Données transférées aux États-Unis : le DPF tient toujours, mais pour combien de temps ?

Le 30 septembre 2026
Souveraineté Numérique

Chaque matin, des milliers d’entreprises européennes utilisent des logiciels américains pour gérer leurs emails, leurs prospects ou leur stockage en nuage. Sans le savoir, elles envoient des données de l’autre côté de l’Atlantique. Aujourd’hui, tout est parfaitement légal, mais le terrain juridique tremble à nouveau sous nos pieds. Décryptage.

DPF données souveraineté

L’histoire de Claire : l’emailing du mardi matin

Claire dirige une agence de douze personnes à Lyon. Pour envoyer sa newsletter, elle utilise un outil d’emailing américain réputé.

Chaque fois qu’elle clique sur « Envoyer », les noms, prénoms et adresses email de ses clients franchissent l’océan Atlantique pour être stockés sur des serveurs situés aux États-Unis. En droit européen (le RGPD), ce voyage s’appelle un transfert de données. Par principe, le RGPD interdit de faire sortir ces informations de l’Union européenne, sauf si le pays d’accueil garantit une protection similaire à la nôtre.

Un matin, en parcourant les actualités, Claire lit un titre inquiétant : « Accord de transfert de données UE-USA : un nouveau recours imminent ». Que risque-t-elle vraiment aujourd’hui ?

La règle du jeu actuelle : un « passeport » appelé DPF

Pour éviter que chaque entreprise doive signer des montagnes de contrats complexes, la Commission européenne a accordé un « passeport » collectif aux entreprises américaines : le Data Privacy Framework (DPF), adopté à l’été 2023.

Le lexique express

  • Décision d’adéquation (DPF) : Le feu vert officiel donné par l’Europe pour envoyer des données vers des entreprises américaines certifiées, sans démarche supplémentaire.
  • Clauses Contractuelles Types (CCT) : Le « plan B » juridique. Des contrats modèles validés par l’UE à signer individuellement avec ses prestataires quand il n’y a pas de feu vert global.
  • CJUE : La Cour de Justice de l’Union Européenne, seule autorité capable d’annuler le DPF.

Verdict pour Claire

À ce jour, son transfert est 100 % légal. Son fournisseur est certifié DPF, le cadre est en vigueur, et aucune juridiction n’a annulé le texte. Elle peut dormir tranquille… pour l’instant.

Pourquoi le sol recommence-t-il à trembler ?

Ceux qui suivent le dossier depuis longtemps ont un sentiment de déjà-vu. Avant le DPF, deux autres accords similaires (Safe Harbor puis Privacy Shield) ont existé et ont tous deux été annulés par la justice européenne suite aux recours du juriste autrichien Max Schrems (les fameux arrêts « Schrems I » et « Schrems II »).

Aujourd’hui, deux événements fragilisent à nouveau le DPF :

1. L’affaire devant la Cour européenne (l’appel Latombe) : Un recours contestant la validité du DPF est actuellement pendant devant la Cour de justice de l’UE (affaire C-703/25 P). La question est de savoir si ce cadre résiste véritablement à l’épreuve des faits.

La nuance des juristes : Le Tribunal avait validé le DPF en jugeant la situation arrêtée à 2023. Or, la Cour de justice apprécie en principe la situation au moment où elle statue. Ce rejet initial ne garantit donc pas du tout que le texte résiste au contexte actuel.

2. Le séisme judiciaire américain (Trump v. Slaughter) : Le 29 juin 2026, la Cour suprême des États-Unis a estimé que la Federal Trade Commission (FTC) – l’autorité américaine censée veiller au respect des données – ne pouvait plus être considérée comme une agence totalement indépendante du pouvoir politique. Or, cette indépendance était l’un des piliers essentiels sur lesquels l’Europe s’était appuyée pour accorder sa confiance.

L’association noyb (menée par Max Schrems) s’est engouffrée dans cette brèche pour demander le retrait du DPF.

Attention à la nuance : Ces contestations ne constituent pas un état du droit positif. À la minute où vous lisez ces lignes, la Commission n’a pas retiré sa décision et les juges européens ne se sont pas prononcés. Le DPF reste valable.

DÉZOOM SOUVERAINETÉ – La guerre froide des données

Pourquoi tant d’acharnement contre cet accord ? Parce que le DPF est au cœur d’un bras de fer à trois niveaux :

  1. Politique : Contrer l’extraterritorialité américaine (le CLOUD Act), qui permet aux USA d’accéder à des données stockées en Europe par des entreprises américaines.
  2. Économique : Créer une préférence européenne en rendant l’usage des GAFAM juridiquement inconfortable, au profit des pépites tech d’ici (OVHcloud, Mistral AI, etc.).
  3. Éthique : Refuser que la Commission européenne ferme les yeux sur la surveillance de masse américaine uniquement pour préserver le business transatlantique.

Faire tomber le DPF, c’est vouloir forcer l’Europe à bâtir son autonomie stratégique numérique.

Comprendre ces enjeux permet de réaliser que le dossier ne se tassera pas tout seul. Alors concrètement, que fait une PME avisée à son échelle ?

Le « Crash Test » de la PME avisée : 3 gestes simples

Faut-il couper vos abonnements SaaS américains d’ici ce soir ? Absolument pas. La panique est la pire des conseillères en matière de conformité.

En revanche, une entreprise pragmatique adopte trois réflexes simples de gestion des risques :

1. Dresser la carte de ses dépendances : Lister les outils du quotidien (emailing, CRM, suite bureautique, hébergement) qui envoient des données aux États-Unis et vérifier la base légale utilisée (DPF ou CCT).

Le saviez-vous ?
Même si vos données sont physiquement stockées sur des serveurs situés en Europe (par exemple au centre de données de Google à Francfort ou d’AWS à Dublin), la réglementation européenne considère qu’il y a transfert si l’éditeur est américain et que ses équipes d’ingénieurs basées aux USA peuvent y accéder à distance (pour de la maintenance ou du support technique), ou si la maison-mère est soumise au droit américain.

2. Préparer un parachute (Plan B) : S’assurer que des Clauses Contractuelles Types (CCT) sont prévues en secours et identifier, pour les outils les plus stratégiques, s’il existe une alternative européenne crédible sur le marché.

3. Rester en veille sans s’angoisser : Suivre de loin l’évolution des recours européens. Historiquement, l’annulation des précédents accords est intervenue du jour au lendemain, sans délai de transition accordé aux PME.

La question à vous poser aujourd’hui

Personne ne peut prédire avec certitude si le DPF sera annulé, réaménagé ou maintenu. Mais la vraie question pour votre entreprise n’est pas de savoir quand le texte tombera.

La vraie question est : si le DPF s’effondrait demain matin, sauriez-vous en moins d’une heure quels logiciels de votre entreprise sont impactés et quelles données sont concernées ?

Si la réponse est oui, vous êtes prêts. Sinon, une heure d’inventaire suffit généralement à vous remettre sur les rails.

Le réflexe « 10 minutes » :
Ouvrez votre relevé de carte bancaire d’entreprise. Regardez les prélèvements SaaS mensuels (Slack, Google, Zoom, HubSpot…) : 80 % de vos transferts vers les États-Unis sont déjà sous vos yeux.

Fiche technique & Sources (Pour aller plus loin)

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie | Fondatrice de Celestial Guardian & Juriste en droit du numérique
Certifiée CIPP/E (IAPP) et forte de 15 ans d’expérience au cœur d’écosystèmes fortement réglementés, j’aide les entreprises du numérique et les dirigeants tech à sécuriser leurs usages : ingénierie contractuelle, conformité RGPD & AI Act et gouvernance opérationnelle. Une approche de terrain pour transformer la contrainte juridique en levier stratégique.