\u00c0 la surprise g\u00e9n\u00e9rale, un arr\u00eat de la Cour de justice de l’Union europ\u00e9enne du 3\u00a0septembre 2025 a valid\u00e9 le troisi\u00e8me cadre UE-USA pour la protection des donn\u00e9es personnelles (DPF ou Data Privacy Framework)), autorisant ainsi les transferts de donn\u00e9es (personnelles) entre l’Europe et les \u00c9tats-Unis, contrairement aux deux premiers accords, Safe Harbor et Privacy Shield, qui avaient \u00e9t\u00e9 annul\u00e9s par cette m\u00eame cour. Le d\u00e9put\u00e9 Philippe Latombe revient bredouille de son action contre le DPF et Max Schrems, l’activiste qui \u00e9tait venu \u00e0 bout de Safe Harbor et Provacy Shield est furieux.<\/p>\n
Pourquoi la Cour, alors que Trump ne nous m\u00e9nagera pas non plus sur le RGPD, a pris cette posture\u2009?<\/p>\n
Deux points du DPF \u00e9taient attaqu\u00e9s\u00a0:<\/p>\n
Tout semblait align\u00e9 pour une troisi\u00e8me annulation…<\/p>\n
La cour dit non<\/p>\n
Pour la Cour europ\u00e9enne de justice, la nomination des juges du DPRC et son fonctionnement ne posent pas de probl\u00e8me\u00a0: leur d\u00e9signation se fait apr\u00e8s consultation du Privacy and Civil Liberties Oversight Board, garant de la vie priv\u00e9e et des libert\u00e9s civiles aux \u00c9tats-Unis. M\u00eame si la cour d\u00e9pend du pouvoir ex\u00e9cutif, sa mission m\u00eame lui assure une ind\u00e9pendance suffisante selon le Tribunal europ\u00e9en.<\/p>\n
Les juges de la DPRC ne peuvent \u00eatre r\u00e9voqu\u00e9s que par le procureur g\u00e9n\u00e9ral (le ministre de justice) et seulement pour un motif valable. Ni le procureur g\u00e9n\u00e9ral ni les agences de renseignement ne peuvent influencer leur travail. En pratique, ils ne sont pas supervis\u00e9s quotidiennement par le procureur g\u00e9n\u00e9ral, ce qui garantit leur ind\u00e9pendance.<\/p>\n
Et puis, dit la Cour, la Commission europ\u00e9enne a le pouvoir de suspendre, de modifier ou d’abroger ce troisi\u00e8me accord ou de limiter sa port\u00e9e si d\u00e9rive il y a dans l’ind\u00e9pendance du DPRC. Bref, dit la Cour, le DPRC n’est pas coupable d’absence d’ind\u00e9pendance… et si c’est le cas, \u00e0 la Commission de tout annuler…<\/p>\n
Concernant la collecte en vrac des donn\u00e9es entre l’UE et les \u00c9tats-Unis, la Cour rappelle que l’arr\u00eat Schrems\u00a0II qui annule Privacy Shield n’imposait pas non plus d’autorisation pr\u00e9alable d’une autorit\u00e9 ind\u00e9pendante. Cette collecte doit simplement \u00eatre valid\u00e9e a posteriori, ce qui est le r\u00f4le du DPRC. Ainsi, cet argument de P.\u00a0Latombe est rejet\u00e9. Cela va plus loin\u00a0: la collecte en vrac de donn\u00e9es entre les \u00c9tats-Unis et l’UE n’est pas une collecte cibl\u00e9e. Cette pratique a d\u00e9j\u00e0 \u00e9t\u00e9 valid\u00e9e par le pass\u00e9, dont un arr\u00eat de la Cour europ\u00e9enne des droits de l’homme (arr\u00eat Big Brother Watch). Il suffit que la s\u00e9curit\u00e9 nationale soit en jeu.<\/p>\n
Schrems furieux<\/p>\n
Max Schrems qui n’a pas dit son dernier mot craint que Donald Trump puisse \u00e0 tout moment remettre en cause l’ind\u00e9pendance du DPRC, lui qui a d\u00e9j\u00e0 annul\u00e9 plusieurs ordres ex\u00e9cutifs de Biden. Il estime que le DPRC deviendra t\u00f4t ou tard une cible. La Cour europ\u00e9enne le sait\u00a0: dans son arr\u00eat, soulignant que, au moment de son adoption (sous la pr\u00e9sidence Biden, pas maintenant), les \u00c9tats-Unis garantissaient un niveau ad\u00e9quat de protection des donn\u00e9es.<\/p>\n