Transfert de données personnelles vers les États-Unis - le Tribunal de l’Union européenne valide le Data Privacy Framework par Joachim WATHELET - Maître de conférences - Délégué à la protection des données personnelles (DPO certifié AFNOR)
Le Tribunal de l’Union européenne (TUE, 3 sept. 2025, aff. T. 552/23) a rejeté le recours introduit par le député Philippe Latombe contre le Data Privacy Framework (DPF), la nouvelle décision d’adéquation adoptée par la Commission européenne en juillet 2023 pour encadrer les transferts de données personnelles vers les États-Unis. Ce mécanisme succède au Safe Harbor et au Privacy Shield, invalidés respectivement en 2015 (Schrems I) et 2020 (Schrems II), et vise à assurer que les données transférées bénéficient d’un niveau de protection jugé « adéquat » au sens du RGPD.
Pour contester ce cadre, le requérant avançait quatre moyens principaux : absence d’un tribunal indépendant et impartial, insuffisance de l’encadrement des collectes massives par les agences de renseignement américaines, absence de garantie contre les décisions automatisées produisant des effets juridiques, et insuffisance des mesures de sécurité prévues par le DPF.
🔎La question de l’irrecevabilité du recours
À titre préalable, le Tribunal de l’Union européenne choisit de ne pas se prononcer sur l’exception d’irrecevabilité soulevée par la Commission. À titre préalable, le Tribunal de l’Union européenne choisit de ne pas se prononcer sur l’exception d’irrecevabilité soulevée par la Commission. Il considère que, puisque le recours est dépourvu de fondement, il est préférable, dans un souci de bonne administration de la justice, d’examiner directement son bien-fondé, sans statuer au préalable sur la recevabilité.
Le Tribunal fait ainsi preuve de pragmatisme : plutôt que de s’arrêter sur la question sensible de savoir si un citoyen peut attaquer directement une décision d’adéquation, il préfère se placer sur le terrain du fond et confirmer la légalité du Data Privacy Framework.
La question de la recevabilité d’un recours introduit par un particulier ou une ONG contre une décision d’adéquation — qui demeure un acte de portée générale — reste donc incertaine. Jusqu’à présent, la CJUE a été amenée à se prononcer sur la validité de tels actes par le biais de questions préjudicielles posées par des juridictions nationales.
🔎La question de l’absence d’un tribunal indépendant et impartial
Le Tribunal de l’Union européenne s’est prononcé sur la conformité de la Data Protection Review Court (DPRC) au regard de l’article 47, deuxième alinéa, de la Charte et de l’article 45, paragraphe 2, du RGPD. Il relève que cette juridiction, créée par l’Executive Order 14086 et par le règlement du procureur général, a été instituée comme un organe indépendant, chargé de réexaminer les décisions du Civil Liberties Protection Officer..
🗞PLUS DE DÉTAILS :
lawprofiler.com/news-transfe…
TOUTES NOS RUBRIQUES :
lawprofiler.com/index.php?pa…
#RGPD #DonnéesPersonnelles #ProtectionDesDonnées #DataPrivacyFramework #CJUE #DroitNumérique #CyberSécurité #LegalTech #TransfertsDeDonnées #lawprofiler