Data Privacy Framework

Ce que ça change pour une organisation

Le Data Privacy Framework (DPF), que la version française de la décision nomme « cadre de protection des données UE - États-Unis », est une décision d’adéquation au sens de l’article 45 du RGPD : tant qu’elle s’applique, des données personnelles peuvent partir de l’Union vers une organisation américaine sans contrat de transfert ni autorisation particulière. Elle ne couvre pas pour autant les États-Unis en général, puisque son article 1er limite l’adéquation aux organisations inscrites sur la « liste du cadre de protection des données » tenue par le ministère du Commerce. Une entreprise y entre par auto-certification, en s’engageant publiquement à respecter les principes du cadre, et doit renouveler cette certification chaque année. Avant de s’appuyer sur le DPF, l’exportateur vérifie donc que son destinataire figure sur la liste, que sa certification est active et qu’elle porte sur les données concernées, la liste distinguant les données de ressources humaines des autres.

Toutes les organisations américaines ne peuvent pas s’inscrire : la décision réserve la certification à celles qui relèvent des pouvoirs d’enquête et de sanction de la Federal Trade Commission (FTC) ou du ministère des Transports, compétent pour les compagnies aériennes. Dans sa lettre du 9 juin 2023 au commissaire européen Didier Reynders, la FTC rappelle que sa compétence exclut notamment les banques, l’assurance et les activités de transporteur public (common carrier) des opérateurs de télécommunications, ainsi que la plupart des organisations à but non lucratif, hormis celles qui opèrent en réalité dans un but lucratif ou au profit de leurs membres. Pour ces destinataires, il faut revenir aux instruments de l’article 46 du RGPD, au premier rang desquels les clauses contractuelles types, avec l’évaluation du droit du pays de destination qu’impose l’arrêt Schrems II.

Le cadre repose aussi sur des engagements américains en matière de renseignement : le décret présidentiel 14086 du 7 octobre 2022 encadre la collecte de renseignement d’origine électromagnétique et, complété par un règlement du procureur général, institue un mécanisme de recours à deux niveaux, dont le second est une juridiction, la Data Protection Review Court. Un Européen y accède en adressant sa réclamation à son autorité de protection des données, qui la transmet aux autorités américaines. La Commission suit l’application de ce dispositif et peut suspendre, modifier ou abroger la décision si la protection n’est plus assurée (article 3). Son premier examen périodique, en octobre 2024, a conclu que les autorités américaines avaient mis en place les structures nécessaires au fonctionnement du cadre et renvoyé l’examen suivant à trois ans.

La validité du cadre reste contestée. Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours en annulation du député Philippe Latombe (affaire T-553/23), qui mettait en cause l’indépendance de la Data Protection Review Court et la collecte en masse de données par les services américains, en jugeant qu’à la date de la décision les États-Unis assuraient un niveau de protection adéquat. Le requérant a formé le 31 octobre 2025 un pourvoi devant la Cour de justice (affaire C-703/25 P), toujours pendant à la mi-octobre 2026. Une organisation qui fonde ses transferts sur le DPF a donc intérêt à prévoir dès maintenant un instrument de repli : en 2020, l’invalidation du Privacy Shield avait pris effet immédiatement, sans période de transition.

Exemple

Dans son rapport de novembre 2025 sur la détection volontaire des abus sexuels sur mineurs en ligne, la Commission indique que les fournisseurs concernés s’appuient tous sur les mécanismes de transfert du RGPD, dont les clauses contractuelles types, et que Google, Microsoft, LinkedIn et Yubo déclarent en outre respecter le DPF. Le destinataire de leurs signalements, le NCMEC, ne figure pourtant pas sur la liste du cadre : association américaine à but non lucratif, il appartient à la catégorie d’organisations sur lesquelles la FTC indique ne pas être compétente, ce qui l’exclut vraisemblablement du dispositif. Un transfert vers le NCMEC lui-même ne peut donc pas reposer sur le DPF : il doit s’appuyer sur un autre instrument, en pratique les clauses contractuelles types, avec l’évaluation qu’elles supposent.

À ne pas confondre avec

• Le Privacy Shield : le précédent cadre UE-États-Unis, adopté en 2016 et invalidé le 16 juillet 2020 par l’arrêt Schrems II ; le DPF en reprend le principe de l’auto-certification et y ajoute les garanties du décret 14086 et la nouvelle voie de recours.
• Le Safe Harbor (sphère de sécurité) : le premier mécanisme, adopté en 2000 et invalidé en octobre 2015 par l’arrêt Schrems I.
• Les clauses contractuelles types : modèles de contrat adoptés par la Commission (article 46 du RGPD), utilisables vers n’importe quel destinataire, certifié ou non, mais qui obligent l’exportateur à évaluer lui-même le droit du pays de destination.
• Les volets suisse et britannique : la même liste recense le Swiss-U.S. Data Privacy Framework et l’extension britannique (UK Extension), qui relèvent d’autres décisions ; seule la certification au cadre UE-États-Unis vaut pour les données venues de l’Union.