L'arrêt « Schrems III » semble de plus en plus probable : pourquoi vos outils américains pourraient présenter un risque en matière de protection des données

Les deux accords UE-États-Unis relatifs à la protection des données ont été invalidés par la Cour de justice de l’Union européenne. Aujourd’hui, la Cour suprême des États-Unis a remis en cause l’indépendance de la principale autorité américaine de régulation en matière de protection des données, et noyb prépare son prochain recours. Un nouvel examen en profondeur du cadre de protection des données UE-États-Unis devant la CJUE est désormais beaucoup plus probable. Il reste à voir quand il aura lieu et quelle en sera l’issue.

Le 29 juin 2026, la Cour suprême des États-Unis a statué, dans l’affaire Trump c. Slaughter, que le président américain pouvait révoquer les membres de la Commission fédérale du commerce à tout moment et sans motif. Deux jours plus tard, noyb — l’organisation dirigée par Max Schrems — a appelé la Commission européenne à retirer le cadre de protection des données UE-États-Unis.

Le cadre de protection des données est toujours en vigueur. Les transferts de données vers les États-Unis ne sont pas devenus illégaux du jour au lendemain. Mais ils n’étaient pas illégaux avant l’arrêt Schrems I non plus. Pas plus qu’avant l’arrêt Schrems II. À chaque fois, le message était le suivant : « Tout va bien ; l’accord est toujours en vigueur. » Jusqu’à ce qu’il s’effondre. Vous devez donc agir dès maintenant.

Cet article explique ce qui s’est passé, en quoi cela affecte les données de vos clients et ce que vous devez faire dès que possible.

Remarque : cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Vous devriez consulter un conseiller juridique pour obtenir une évaluation juridique de votre situation spécifique.

Que s’est-il passé le 29 juin 2026 ?

La Cour suprême des États-Unis a statué, par 6 voix contre 3, que la protection qui, depuis 1935, mettait à l’abri les commissaires de la FTC d’un licenciement sans motif valable par le président est inconstitutionnelle.

En termes simples :

• La FTC est dirigée par plusieurs commissaires
• Ils bénéficiaient d’une protection juridique contre tout licenciement sans motif valable
• La Cour suprême a abrogé cette protection, après 91 ans
• Le président des États-Unis peut désormais remplacer les membres de la FTC à tout moment et sans justification

Le président de la Cour suprême, Roberts, a écrit : « La FTC exerce incontestablement un pouvoir exécutif et doit donc être contrôlée par le chef de l’exécutif. »

La juge Sotomayor a mis en garde dans son opinion dissidente : « Aujourd’hui, la Cour rejette [ce] régime démocratique au profit d’un autre qui fausse la structure du gouvernement. »

Pour les entreprises européennes, cela signifie que la protection juridique de la FTC contre toute influence politique a été considérablement affaiblie. Les implications de cette décision pour l’appréciation juridique du cadre de protection des données sont controversées et devraient occuper les tribunaux européens à l’avenir.

Pourquoi le cadre de protection des données UE-États-Unis est désormais menacé

La FTC : la pierre angulaire du DPF

Le cadre de protection des données UE-États-Unis (DPF) constitue la troisième tentative visant à établir une base juridique pour les transferts de données entre l’UE et les États-Unis. Plus de 3 400 entreprises américaines sont certifiées, y compris les principaux fournisseurs de services cloud et SaaS sur lesquels s’appuient presque toutes les entreprises européennes.

La FTC est l’agence chargée de superviser et de faire respecter ce système. Noyb a compté : dans sa décision d’adéquation, la Commission européenne fait référence à la FTC et à son indépendance à 259 reprises. Cette indépendance ne sera plus garantie juridiquement à compter du 29 juin 2026.

La réponse de Noyb a été sans équivoque : « La décision de la Cour suprême renforce les arguments en faveur de l’abrogation du DPF. »

Le PCLOB : le deuxième point de défaillance

La FTC n’est pas le seul problème. Dans l’affaire Schrems II, la Cour de justice de l’Union européenne a clairement établi que le problème central réside dans la surveillance de masse exercée par les agences de renseignement américaines. Le Privacy and Civil Liberties Oversight Board (PCLOB) — un organisme chargé de superviser l’accès des agences de renseignement aux données — avait pour mission d’offrir une protection contre ce phénomène.

Trump a également révoqué ses membres démocrates. Une cour d’appel avait suspendu ces révocations dans l’attente de la décision dans l’affaire Trump c. Slaughter. Il est désormais probable que les nouveaux principes s’appliquent également au PCLOB.

Cela risque de saper simultanément les deux piliers de contrôle du DPF. Contre-argument : la FTC est-elle vraiment la pierre d’achoppement ?

Cette analyse est juridiquement contestable. Le professeur Alexander Golland fait valoir sur beck-aktuell (6 juillet 2026) que l’indépendance de la FTC, en soi, ne constitue pas une violation majeure. La CJUE n’a pas invalidé le Privacy Shield en raison d’un manque de contrôle de la part de la FTC, mais en raison des pouvoirs des agences de renseignement américaines. Le véritable danger réside dans le PCLOB, et c’est précisément là que se profile la prochaine bataille juridique.

Le « cas Schrems » : le même scénario, trois fois de suite

C'est toujours la même histoire :

1. 1. La Commission européenne conclut un accord de transfert de données avec les États-Unis.
2. 2. Schrems / noyb intente une action en justice
3. 3. La Cour de justice de l'Union européenne annule l'accord au motif que la surveillance américaine viole les droits fondamentaux européens
4. 4. Nouvelles négociations. Nouvel accord. Retour à l'étape 2.

Ce scénario s’est reproduit à deux reprises. À deux reprises, l’accord a échoué.
Et cette fois-ci, la situation s’est aggravée, elle ne s’est pas améliorée.

Ce qui s'est détérioré depuis l'adoption du DPF

En 2023, la Commission européenne a adopté un accord fondé sur l’indépendance des agences de régulation américaines. Trois ans plus tard, cette indépendance a été remise en cause par un arrêt de la Cour constitutionnelle. Les hypothèses clés sur lesquelles reposait l’évaluation de la Commission européenne de 2023 ont depuis lors changé. Les implications juridiques complètes de ces changements n’ont pas encore été définitivement clarifiées.

S'agit-il déjà de « Schrems III » ?

Pas encore, au sens d'un arrêt de la Cour de justice de l'Union européenne. Mais le processus est lancé :

• Le 30 juin 2026, Noyb a adressé une demande écrite à la Commission européenne pour qu’elle retire le DPF et a annoncé qu’elle intenterait une action en justice
• Le pourvoi Latombe (C-703/25 P) est pendant devant la CJUE — celle-ci doit se prononcer sur le DPF
• La Commission européenne n'a pas encore répondu publiquement

Au 14 juillet 2026, d’après les informations accessibles au public, l’action en justice de Noyb n’a pas encore été officiellement introduite. Mais Noyb l’a prouvé dans les affaires Schrems I et II : lorsqu’elle annonce une action en justice, elle la mène à bien.

Quel est le rapport avec l’affaire Latombe ?

Le député français Philippe Latombe a intenté une action en justice pour contester la décision d’adéquation UE-États-Unis. Le Tribunal de l’Union européenne a rejeté cette action en septembre 2025 et confirmé la validité du DPF, bien qu’explicitement uniquement sur la base de la situation factuelle et juridique au moment de son adoption en 2023.

La Cour a déclaré : « Si le cadre juridique aux États-Unis venait à changer, la Commission pourrait décider de suspendre, de modifier ou de révoquer la décision. »

M. Latombe a interjeté appel le 31 octobre 2025. L’affaire est pendante devant la Cour de justice de l’Union européenne sous le numéro d’affaire C-703/25 P.

Cela présente un intérêt pour le débat sur l’affaire Schrems III pour deux raisons :

1. 1. La CJUE doit se prononcer sur le DPF, que noyb intente ou non sa propre action en justice.
2. 2. Si la CJUE confirme le droit des particuliers à intenter une action en justice, cela ouvrira la voie à d’autres recours individuels, y compris ceux de noyb.

Le cadre de protection des données est-il toujours valable ?

Oui. Pour l’instant. La décision d’adéquation reste en vigueur jusqu’à ce que la Commission européenne la modifie, la suspende ou la retire, ou qu’une juridiction de l’UE l’invalide.

Mais «toujours valide» ne signifie pas «sûr». Le «Safe Harbor» était lui aussi valide jusqu’au jour même où l’arrêt a été rendu. Il en va de même pour le «Privacy Shield». Les entreprises qui s’étaient appuyées sur ces dispositifs se sont alors retrouvées confrontées à un problème qu’elles n’ont pas pu résoudre en moins de 48 heures.

Quiconque n’aura pas examiné ses transferts de données vers les États-Unis avant le prononcé d’un arrêt n’aura plus le temps de le faire après celui-ci.

Google, Microsoft, AWS et les autres services américains sont-ils désormais illégaux ?

Non. On ne peut pas faire une affirmation aussi générale. La possibilité d’utiliser un service américain spécifique en conformité avec la réglementation sur la protection des données dépend de plusieurs facteurs :

• Y a-t-il effectivement un transfert de données à caractère personnel vers les États-Unis ? Certains services peuvent être configurés de manière à ce que les données restent dans l’UE ; toutefois, le simple fait qu’un centre de données soit situé dans l’UE ne garantit pas qu’aucun transfert vers un pays tiers n’aura lieu — par exemple, si les employés américains du fournisseur ont accès aux données.
• Le prestataire ou l’entreprise américaine en question est-il certifié DPF ? Tous les produits d’une société américaine ne sont pas automatiquement couverts par le DPF.
• Quelle est la base juridique du transfert spécifiée dans l’accord de traitement des données ? La certification DPF, les clauses contractuelles types (SCC), ou les deux ?
• Quels types de données sont traités ? Les données analytiques anonymisées doivent être évaluées différemment des données de santé ou des données relatives aux salariés.
• Quelles sont les mesures de sécurité techniques mises en place ? Le chiffrement n’est efficace que si le prestataire américain n’a pas accès aux clés.

Chaque service doit être examiné individuellement.

Les clauses contractuelles types constituent-elles la solution ?

De nombreuses entreprises pensent : « Si le DPF échoue, nous utiliserons simplement les SCC. » Malheureusement, ce n’est pas aussi simple.

La Cour de justice de l’Union européenne a précisé dans l’arrêt Schrems II que les clauses contractuelles typesne suffisent pas à elles seules si le pays destinataire n’offre pas un niveau de protection adéquat. Les entreprises doivent :

1. Réaliser une analyse d’impact du transfert (TIA) — séparément pour chaque prestataire
2. Mettre en œuvre des garanties supplémentaires : chiffrement, pseudonymisation, restrictions d’accès
3. Vérifier si ces mesures sont réellement efficaces : le chiffrement n’assure une protection que si le prestataire américain n’a pas accès aux clés

Pour de nombreux services cloud courants, c’est le point 3 qui pose problème : le prestataire doit pouvoir accéder aux données en clair pour que le service fonctionne. Dans ces cas-là, les clauses contractuelles types (SCC) ne suffisent pas à elles seules.

Les SCC constituent un frein d’urgence, pas un parachute.

Ce que vous devez faire DÈS MAINTENANT :

1. Dresser un inventaire des données (cette semaine)

Dressez une liste. Tout de suite. Elle n’a pas besoin d’être parfaite, mais elle doit au moins être exhaustive :

2. Vérifier la base juridique des transferts de données (ce mois-ci)

Pour chaque prestataire figurant sur votre liste :

• L'entreprise américaine concernée est-elle certifiée DPF ?
• Des clauses contractuelles types (SCC) ont-elles également été convenues ?
• Une évaluation d’impact du transfert est-elle disponible ?
• L'évaluation d'impact du transfert sera-t-elle toujours valable après le 29 juin 2026 ?

3. Hiérarchisez les données critiques

Commencez par ce qui est le plus sensible :

• Données de santé (cartes d'assurance, données des patients)
• Données relatives aux employés (systèmes RH de fournisseurs américains)
• Bases de données clients (CRM, newsletters, programmes de fidélité)
• Données financières (paiements, comptabilité)

4. Préparez un plan B avant d’en avoir besoin

• Recherchez des alternatives au sein de l’UE/EEE pour les systèmes critiques
• Testez l’exportation et la migration des données (ne vous contentez pas de les planifier)
• Consignez les clauses contractuelles et les délais de préavis
• Mettez dès maintenant en place au niveau régional les processus particulièrement sensibles

5. Mettez en place un dispositif de suivi

Pourquoi l'architecture spécifique des données est-elle cruciale ?

Lors de l’évaluation des services cloud, il ne suffit pas de se contenter d’examiner l’emplacement du centre de données. Ce qui importe avant tout, c’est de savoir quelles entreprises interviennent dans le traitement, où les données à caractère personnel sont traitées, et si un accès ou des transferts depuis des pays tiers sont possibles.

Si les données à caractère personnel sont traitées exclusivement au sein de l’EEE et qu’aucun accès depuis des pays tiers n’est possible, ni le cadre de protection des données UE-États-Unis ni les clauses contractuelles types ne sont généralement requis pour ce traitement. Dès lors que des entreprises américaines, des sous-traitants de pays tiers ou des possibilités d’accès correspondantes sont impliqués, les modalités spécifiques de transfert doivent être examinées séparément.

Hébergement dans l’UE sans société mère américaine : pourquoi l’opérateur du centre de données est-il déterminant ?

Le fait qu’un centre de données soit situé à Francfort ne fait pas automatiquement d’un service cloud une solution purement européenne. Il est également crucial de savoir quelle entreprise exploite le centre de données et à quelle juridiction cette entreprise est soumise.

Passcreator utilise des centres de données situés en Allemagne, exploités par des entreprises européennes et n’appartenant pas à un groupe américain. On utilise parfois l’expression « hébergement à capitaux européens » pour décrire cette situation : l’emplacement des serveurs se trouve en Europe et l’opérateur est également une entreprise européenne.

Pour les entreprises, cela signifie que la gestion et la mise à disposition de leurs « wallet passes » s’effectuent via une plateforme européenne hébergée en Allemagne par des opérateurs de centres de données européens. Cela réduit considérablement la dépendance directe vis-à-vis du cadre de protection des données UE-États-Unis pour le système central.

Cela offre une plus grande sécurité de planification et une souveraineté numérique accrue, en particulier pour les cartes client, les cartes de fidélité, les billets et les identifiants numériques utilisés sur le long terme.

Pourquoi cela est-il pertinent actuellement ?

Les cartes de fidélité numériques contiennent des données à caractère personnel. Selon leur utilisation prévue, celles-ci comprennent :

• Cartes de fidélité numériques : noms, numéros de client, coordonnées, points de fidélité
• Cartes d’assurance numériques : numéros d’assurance, détails de la police et, dans certains cas, informations de santé
• Cartes d’adhésion : numéros d’identification personnels, niveaux d’accès, affiliation à une organisation
• Autorisations d’accès : qui est autorisé à accéder à quel endroit et à quel moment, y compris les données de localisation
• Billets d’événement et bons de réduction : comportement d’achat, habitudes d’utilisation, données de localisation

Avec un fournisseur de portefeuille numérique américain, ces données sont stockées sur une infrastructure américaine ou peuvent au moins faire l’objet d’une demande de la part des autorités américaines. Ce n’est pas le cas avec Passcreator. Pas de transferts vers des pays tiers, pas de Cloud Act, pratiquement aucun risque lié à l’arrêt Schrems.

Qu’il s’agisse de cartes de membre, de cartes de fidélité, de certificats d’assurance, d’autorisations d’accès ou de programmes de fidélité : l’infrastructure d’hébergement d’Passcreator, exploitée par des entreprises européennes, reste en place — que le cadre de protection des données UE-États-Unis soit maintenu ou non.

Vérifiez dès maintenant sur quelle base vos outils américains les plus importants traitent les données. Ou optez directement pour une solution où cette question ne se pose même pas.

Passcreator Testez-la : l’hébergement en Allemagne auprès d’opérateurs de centres de données européens.

Des fournisseurs européens plutôt que la dépendance vis-à-vis des États-Unis : ce qui est désormais possible

Le débat autour de l’arrêt Schrems III n’est pas une question isolée de protection des données ; il s’inscrit dans un débat beaucoup plus large : dans quelle mesure voulons-nous dépendre de la technologie américaine ?

Selon une enquête représentative menée par Bitkom en avril 2026, 93 % des Allemands estiment que leur pays dépend d’autres pays en matière de technologies numériques. 99 % pensent qu’il est important de gagner en indépendance. Et un tiers d’entre eux ont déjà pris la décision délibérée de passer à un fournisseur européen.

Dans le même temps, l’étude met en évidence un dilemme : 55 % des personnes interrogées estiment que le passage à des fournisseurs européens représente une trop grande contrainte.

Cela se comprend lorsqu’il s’agit de systèmes CRM complets ou de suites bureautiques. Mais il existe des domaines où le passage à une solution européenne ne représente pas une entreprise titanesque : cela peut se faire en quelques heures ou quelques jours.

Le passage à un fournisseur européen de portefeuille numérique sans société mère américaine en est un exemple.

La transition sans prise de tête

• Pas de projet de migration : il vous suffit de créer vos Wallet Passes sur Passcreator au lieu de passer par votre ancien fournisseur
• Mêmes appareils : les pass apparaissent dans Apple Wallet et Google Wallet ; vos clients ne remarqueront aucune différence
• Intégration via API : Passcreator propose une API REST pouvant être intégrée à vos systèmes existants
• Commencez dès maintenant : pas de processus d’intégration fastidieux, pas de procédures d’approbation qui s’éternisent pendant des mois

Avec Passcreator, passer au « made in Europe » est vraiment simple.
C’est promis ! N’hésitez pas à nous contacter.

Entre la panique et l’attentisme

Il n’y a actuellement aucune raison de se retirer de manière imprévue et immédiate de tous les services américains. Le DPF est valide, la plainte n’a pas encore été déposée et il faudra attendre des années avant qu’une décision de la Cour de justice de l’Union européenne ne soit rendue.

Cependant, il serait tout aussi imprudent d’ignorer la question. L’expérience de Noyb montre que ces actions en justice ont des conséquences réelles. Le Safe Harbor a été abrogé. Le Privacy Shield a été abrogé. Dans les deux cas, « tout était valide » depuis des années — jusqu’à ce que ce ne soit plus le cas.

La réponse la plus sensée consiste à réexaminer la base juridique, à hiérarchiser les flux de données critiques et à préparer des alternatives réalistes.

Conclusion : trois questions, trois réponses honnêtes

L’affaire Schrems III a-t-elle déjà fait l’objet d’une décision ? Non. Il n’y a pas encore d’arrêt de la CJUE, et Noyb n’a pas encore officiellement introduit de recours. Mais ce recours a été annoncé, et l’affaire Latombe est déjà pendante devant la CJUE.

Le cadre de protection des données est-il actuellement invalide ? Non. La décision d’adéquation est en vigueur. Mais son fondement — l’indépendance de l’autorité américaine de protection des données — ne sera plus garanti juridiquement à compter du 29 juin 2026.

Le risque a-t-il augmenté ? Oui, de manière significative. Les deux accords précédents ont échoué devant la CJUE. Le point de départ pour le troisième est moins favorable que pour les deux précédents.

Les entreprises qui traitent les données de leurs clients dans des services cloud américains ont désormais besoin d’un plan B. Le cadre de protection des données (DPF) ne s’effondrera pas demain ni la semaine prochaine, mais cela viendra — et d’ici là, il sera trop tard pour votre entreprise.

FAQ

Qu’est-ce que Schrems III ?

Schrems III est la troisième grande contestation juridique attendue devant la Cour de justice de l’Union européenne concernant la légalité des transferts de données entre l’UE et les États-Unis. Ce terme fait suite à Schrems I (2015, annulation du Safe Harbor) et à Schrems II (2020, annulation du Privacy Shield). À l’heure actuelle, Schrems III n’est pas une affaire close, mais plutôt un scénario auquel les entreprises doivent se préparer.

Une décision a-t-elle déjà été rendue dans l’affaire Schrems III ?

Non (en juillet 2026). L’affaire américaine Trump c. Slaughter relève du droit constitutionnel américain et non du droit européen en matière de protection des données. Noyb a annoncé son intention d’introduire un recours devant la CJUE, mais ne l’a pas encore officiellement déposé. Parallèlement, le pourvoi Latombe (C-703/25 P) est en instance devant la CJUE.

Le cadre de protection des données UE-États-Unis est-il toujours en vigueur ?

Oui. La décision d’adéquation (UE 2023/1795) reste en vigueur jusqu’à ce que la Commission européenne la modifie, la suspende ou la révoque — ou jusqu’à ce qu’une juridiction compétente de l’UE l’annule. Cela ne s’est pas encore produit.

Les transferts de données vers les États-Unis sont-ils désormais interdits ?

Non. La légalité dépend de la base spécifique du transfert : certification DPF, clauses contractuelles types (SCC), règles d’entreprise contraignantes (BCR) ou consentement. Chaque transfert doit être évalué au cas par cas.

Qu’est-ce que cela signifie pour Google Analytics, Microsoft 365, AWS ou HubSpot ?

Chaque service doit être examiné individuellement : quelles données sont transférées et vers où ? Quelle entreprise américaine est le partenaire contractuel ? Quelle est la base juridique du transfert ? Quelles sont les garanties techniques mises en place ? Le facteur déterminant est de savoir si des données à caractère personnel sont transférées vers les États-Unis ou si des employés américains y ont accès.

Les clauses contractuelles types (CCT) constituent-elles une alternative suffisante ?

Pas systématiquement. Les SCC nécessitent une analyse d’impact du transfert (TIA) et, si nécessaire, des mesures techniques et organisationnelles supplémentaires. Si le prestataire américain doit accéder aux données en clair pour que le service fonctionne, la protection par chiffrement est inefficace — et les SCC à elles seules ne suffisent pas.

Quelle est la différence entre l’hébergement dans l’UE et l’hébergement géré par des entreprises européennes ?

L’hébergement « au sein de l’UE » signifie principalement que les données sont traitées sur des serveurs situés au sein de l’UE. L’opérateur peut toutefois être une entreprise américaine. Dans le cas de l’hébergement « détenu par des entreprises européennes », les centres de données sont situés en Europe et sont également exploités par des entreprises européennes qui ne sont pas détenues par une société américaine.

À compter du 15 juillet 2026. Cet article sera mis à jour au fur et à mesure des nouvelles évolutions.

Cet article reflète l’analyse d’Passcreator et ne saurait se substituer à un conseil juridique individuel. Pour toute question spécifique relative au transfert de données, veuillez contacter votre délégué à la protection des données ou un cabinet d’avocats spécialisé.

Sources : Cour suprême des États-Unis, Trump c. Slaughter (affaire n° 25-332) ; EUR-Lex, décision d’exécution (UE) 2023/1795 ; CJUE, C-703/25 P ; noyb.eu ; beck-aktuell (Prof. Dr Alexander Golland, 6 juillet 2026) ; IAPP ; SCOTUSblog ; CNBC.