Le 29 juin dernier, la Cour suprême des États-Unis a jugé que la protection légale des commissaires de la Federal Trade Commission contre une révocation arbitraire du Président des Etats-Unis était incompatible avec la séparation des pouvoirs et donc inconstitutionnelle. Bien que cette affaire ne porte pas sur les données personnelles, elle a suscité de graves inquiétudes quant à l’avenir des flux de données transatlantiques, en raison des menaces qui pourraient désormais peser sur la décision d’adéquation de la Commission européenne du 10 juillet 2023. Le Data Privacy Framework (DPF) qui suppose l’indépendance des mécanismes de recours connaîtra-t-il le même sort que les mécanismes précédents, le Safe Harbor et le Privacy Shield ? Max Schrems, à l’origine des actions qui ont donné lieu à leur invalidation par deux arrêts de la Cour de justice de l’UE, a appelé la Commission à réexaminer la décision d’adéquation qui sous-tend le DPF. Et il a annoncé son intention d’intenter un recours devant la CJUE contre la décision de la Commission, par le biais de Noyb, la fondation qu’il a créée. Quant à la Commission, elle a déclaré étudié les conséquences de l’arrêt américain sur sa décision d’adéquation, sans toutefois la suspendre. Le DPF reste juridiquement en vigueur tant que la Commission européenne ou la CJUE ne se sont pas prononcées.
L’arrêt rendu dans l’affaire Trump contre Slaughter par la Cour suprême s’appuyait sur la théorie dite de l’« exécutif unitaire », selon laquelle le Président des États-Unis doit exercer un contrôle absolu sur toutes les branches du pouvoir exécutif. Ainsi, peut-on lire dans les motivations de l’arrêt que « le Président peut révoquer ses subordonnés à sa discrétion. La FTC exerce incontestablement un pouvoir exécutif et doit donc être contrôlée par le chef de l’État. » La Cour a ainsi remis en cause l’arrêt Humphrey’s Executor contre les États-Unis de 1935 qui avait fixé le cadre du système des agences de réglementation indépendantes, comme la FTC, la FCC ou la SEC.
En quoi cet arrêt aurait-il une incidence sur les flux transatlantiques de données personnelles ? Pour permettre ces transferts, alors que le droit américain ne remplit pas les conditions d’adéquation au droit européen, un mécanisme avait été imaginé reposant sur l’engagement des entreprises adhérentes à respecter des principes de protection des données, sous la surveillance et le pouvoir de sanction de la FTC. La dernière décision d’adéquation de la Commission reposait, en grande partie, sur l’indépendance et l’efficacité des mécanismes de contrôle et d’application américains, afin de garantir aux personnes concernées de l’UE un niveau de protection essentiellement équivalent pour leurs données personnelles. Or, l’absence de garanties suffisantes d’indépendance et de contrôle vis-à-vis des services de renseignement de l’autorité chargée de la surveillance du système avait entraîné l’invalidation par la CJUE du Safe Harbor le 6 octobre 2015 (arrêt Schrems I) puis celle du Privacy Shield le 16 juillet 2020 (arrêt Schrems II). La Cour avait considéré que l’absence de recours effectif pour les Européens ne garantissait pas une protection équivalente contre les programmes de surveillance américains.
Pour remédier à cette absence de recours effectif en matière de surveillance, le décret exécutif 14086 pris en octobre 2022 par Joe Biden encadre l’accès des services de renseignement aux données des Européens et crée une juridiction de recours dédiée, la Data Protection Review Court (DPRC). Il s’agit d’un organe quasi judiciaire au sein du département de la Justice américain, destiné à garantir aux citoyens européens le droit de contester l’accès des services de renseignement américains à leurs données. Ce dispositif validé par la Commission européenne avait été confirmé le 3 septembre 2025 par le Tribunal de l’UE, suite au recours du député français Philippe Latombe invoquant l’absence de protection essentiellement équivalente. Ce dernier a formé un pourvoi devant la CJUE qui est toujours pendant.
Parallèlement à la question de l’accès des services de renseignements aux données, la décision d’adéquation porte sur un aspect plus commercial, les obligations des organismes certifiés DPF qui importent des données personnelles de l’UE vers les Etats-Unis. Elle désigne la FTC comme principale autorité civile chargée de veiller au respect des règles par les organisations participant au DPF. Elle mentionne les pouvoirs de la FTC d’enquêter sur les infractions aux règles, d’imposer des mesures correctives et de conclure des accords avec les entreprises qui ne respectent pas leurs obligations. C’est sur ce point que l’arrêt Trump v. Slaughter pourrait avoir un effet sur la décision d’adéquation.
Les arrêts « Schrems I » et « Schrems II » portaient sur le droit américain de la surveillance et l’efficacité des recours pour les citoyens de l’UE, et non sur l’aspect commercial. Or, l’arrêt Trump v. Slaughter concerne la FTC qui n’a pas de compétence en matière de sécurité nationale ou de renseignement. Quels que soient les effets de cette décision, ils ne peuvent donc concerner directement que l’aspect commercial.
Les organisations qui opèrent des transferts transatlantiques de données se retrouvent de nouveau confrontées à l’épineuse question de la conformité au RGPD. Si la décision d’adéquation devait être suspendue, ce qui encore loin d’être le cas, il existe d’autres instruments – les clauses contractuelles types et les règles d’entreprise contraignantes (BCR). Mais ces mécanismes risquent de ne pas être d’un grand secours. En effet, les entreprises doivent réaliser des analyses d’impact du transfert afin de vérifier que le pays de destination offre des garanties de protection équivalentes à celles de l’Union européenne.