Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
Le Tribunal de l'Union européenne (TUE) a rendu, le 3 septembre 2025, dans l'affaire T-553/23 (Latombe/Commission), une décision importante concernant la protection des données transatlantique. Par cet arrêt, le Tribunal rejette le recours formé contre le Décision d'adéquation à compter du 10 juillet 2023, confirmant ainsi la validité du cadre de protection des données UE-États-Unis. Pour les entreprises de l'UE, cela signifie, dans un premier temps, une sécurité juridique en matière de Transmission de données à caractère personnel vers les États-Unis. Les entreprises restent toutefois tenues de gérer activement le transfert de données vers les États-Unis.
Le cadre de protection des données UE-États-Unis passé au crible
La décision de la CJCE se rattache à une longue histoire juridique. Après les arrêts de la CJCE "Schrems I" (2015) et "Schrems II" (2020), les anciens cadres de protection des données "Sphère de sécurité" et "Bouclier de protection des données“ a été déclaré nul. ».
Car les Transmission des données à caractère personnel de l'UE vers des pays tiers est soumise à des critères stricts qui sont ancrés dans l'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'UE et dans l'article 16, paragraphe 1, du TFUE. Sur cette base, la RGPD (art. 45 et suivants) prévoit que les transferts de données sont autorisés sans autre autorisation si la Commission constate un niveau de protection des données adéquat pour le pays tiers concerné.
Par la décision d'exécution (UE) 2023/1795, la Commission a reconnu que les États-Unis offraient un tel niveau de protection. Les réformes introduites par le décret présidentiel n° 14086 ainsi que les mesures d'accompagnement prises par le procureur général des États-Unis ont notamment été déterminantes à cet égard. Ces mesures renforcent la protection des données dans le domaine des services de renseignement et mettent en place un nouvel organe de contrôle judiciaire : la Data Protection Review Court (DPRC). Cet organe de contrôle indépendant a pour mission de garantir une protection juridique efficace aux personnes concernées originaires de l’UE.
Le requérant fait appel de la décision relative au caractère raisonnable
Le requérant, de nationalité française Philippe Latombe, a demandé l'annulation de la décision. Il a fondé son recours essentiellement sur deux arguments :
- Manque d'indépendance du DPRC: Il a fait valoir que le nouveau tribunal chargé de la protection des données n'était pas indépendant, mais dépendait du pouvoir exécutif.
- Collecte illégale de données par les services de renseignement américains: Il a dénoncé la pratique des autorités américaines consistant à, données à caractère personnel sans autorisation préalable, n'était pas réglementée de manière suffisamment précise et était donc illégale.
Le Tribunal de l'Union européenne rejette les objections formulées à l'encontre du cadre de protection des données UE-États-Unis
À propos de l'indépendance du DPRC
Le Tribunal de l'Union européenne a rejeté cette objection. La nomination des juges est assortie de garanties et leur révocation n'est possible que pour des motifs valables. En outre, l'influence du pouvoir exécutif est limitée par des garanties procédurales. L'indépendance institutionnelle est donc suffisamment garantie.
Concernant la collecte collective de données à caractère personnel
Le tribunal a également rejeté le deuxième moyen. Il a précisé que l'arrêt Schrems II, il ne s'ensuit pas que toute forme de collecte doive obligatoirement faire l'objet d'une autorisation préalable par une autorité indépendante. Ce qui est déterminant, c'est qu'un contrôle judiciaire ultérieur soit possible. Celui-ci est désormais garanti aux États-Unis par le DPRC, de sorte qu'il existe un niveau de protection essentiellement équivalent à celui de l'Europe.
Premier test après les arrêts Schrems I et II
Par cette décision, le Tribunal de l'Union européenne a, pour la première fois depuis les deux Schrems- selon certains jugements, un accord transatlantique Décision d'adéquation confirmé. Parallèlement, la Cour reconnaît que les États-Unis disposent d'un système de contrôle opérationnel destiné à dissiper les inquiétudes exprimées jusqu'à présent.
Il convient toutefois de noter que cette appréciation dépend fortement de l'efficacité pratique du DPRC. S'il s'avérait que les mécanismes de contrôle ne répondent pas aux exigences dans la pratique, la CJUE pourrait à nouveau intervenir pour apporter des corrections dans le cadre d'un recours.
La décision du TPICE a une grande importance pratique : elle confirme que les États-Unis sont actuellement un pays compatible avec le RGPD offrir un niveau de protection des données substantiellement équivalent. La Commission européenne reste néanmoins tenue de surveiller régulièrement la mise en œuvre effective du cadre et d'assurer le Décision d'adéquation de la suspendre ou de l'adapter pour les États-Unis si nécessaire.
L'arrêt peut encore faire l'objet d'un recours devant la CJCE.
Le transfert de données vers les États-Unis doit néanmoins être géré : ce à quoi les entreprises doivent prêter attention
Même si le Décision d'adéquation États-Unis, les entreprises restent tenues de gérer activement les transferts de données vers les États-Unis. La décision dispense Responsable ne sont pas dispensés de leurs obligations en matière de responsabilité et de documentation en vertu de la RGPD.
Les entreprises devraient être particulièrement attentives aux points suivants :
- Respecter les obligations de transparence: Personnes concernées doivent être informés de manière claire et compréhensible lorsque leurs données sont transférées vers les États-Unis.
- Minimisation des données vérifier: Seules les données nécessaires à la finalité visée doivent être transmises.
- Garantir les contrats: Même en cas de Décision d'adéquation il est conseillé Clauses contractuelles types et de prévoir des mesures de protection complémentaires, notamment lorsque des données sont transmises à des sous-traitants.
- Contrôle des destinataires: Les entreprises devraient vérifier régulièrement si leurs prestataires de services américains sont bien certifiés au titre du cadre de protection des données UE-États-Unis.
- Mettre en œuvre la gestion des risques: Les processus internes et les mesures techniques doivent garantir le respect des exigences en matière de protection des données, y compris dans le cadre des flux de données transatlantiques.
Le transfert de données vers les États-Unis reste ainsi plus simple sur le plan juridique, mais nécessite toujours une Conformité- et la gestion des risques.
Source : Arrêt de la Cour européenne dans l'affaire T-553/23 (Latombe / Commission)
Avec Ailance, le transfert de données est juridiquement sûr
Le respect des obligations en matière de protection des données lors du transfert de données vers les États-Unis peut être complexe. Surtout lorsque les entreprises travaillent avec de nombreux prestataires de services différents. Avec Ailance Gardez à tout moment une vue d'ensemble :
- Surveillance automatisée des transferts de données
- Documentation toutes les mesures de protection des données
- Évaluation des risques et recommandations d'action en temps réel
- Intégration transparente dans les processus existants
Découvrez-en davantage sur Ailance et gérez vos transferts de données en toute conformité !
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French