Le Data Privacy Framework (DPF), adopté en juillet 2023 par la Commission européenne, constitue le troisième mécanisme encadrant les transferts de données personnelles entre l’Union et les États-Unis, après l’invalidation du Safe Harbor (Schrems I, 2015) et du Privacy Shield (Schrems II, 2020). Il a été conçu pour répondre aux préoccupations de la CJUE, notamment en instaurant une Data Protection Review Court (DPRC) aux États-Unis, destinée à offrir un recours aux citoyens européens.
Le litige
Dans l’affaire T-553/23, Philippe Latombe, député français et membre de la CNIL, a introduit un recours en annulation contre la décision d’adéquation, en sa qualité de citoyen européen. Il invoquait une violation des articles 7 et 8 de la Charte (surveillance de masse), une atteinte au droit à un recours effectif (article 47 de la Charte, article 45(2) du RGPD, le DPRC ne présentant pas selon lui les garanties d’indépendance requises), un défaut de garanties sur les décisions automatisées (article 22) et une insuffisance des mesures de sécurité (article 32).
La solution du Tribunal
Par arrêt du 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours, jugeant qu’à la date d’adoption de la décision, les États-Unis assuraient un niveau de protection adéquat (article 45). S’agissant de la surveillance américaine, il a estimé que les activités de renseignement faisaient désormais l’objet d’un contrôle a posteriori par la DPRC, offrant des garanties suffisantes au regard du droit de l’Union.
Portée et perspectives
L’arrêt apporte une sécurité juridique bienvenue aux acteurs recourant aux transferts transatlantiques (banques, laboratoires, entreprises technologiques…). Le litige n’est toutefois pas clos : un pourvoi devant la CJUE reste possible, et celle-ci avait déjà annulé les deux précédents mécanismes. En cas de censure, une crise « Schrems III » pourrait fragiliser l’ensemble des transferts, obligeant les entreprises à recourir aux clauses contractuelles types ou aux règles d’entreprise contraignantes (BCR). L’affaire illustre la tension persistante entre exigences européennes de protection des données et impératifs de sécurité nationale américains.
Sources : Zonebourse ; Hogan Lovells.