Il s’agit de vérifier que le droit et les pratiques du pays destinataire permettent effectivement d’assurer un niveau de protection équivalent, et, à défaut, de mettre en place des mesures complémentaires.
La perte d’indépendance de la FTC est un élément nouveau à intégrer dans cette analyse : elle pèse sur l’appréciation des voies de recours et de l’effectivité du contrôle aux États-Unis, y compris pour des transferts qui ne reposent pas sur le DPF. Autrement dit, les TIA existantes, souvent rédigées en 2021-2022 puis rangées dans un tiroir, méritent d’être rouvertes.
Ce que je recommande aux entreprises françaises
La démarche prudente, et proportionnée, consiste à se préparer sans surréagir. Cinq étapes :
- Cartographier les flux vers les États-Unis. Hébergement, messagerie, CRM, outils collaboratifs, support technique, sous-traitants de rang 2, outils d’intelligence artificielle. Le périmètre est souvent plus large qu’on ne l’imagine.
- Identifier les transferts qui reposent uniquement sur le DPF. Beaucoup de prestataires américains certifiés n’ont jamais signé de CCT avec leurs clients européens, ou les ont intégrées dans des conditions générales qu’il faut relire.
- Mettre à jour les analyses d’impact (TIA), en commençant par les données les plus sensibles : santé, données RH, données judiciaires, données bancaires et données de clients.
- Prévoir des mesures complémentaires : chiffrement avec maîtrise des clés par l’exportateur, pseudonymisation, minimisation, cloisonnement des accès, et, lorsque c’est possible, option d’hébergement européen chez le même prestataire.
- Documenter un plan de continuité : quelle base juridique de substitution, quel prestataire alternatif, quel délai de bascule et quelle clause de sortie, si le DPF venait à être suspendu ou annulé. Ce plan est aussi ce que la CNIL demandera de voir en cas de contrôle.
Pour les traitements de longue durée ou les données sensibles, une stratégie de résilience incluant une alternative européenne de traitement ou d’hébergement devient particulièrement recommandable. Ce n’est pas une position idéologique : c’est la leçon de deux invalidations successives en cinq ans.
Pour conclure
Rien n’oblige aujourd’hui à cesser les transferts vers les États-Unis. Mais la fenêtre de confort ouverte par le DPF en 2023 se referme un peu. Les entreprises qui auront cartographié leurs flux et actualisé leurs analyses avant une décision de la Commission ou de la Cour de justice n’auront pas à le faire dans l’urgence, avec un prestataire qui ne répond plus et un DPO en congé.
Le cabinet accompagne les entreprises dans la cartographie de leurs transferts, la rédaction et la mise à jour de leurs analyses d’impact et la négociation des clauses de protection des données avec leurs prestataires. Nous contacter.
Timo RAINIO, Avocat au Barreau de Lyon