article 45, § 2, b) du RGPD, « l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes » ; or le 29 juin 2026, la Cour suprême des États-Unis a jugé les commissaires de la FTC librement révocables par le président, alors que la Commission européenne avait expressément fondé son adéquation de 2023 sur leur inamovibilité.
art. 44 du règlement (UE) 2016/679 (RGPD) : principe général — aucun transfert hors de l'Union ne peut compromettre le niveau de protection garanti par le règlementart. 45, § 2, b) : parmi les éléments que la Commission doit prendre en compte pour constater l'adéquation figure « l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes » dans le pays tiers — c'est le texte que vise le CEPD dans sa lettreart. 45, § 4 et § 5 : la Commission suit de manière continue les évolutions susceptibles d'affecter le fonctionnement d'une décision d'adéquation et, si le pays tiers n'assure plus un niveau adéquat, elle abroge, modifie ou suspend sa décision par acte d'exécutionart. 46 (garanties appropriées : clauses contractuelles types, BCR) et art. 49 (dérogations pour situations particulières) : les outils de repli en cas de disparition de l'adéquationC-311/18, Facebook Ireland et Schrems (« Schrems II ») : invalidation du Privacy Shield et exigence d'une équivalence substantielle appréciée en pratiqueT-553/23, Latombe c/ Commission : rejet du recours en annulation contre la décision 2023/1795 ; pourvoi formé le 31 octobre 2025, affaire C-703/25 P, pendante devant la Cour de justice25-332, 29 juin 2026 : revirement de Humphrey's Executor v. United States, 295 U.S. 602 (1935)Le 29 juin 2026, la Cour suprême des États-Unis rend, par six voix contre trois, l'arrêt Trump v. Slaughter (n° 25-332). Elle y juge que la FTC « a accumulé de vastes pouvoirs réglementaires, répressifs et juridictionnels » et qu'elle « exerce incontestablement un pouvoir exécutif, et doit donc être contrôlée par le chef de l'exécutif, en qui ce pouvoir est investi ». Conséquence : les commissaires sont soumis à la supériorité hiérarchique du président, y compris son pouvoir de révocation. L'arrêt renverse Humphrey's Executor, précédent de 1935 qui avait validé, au regard de la séparation des pouvoirs, les protections statutaires interdisant au président de révoquer un commissaire hors des motifs limitativement énumérés.
Or la Federal Trade Commission n'est pas un acteur périphérique du droit européen : c'est l'autorité chargée, aux États-Unis, de faire respecter les engagements souscrits par les entreprises certifiées au titre du Data Privacy Framework, ce cadre qui autorise depuis 2023 les transferts de données personnelles de l'Union vers les États-Unis sans garantie contractuelle supplémentaire. Dans les considérants 58 à 60 de sa décision d'exécution du 10 juillet 2023, la Commission européenne s'appuyait explicitement sur l'indépendance de la FTC et sur le fait que ses cinq commissaires ne pouvaient être révoqués que pour des motifs déterminés.
Le 31 juillet 2026, la présidente du Comité européen de la protection des données (CEPD/EDPB), Anu Talus, écrit au commissaire européen Michael McGrath, en charge de la démocratie, de la justice, de l'État de droit et de la protection des consommateurs. Elle rappelle que l'indépendance effective des autorités de contrôle du pays tiers est un élément clé de l'appréciation d'adéquation au sens de l'article 45, § 2, b), du RGPD, et demande à la Commission d'évaluer étroitement si l'arrêt américain « affecte le fonctionnement de la décision d'exécution (UE) 2023/1795 », en souhaitant « des actions pertinentes » et un partage d'informations en temps utile. La lettre ne demande pas la suspension du cadre.
Deux procédures encadrent ce mouvement. D'un côté, l'association noyb de Max Schrems a appelé dès le 29 juin la Commission à envisager la sortie de l'accord. De l'autre, le pourvoi du député français Philippe Latombe (C-703/25 P) est pendant devant la Cour de justice : le Tribunal avait validé le cadre le 3 septembre 2025 en appréciant sa légalité à la date de son adoption ; la question du moment auquel s'apprécie l'adéquation figure au cœur du pourvoi.
Le Data Privacy Framework est l'infrastructure juridique invisible d'une grande partie du quotidien numérique européen : messageries, hébergement cloud, régies publicitaires, outils de visioconférence, CRM, plateformes d'analytics. Lorsqu'il fonctionne, un responsable de traitement européen transfère vers un prestataire américain certifié sans clause contractuelle type ni analyse d'impact du transfert : l'adéquation tient lieu de garantie. C'est précisément ce raccourci qui est en cause. Rien n'est annulé à ce stade — la décision 2023/1795 reste en vigueur tant que la Commission ne l'a pas abrogée, modifiée ou suspendue, ou tant qu'une juridiction ne l'a pas invalidée.
Le mécanisme juridique mérite d'être compris, car il est structurel et non conjoncturel. Une décision d'adéquation n'est pas un certificat délivré une fois pour toutes : c'est un constat, révisable, qui repose sur un ensemble de prémisses factuelles décrites dans les considérants. Lorsqu'une de ces prémisses cesse d'être vraie — ici, l'inamovibilité relative des commissaires de la FTC —, le raisonnement de la Commission perd un de ses appuis. L'article 45, § 4, l'oblige d'ailleurs à surveiller ces évolutions ; l'article 45, § 5, définit ce qu'elle doit faire si le niveau adéquat n'est plus assuré. La lettre du CEPD ne fait, formellement, qu'activer ce mécanisme de suivi.
L'histoire s'est déjà répétée deux fois. Le Safe Harbor est tombé en 2015 (Schrems I), le Privacy Shield en 2020 (Schrems II, C-311/18), à chaque fois sur le même point de friction : l'accès des autorités américaines aux données et l'effectivité des voies de recours. Le motif évoqué aujourd'hui est différent — non plus le renseignement, mais le statut constitutionnel des autorités administratives indépendantes aux États-Unis — mais il est plus difficile à corriger par un décret présidentiel, puisqu'il découle d'une lecture de la Constitution par la Cour suprême. Il faut néanmoins rester exact : la Cour suprême n'a rien jugé sur la protection des données, et l'arrêt ne prive la FTC ni de ses pouvoirs d'enquête ni de ses pouvoirs de sanction.
Pour un chercheur en sécurité ou un consultant en automatisation, la conséquence est opérationnelle avant d'être doctrinale. Un flux de données ne se cartographie pas au niveau du contrat, mais au niveau du sous-traitant ultime : chaque SDK embarqué, chaque webhook, chaque connecteur SaaS, chaque agent d'observabilité ou de télémétrie constitue un transfert potentiel. La question à instrumenter n'est donc pas « suis-je couvert par le DPF ? » mais « quels flux basculeraient en illicéité si l'adéquation disparaissait demain, et quel est mon délai de bascule vers des clauses contractuelles types assorties d'une analyse d'impact du transfert ? ». Un inventaire automatisé des destinations réseau, croisé avec la liste publique des organisations certifiées et le registre des traitements, produit une réponse chiffrée là où la plupart des organisations n'ont qu'une intuition.