Schrems II : ce que cette décision implique pour les entreprises et pourquoi elle reste d'actualité en 2026

Le 16 juillet 2020, la Cour de justice de l’Union européenne (CJUE) a déclaré invalide le « Privacy Shield » entre l’UE et les États-Unis. L’arrêt rendu dans l’affaire C-311/18, connue sous le nom de « Schrems II », est l’une des décisions les plus marquantes de ces dernières années en matière de protection des données.

Pour les entreprises qui transfèrent des données à caractère personnel vers les États-Unis, ou qui utilisent des services américains procédant à de tels transferts, cet arrêt a modifié le cadre juridique.

Cet article résume la décision rendue par la CJUE, ses conséquences et les raisons pour lesquelles elle reste d’actualité au regard du débat actuel sur l’affaire « Schrems III ».

Remarque : cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Il convient de consulter un conseiller juridique pour obtenir une évaluation juridique au cas par cas.

Que s’est-il passé avant l’affaire Schrems II ? Le contexte

Safe Harbor (2000–2015)

Depuis 2000, les entreprises de l’UE pouvaient transférer des données à caractère personnel vers les États-Unis en vertu de l’accord « Safe Harbor ». Cet accord reposait sur une décision de la Commission européenne selon laquelle les États-Unis garantissaient un niveau adéquat de protection des données.

Le 6 octobre 2015, la Cour de justice de l’Union européenne (CJUE) a déclaré cet accord invalide dans son arrêt C-362/14, connu sous le nom de « Schrems I ». L’affaire trouvait son origine dans une action en justice intentée par l’avocat autrichien Max Schrems contre Facebook Ireland. M. Schrems faisait valoir que les lois en matière de surveillance en vigueur aux États-Unis — en particulier l’article 702 de la loi FISA et le décret présidentiel n° 12333 — n’offraient pas un niveau de protection des données à caractère personnel comparable à celui prévu par le droit de l’Union européenne.

La CJUE a suivi ce raisonnement.

Privacy Shield (2016-2020)

Le Privacy Shield UE-États-Unis est entré en vigueur en août 2016 pour prendre la relève. Il comprenait notamment des garanties de la part du gouvernement américain selon lesquelles l’accès des agences de renseignement aux données européennes serait limité à ce qui était « nécessaire et proportionné ». De plus, un médiateur a été nommé au sein du Département d’État américain, auquel les citoyens de l’UE pouvaient s’adresser pour déposer des plaintes.

Plus de 5 300 entreprises américaines ont obtenu la certification au titre du Privacy Shield.

Quelle a été la décision de la CJUE dans l’affaire « Schrems II » ?

Le 16 juillet 2020, la CJUE a rendu son arrêt dans l’affaire C-311/18 (Commissaire à la protection des données c. Facebook Ireland Ltd. et Maximilian Schrems). Les points clés de cet arrêt sont les suivants :

1. Le « Privacy Shield » déclaré invalide

La CJUE a estimé que l’accès des agences de renseignement américaines aux données à caractère personnel des citoyens de l’UE n’était pas limité à ce qui est « strictement nécessaire », comme l’exige la Charte des droits fondamentaux de l’Union européenne (points 178 à 185 de l’arrêt).

Selon la Cour, la médiatrice du Département d’État américain ne remplissait pas les conditions requises pour constituer un recours effectif, car elle n’était ni indépendante ni habilitée à rendre des décisions contraignantes à l’encontre des agences de renseignement (points 195 à 197).

2. Les clauses contractuelles types (CCT) restent valables en principe

La CJUE a déclaré que les clauses contractuelles types (CCT) approuvées par la Commission européenne restent valables en principe. Toutefois, cette validité est soumise à une restriction importante :

les exportateurs de données doivent évaluer au cas par cas si la législation du pays destinataire garantit dans la pratique le niveau de protection assuré par les SCC (paragraphe 134 de l’arrêt).

Si tel n’est pas le cas, des « mesures supplémentaires » sont nécessaires pour garantir un niveau de protection équivalent à celui prévu par le droit de l’Union.

3. Obligations des autorités de contrôle de la protection des données

La CJUE a également précisé que les autorités nationales de contrôle de la protection des données doivent suspendre ou interdire les transferts de données vers des pays tiers si elles concluent qu’une protection adéquate n’est pas garantie, même lorsque les CCT sont utilisées (point 121).

Quelles ont été les conséquences de cette décision ?

Recommandations de l’EDSA

En novembre 2020, le Comité européen de la protection des données (CEPD) a publié la recommandation 01/2020 relative aux mesures complémentaires applicables aux transferts vers des pays tiers. Dans ce document, le CEPD a défini un processus d’évaluation en six étapes :

1. Identifier les transferts de données – Quelles données sont transférées et vers où sont-elles transférées ?
2. Évaluer le mécanisme de transfert – Quelle est la base juridique utilisée ?
3. Évaluer la situation juridique dans le pays tiers – Existe-t-il des lois qui compromettent la protection des données ?
4. Identifier les mesures complémentaires – techniques, organisationnelles, contractuelles
5. Mettre en œuvre les mesures : chiffrement, pseudonymisation, etc.
6. Procéder à des révisions régulières – Évaluation continue de la situation juridique

Évaluations d'impact des transferts (EIT)

Dans la pratique, cette décision impliquait que les entreprises devaient réaliser ce que l’on appelle des « évaluations d’impact des transferts » (EIT) avant de pouvoir transférer des données à caractère personnel vers les États-Unis sur la base des clauses contractuelles types. Ces EIT avaient pour but de déterminer si le cadre juridique américain compromettait, dans la pratique, la protection des données transférées.

Nouvelles clauses contractuelles types (juin 2021)

Le 4 juin 2021, la Commission européenne a publié de nouvelles clauses contractuelles types tenant compte des exigences de l’arrêt Schrems II. Les entreprises étaient tenues de passer aux nouvelles clauses contractuelles types avant le 27 décembre 2022.

Quel est le lien entre l’arrêt Schrems II et le cadre de protection des données ?

À la suite de cet arrêt, l’UE et les États-Unis ont négocié un nouveau cadre pour les transferts de données. Le 7 octobre 2022, le président américain Biden a signé le décret 14086 qui, entre autres :

• vise à limiter l’accès des agences de renseignement américaines aux données européennes à ce qui est «nécessaire et proportionné»
• a mis en place une nouvelle procédure de recours : la Cour de contrôle de la protection des données (DPRC)

Sur cette base, la Commission européenne a adopté, le 10 juillet 2023, la décision d’adéquation relative au cadre de protection des données UE-États-Unis (DPF).

Le DPF succède au « Privacy Shield », qui a été déclaré invalide par l’arrêt Schrems II. Il repose sur le décret du président Biden et sur le rôle de contrôle de la Commission fédérale du commerce (FTC) des États-Unis.

Concernant les développements récents : le 29 juin 2026, la Cour suprême des États-Unis a statué, dans l’affaire Trump c. Slaughter, que l’indépendance de la FTC était inconstitutionnelle. Nous analysons les implications de cette décision pour le DPF dans notre article consacré à l’affaire Schrems III.

Chronologie : de « Safe Harbor » à aujourd’hui

Ce que les entreprises peuvent retenir de l’arrêt Schrems II

L’arrêt Schrems II a montré que les décisions d’adéquation prises par la Commission européenne peuvent être annulées par la Cour de justice de l’Union européenne si la base juridique dans le pays tiers s’avère insuffisante. Deux décisions d’adéquation — Safe Harbor et Privacy Shield — ont déjà été déclarées invalides.

Selon de nombreux experts en protection des données, cela soulève les considérations suivantes pour les entreprises qui traitent des données à caractère personnel :

• Documenter la base juridique : la base sur laquelle s’effectuent les transferts de données vers des pays tiers doit être documentée.
• Évaluer le recours aux cadres juridiques individuels : les entreprises qui s’appuient exclusivement sur une décision d’adéquation courent le risque que celle-ci soit annulée, comme cela s’est produit avec Safe Harbor et Privacy Shield.
• Évaluer les alternatives européennes : lorsque des données à caractère personnel sont traitées, le choix d’un prestataire basé dans l’UE qui y traite également les données peut alléger la charge juridique, puisqu’aucun transfert vers un pays tiers n’a lieu.
• Suivre l’évolution de la situation : le paysage juridique des transferts transatlantiques de données a connu plusieurs changements fondamentaux depuis 2015. Il est conseillé de procéder à un réexamen régulier.

Le traitement des données en Europe comme alternative

Lorsqu’aucune donnée n’est transférée vers un pays tiers, les problèmes soulevés par l’arrêt Schrems II ne se posent pas.

Passcreator Passcreator traite toutes les données exclusivement en Allemagne, dans des centres de données exploités par un fournisseur allemand. Étant donné que n’est pas une entreprise américaine et n’est pas soumise à la législation américaine, rien ne justifie l’application du Cloud Act américain ni d’obligations de divulgation comparables.

Pour les entreprises qui utilisent des cartes et des pass numériques pour Apple Wallet ou Google Wallet — telles que les cartes de fidélité numériques, les cartes d’assurance numériques, les cartes de membre ou les identifiants d’accès —, cela signifie que les questions de protection des données liées aux transferts vers des pays tiers ne s’appliquent pas.

→ En savoir plus sur Passcreator en tant que plateforme européenne de portefeuilles numériques

Foire aux questions (FAQ)

Que dit l’arrêt Schrems II ?

Le 16 juillet 2020, la Cour de justice de l’Union européenne (CJUE) a déclaré invalide le bouclier de protection des données UE-États-Unis (affaire C-311/18). La Cour a estimé que les lois américaines en matière de surveillance n’offraient pas un niveau de protection des données à caractère personnel comparable à celui prévu par le droit de l’Union européenne, et que les mesures correctives prévues par le « Privacy Shield » ne répondaient pas aux exigences de la Charte des droits fondamentaux de l’Union européenne.

Les clauses contractuelles types (CCT) sont-elles toujours valables au regard de l’arrêt Schrems II ?

La CJUE a globalement déclaré les SCC valides, mais a précisé que les exportateurs de données doivent évaluer au cas par cas si la législation du pays destinataire garantit une protection effective. Si ce n’est pas le cas, des mesures supplémentaires sont requises.

Quelle est la différence entre l’arrêt Schrems I et l’arrêt Schrems II ?

L’arrêt Schrems I (2015) concernait l’accord « Safe Harbor » et a conduit à son invalidation. L’arrêt Schrems II (2020) concernait son successeur, le « Privacy Shield », et a également conduit à son invalidation. Dans les deux cas, la CJUE a estimé que le cadre juridique américain n’assurait pas une protection adéquate des données à caractère personnel provenant de l’UE.

Qu’est-ce que le Data Privacy Framework (DPF) ?

Le DPF est le successeur du « Privacy Shield », qui est entré en vigueur en juillet 2023. Il repose sur le décret présidentiel n° 14086 promulgué par le président américain Biden. En juin 2026, la Cour suprême des États-Unis a remis en cause l’indépendance de la FTC, qui joue un rôle central de supervision au sein du DPF. L’impact de cette décision sur la validité du DPF fait actuellement l’objet de discussions.

Comment éviter les transferts de données vers les États-Unis ?

En confiant le traitement des données à caractère personnel à des prestataires basés dans l’UE et qui effectuent l’intégralité du traitement des données au sein de l’UE. Dans ce cas, aucun transfert vers un pays tiers n’a lieu, et les exigences de l’arrêt Schrems II ne s’appliquent pas.

Sources

• CJUE, arrêt du 16 juillet 2020, C-311/18 – EUR-Lex
• CJUE, arrêt du 6 octobre 2015, C-362/14 – EUR-Lex
• Commission européenne, décision d’adéquation relative aux clauses contractuelles types de protection des données, 10 juillet 2023 – EUR-Lex
• Commission européenne, Nouvelles clauses contractuelles types, 4 juin 2021 – EUR-Lex
• EDSA, Recommandations 01/2020 – CEPD
• BfDI, Conséquences de l’arrêt Schrems II – bfdi.bund.de

Cet article est publié à titre informatif uniquement et reflète les opinions d’Passcreator. Il ne constitue pas un avis juridique. Il convient de consulter un conseiller juridique pour obtenir une évaluation juridique au cas par cas.