Données transatlantiques : le Data Privacy Framework déjà contesté

Le député français Philippe Latombe a déposé, le 7 septembre 2023, un recours contre le Data Privacy Framework (DPF) devant la Cour de justice de l’Union européenne (CJUE). Député Modem et membre de la Cnil, il n’a pas agi en vertu de ces fonctions, mais « en tant que simple citoyen ». Présenté par la Commission européenne le 10 juillet 2023, le DPF pose un nouveau cadre juridique au transfert des données entre l’Union européenne et les États-Unis.

Les deux précédents accords sur le sujet, le Safe Harbor et le Privacy Shield, ont été tous deux invalidés par la CJUE, en 2015 et 2020. La loi américaine n’offre en effet aucune garantie de protection aux données personnelles des Européens. Les autorités américaines peuvent notamment accéder, sur injonction judiciaire, à toutes les données détenues par une entreprise américaine, y compris celles situées hors des États-Unis.

La situation n’ayant guère évolué sur le fond, le DPF ne semble pas davantage conforme aux règlements européens (en particulier au RGPD) que ses prédécesseurs. Philippe Latombe dénonce ainsi « un dispositif profondément déséquilibré, construit au détriment du droit européen, (…) et in fine des citoyens de l’Union ». Ce recours est le premier posé contre le DPF. Si la CJUE l’accepte, elle pourrait déclencher une procédure accélérée pour invalider le texte.