Résumé
Le Tribunal de l'Union européenne a rejeté le recours en annulation formé en 2023 par le député français Philippe Latombe et confirmé la validité du cadre juridique régissant les transferts de données personnelles entre l'Union européenne et les États-Unis, dit Data Privacy Framework. La décision a été rendue le 3 septembre 2025.
Contexte historique
Deux précédents mécanismes de transfert de données entre l'UE et les États-Unis avaient été annulés par la justice européenne : le Safe Harbor en 2015 et le Privacy Shield en 2020. Le Data Privacy Framework, élaboré pour remplacer ces dispositifs, a été adopté en 2022-2023 afin de répondre aux préoccupations exprimées par les juridictions européennes et par les autorités de protection des données.
Objet du recours
Philippe Latombe, député français, a saisi le Tribunal en 2023 pour obtenir l'annulation du Data Privacy Framework. Il a soutenu que le cadre ne respectait pas pleinement la réglementation européenne en matière de protection des données, qu'il permettait une collecte disproportionnée d'informations, et qu'il manquait de garanties et de transparence, notamment quant aux recours effectifs contre la surveillance par des autorités américaines.
Le requérant s'est fondé sur une disposition du traité de l'Union permettant à toute personne physique ou morale ayant un intérêt direct de demander, dans un délai de deux mois, l'annulation d'actes réglementaires la concernant.
Décision du Tribunal
Le Tribunal a estimé que, à la date d'adoption de la décision attaquée, les États-Unis assuraient un niveau adéquat de protection des données à caractère personnel transférées depuis l'Union vers des entités établies sur leur territoire. En conséquence, il a rejeté le recours en annulation introduit par Philippe Latombe.
La décision est rendue en première instance. Elle peut faire l'objet d'un appel devant la Cour de justice de l'Union européenne, qui pourra réexaminer les éléments de droit et d'appréciation de fait.
Réactions et suites possibles
La Business Software Alliance (BSA) a salué la décision, estimant qu'elle apporte de la stabilité aux entreprises et aux consommateurs dépendant des flux de données transfrontaliers. Le militant autrichien Max Schrems, à l'origine de recours antérieurs ayant conduit à l'annulation des précédents accords, a déclaré qu'il n'excluait pas d'engager de nouvelles actions judiciaires.
Plusieurs acteurs économiques ont insisté sur les conséquences d'une interruption des transferts, notamment pour le commerce numérique et l'innovation technologique. La Commission européenne a prévu une réévaluation du cadre d'adéquation en 2027, qui permettra de suivre son application et, le cas échéant, d'exiger des ajustements.
Conséquences juridiques et procédurales
La décision confirme, pour la période examinée par le Tribunal, le fondement juridique des transferts de données entre l'UE et les États-Unis au titre du Data Privacy Framework. Néanmoins, la possibilité d'appel et les réévaluations prévues maintiennent une incertitude juridique potentielle. Toute évolution dépendra des procédures judiciaires ultérieures et des conclusions des autorités européennes chargées du contrôle et de l'évaluation du cadre.
