Brief — Depuis le 29 juin, Donald Trump peut révoquer à volonté le gendarme américain qui garantit vos données : le 31 juillet, Bruxelles a été priée de rouvrir le dossier

Thème : données personnelles — transferts internationaux, décision d'adéquation et indépendance des autorités de contrôle du pays tiers

Le 29 juin 2026, la Cour suprême des États-Unis a jugé, par six voix contre trois, dans l'affaire *Trump v. Slaughter* (n° 25-332), que la Federal Trade Commission « exerce incontestablement un pouvoir exécutif » et doit donc être contrôlée par le chef de l'exécutif, lequel dispose du pouvoir de révoquer ses commissaires — renversant ainsi *Humphrey's Executor v. United States*, 295 U.S. 602 (1935), qui validait depuis quatre-vingt-onze ans les protections statutaires interdisant une révocation discrétionnaire. Le 31 juillet 2026, la présidente du Comité européen de la protection des données, Anu Talus, a écrit au commissaire européen Michael McGrath pour demander à la Commission d'évaluer étroitement si ce revirement « affecte le fonctionnement de la décision d'exécution (UE) 2023/1795 » — celle qui, depuis le 10 juillet 2023, constate l'adéquation du EU-US Data Privacy Framework et autorise les transferts de données de l'Union vers les entreprises américaines certifiées sans garantie contractuelle supplémentaire.

L'argument juridique tient en une phrase. L'article 45, § 2, b), du RGPD impose de tenir compte, pour constater l'adéquation, de « l'existence et du fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes » dans le pays tiers. Or, aux considérants 58 à 60 de sa décision de 2023, la Commission s'était expressément appuyée sur l'indépendance de la FTC et sur le fait que ses cinq commissaires ne pouvaient être révoqués par le président que pour *inefficiency, neglect of duty, or malfeasance in office*. Cette prémisse factuelle vient de cesser d'être exacte. L'article 45, § 4, oblige d'ailleurs la Commission à suivre en continu de telles évolutions, et l'article 45, § 5, l'oblige à abroger, modifier ou suspendre sa décision si le niveau adéquat n'est plus assuré.

Il faut rester précis sur ce qui n'est pas arrivé. Le cadre reste pleinement en vigueur : la lettre du CEPD ne demande pas sa suspension, la Commission n'a rien abrogé, et l'arrêt américain ne prive la FTC ni de ses pouvoirs d'enquête ni de ses pouvoirs de sanction. La Cour suprême n'a d'ailleurs rien jugé sur la protection des données. Deux procédures encadrent néanmoins la suite : l'association noyb de Max Schrems a appelé dès le 29 juin la Commission à envisager la sortie de l'accord, et le pourvoi du député français Philippe Latombe (C-703/25 P, formé le 31 octobre 2025 contre l'arrêt T-553/23 du Tribunal du 3 septembre 2025) est pendant devant la Cour de justice — avec, au cœur du débat, la date à laquelle s'apprécie l'adéquation : celle de l'adoption de la décision, comme l'a retenu le Tribunal, ou celle de l'examen juridictionnel.

Pour un praticien de la sécurité et de l'automatisation, la question opérationnelle n'est pas « suis-je couvert par le Data Privacy Framework ? » mais « quels flux basculeraient en illicéité si l'adéquation disparaissait demain, et en combien de temps puis-je les rebasculer vers des clauses contractuelles types de l'article 46 assorties d'une analyse d'impact du transfert ? ». La réponse ne se lit pas dans les contrats mais dans l'architecture : SDK embarqués, webhooks, connecteurs SaaS, agents de télémétrie et d'observabilité sont autant de transferts effectifs. Croiser un inventaire automatisé des destinations réseau avec la liste publique des organisations certifiées et le registre des traitements transforme une intuition en délai de bascule chiffré.

Brief — Depuis le 29 juin, Donald Trump peut révoquer à volonté le gendarme américain qui garantit vos données : le 31 juillet, Bruxelles a été priée de rouvrir le dossier

Sources