# Quand un arrêt de la Cour suprême américaine sur la révocation d'un fonctionnaire menace l'adéquation européenne

## Le point de départ : une question de plomberie constitutionnelle américaine

Le 29 juin 2026, la Cour suprême des États-Unis a rendu, par six voix contre trois, l'arrêt *Trump v. Slaughter*, référencé sous le numéro 25-332. La question posée n'avait, en apparence, rien à voir avec la vie privée : il s'agissait de savoir si le Congrès américain peut protéger les commissaires de la Federal Trade Commission contre une révocation discrétionnaire du président. Depuis 1935 et l'arrêt *Humphrey's Executor v. United States*, 295 U.S. 602, la réponse était oui : le législateur pouvait prévoir qu'un commissaire de la FTC ne soit révocable que pour des motifs limitativement énumérés — inefficacité, négligence dans l'exercice de ses fonctions, ou faute dans l'exercice de sa charge. Cette protection statutaire était le fondement même de la catégorie américaine des « agences indépendantes ».

La Cour suprême a renversé ce précédent. Elle a considéré que la FTC « a accumulé de vastes pouvoirs réglementaires, répressifs et juridictionnels » et qu'elle « exerce incontestablement un pouvoir exécutif, et doit donc être contrôlée par le chef de l'exécutif, en qui ce pouvoir est investi ». La conséquence est directe : les commissaires sont des agents de l'exécutif, soumis à l'autorité du président, y compris à son pouvoir de révocation. Quatre-vingt-onze ans de doctrine constitutionnelle tombent en une phrase.

## Pourquoi Bruxelles s'en préoccupe

Le lien avec le droit européen passe par un document que peu de gens ont lu et dont dépend une part considérable de l'économie numérique européenne : la décision d'exécution (UE) 2023/1795 de la Commission européenne, adoptée le 10 juillet 2023. Cette décision constate que les États-Unis assurent, dans le cadre du EU-US Data Privacy Framework, un niveau de protection des données personnelles adéquat au sens du RGPD. En pratique, cela signifie qu'un responsable de traitement européen peut transférer des données personnelles vers une entreprise américaine certifiée au titre de ce cadre sans avoir à conclure de clauses contractuelles types, sans analyse d'impact du transfert, sans mesures supplémentaires. L'adéquation tient lieu de garantie.

Or, pour parvenir à ce constat, la Commission devait examiner un faisceau d'éléments énumérés à l'article 45, paragraphe 2, du RGPD. Le point b) de cette liste vise « l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes » dans le pays tiers, dotées de la responsabilité d'assurer et de faire respecter les règles de protection des données. Aux considérants 58 à 60 de sa décision, la Commission s'est appuyée sur la Federal Trade Commission — l'autorité qui, aux États-Unis, contrôle le respect des engagements souscrits par les entreprises certifiées — et a explicitement mentionné le fait que ses cinq commissaires ne pouvaient être révoqués par le président que pour les motifs limitativement prévus par la loi.

C'est cette prémisse factuelle qui vient de disparaître. Le 31 juillet 2026, Anu Talus, présidente du Comité européen de la protection des données, a adressé une lettre au commissaire européen Michael McGrath, en charge de la démocratie, de la justice, de l'État de droit et de la protection des consommateurs. Elle y rappelle que l'indépendance effective des autorités de contrôle du pays tiers est un élément clé de l'appréciation d'adéquation, non seulement au titre de l'article 45, paragraphe 2, point b), mais aussi pour garantir aux personnes concernées un niveau de protection substantiellement équivalent en pratique et pour assurer la coopération avec les autorités de contrôle des États membres. Elle demande à la Commission d'évaluer étroitement si ce développement affecte le fonctionnement de la décision 2023/1795, dit attendre des « actions pertinentes », et souhaite un partage d'informations en temps utile.

## Ce que la lettre ne dit pas

Il est essentiel de mesurer exactement la portée de cet épisode, car il se prête aux exagérations dans les deux sens. La lettre du CEPD ne demande pas la suspension du Data Privacy Framework. Elle ne constate pas l'invalidité de la décision d'adéquation. Elle n'a aucun effet juridique contraignant : le CEPD est un organe consultatif et coordinateur, pas un juge. Le cadre reste pleinement en vigueur, et il le restera tant que la Commission ne l'aura pas abrogé, modifié ou suspendu, ou tant qu'une juridiction de l'Union ne l'aura pas invalidé. Symétriquement, l'arrêt américain ne prive la FTC ni de ses pouvoirs d'enquête, ni de ses pouvoirs de sanction, et la Cour suprême n'a rien jugé sur la protection des données personnelles.

Ce que la lettre fait, en revanche, c'est activer formellement un mécanisme prévu par le RGPD lui-même. L'article 45, paragraphe 4, impose à la Commission de suivre de manière continue les évolutions, dans les pays tiers, susceptibles d'affecter le fonctionnement de ses décisions d'adéquation. L'article 45, paragraphe 5, prévoit que, lorsque des informations disponibles révèlent qu'un pays tiers n'assure plus un niveau de protection adéquat, la Commission abroge, modifie ou suspend sa décision par voie d'acte d'exécution. Une décision d'adéquation n'est donc pas un certificat définitif : c'est un constat révisable, reposant sur des prémisses factuelles explicitées dans les considérants. Lorsqu'une prémisse tombe, le raisonnement doit être réexaminé.

## Une histoire qui s'est déjà répétée deux fois

Les praticiens reconnaîtront un schéma. Le premier cadre de transfert, le *Safe Harbor*, a été invalidé par la Cour de justice en 2015. Le deuxième, le *Privacy Shield*, l'a été le 16 juillet 2020 par l'arrêt de grande chambre *Facebook Ireland et Schrems*, affaire C-311/18, dit *Schrems II*, qui a également posé l'exigence d'une équivalence appréciée en pratique, et non sur le papier. À chaque fois, le point de rupture concernait l'accès des autorités américaines de renseignement aux données transférées et l'effectivité des voies de recours ouvertes aux Européens.

La difficulté d'aujourd'hui est d'une nature différente. Elle ne porte pas sur le renseignement mais sur le statut constitutionnel des autorités administratives indépendantes aux États-Unis. Cette différence a une conséquence pratique importante : les précédentes objections avaient pu être partiellement traitées par des décrets présidentiels et par la création d'un mécanisme de recours dédié. Une lecture de la Constitution par la Cour suprême ne se corrige pas de la même manière.

Deux procédures accompagnent la suite. D'une part, l'association noyb, fondée par Max Schrems, a appelé dès le 29 juin la Commission à envisager une sortie de l'accord. D'autre part, un contentieux est pendant : le député français Philippe Latombe avait demandé l'annulation de la décision 2023/1795 ; le Tribunal de l'Union européenne a rejeté son recours le 3 septembre 2025 dans l'affaire T-553/23, jugeant notamment que la légalité d'une décision d'adéquation s'apprécie à la date de son adoption. Latombe a formé un pourvoi le 31 octobre 2025, enregistré sous le numéro C-703/25 P, actuellement pendant devant la Cour de justice. La question du moment auquel s'apprécie l'adéquation y occupe une place centrale — et l'on comprend qu'un arrêt américain de juin 2026 en change la portée pratique.

## Ce que cela change pour ceux qui construisent des systèmes

Pour un ingénieur, un architecte ou un consultant en sécurité, la conclusion n'est pas de spéculer sur la survie du cadre, mais de mesurer son exposition. Une organisation européenne moyenne ne sait généralement pas répondre à la question suivante : quels traitements deviendraient illicites si l'adéquation américaine disparaissait du jour au lendemain, et combien de temps faudrait-il pour les rebasculer vers les clauses contractuelles types de l'article 46, assorties de l'analyse d'impact du transfert et, le cas échéant, de mesures supplémentaires comme le chiffrement ou la pseudonymisation avec conservation des clés en Europe ?

La réponse ne se trouve pas dans les contrats, qui décrivent au mieux les fournisseurs de premier rang. Elle se trouve dans l'architecture réelle : SDK embarqués dans les applications mobiles, balises et pixels côté navigateur, webhooks sortants, connecteurs SaaS, agents d'observabilité, pipelines de télémétrie, services de secours et de sauvegarde. Chacun constitue un transfert effectif, souvent invisible dans le registre des traitements. Un inventaire automatisé des destinations réseau observées, croisé avec la liste publique des organisations certifiées et avec le registre, transforme une intuition en délai de bascule chiffré — et fournit, accessoirement, exactement le type de preuve documentaire qu'une autorité de contrôle demande en cas de contrôle.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'un des cinq angles ci-dessous selon ce que vous voulez tirer de cet épisode, et collez le paragraphe correspondant dans le champ de personnalisation de l'Audio Overview.

**Angle 1 — Cartographie offensive des transferts.** Traitez ce dossier comme une mission de reconnaissance : expliquez comment on découvre concrètement les transferts vers les États-Unis dans un système d'information réel, en partant des destinations réseau observées, des SDK mobiles, des pixels et balises côté navigateur, des webhooks sortants et des agents de télémétrie. Insistez sur l'écart typique entre le registre des traitements déclaré et les flux effectivement observés. Terminez par la liste des artefacts techniques à collecter pour prouver ou réfuter l'existence d'un transfert.

**Angle 2 — Architecture et plan de repli.** Concentrez-vous sur l'ingénierie du scénario « l'adéquation disparaît demain ». Détaillez ce qu'implique une bascule vers les clauses contractuelles types de l'article 46 du RGPD : analyse d'impact du transfert, mesures supplémentaires, chiffrement avec gestion des clés en Europe, pseudonymisation, cloisonnement des régions cloud. Discutez des points où ces mesures échouent techniquement, notamment lorsque le prestataire doit accéder aux données en clair pour rendre le service.

**Angle 3 — Généalogie juridique Safe Harbor, Privacy Shield, DPF.** Racontez la succession des trois cadres de transfert et expliquez pourquoi chacun est tombé ou vacille. Comparez le motif de 2020 dans *Schrems II* (accès du renseignement et voies de recours) avec celui invoqué en 2026 (statut constitutionnel des agences indépendantes américaines), et expliquez pourquoi le second est plus difficile à corriger par voie de décret présidentiel. Précisez systématiquement ce qui est acquis et ce qui n'est qu'une hypothèse.

**Angle 4 — Comparaison avec les autres régimes de sanction déjà traités dans ce dépôt.** Reliez cet épisode aux modules précédents de Droit Vivant : l'obligation de sécurité de l'article 32 du RGPD et la sanction France Travail, la responsabilité du sous-traitant au titre de l'article 28, la production transfrontière de preuves électroniques, et les sanctions DSA et DMA infligées aux grandes plateformes. Montrez comment un même flux de données peut engager simultanément plusieurs régimes distincts, avec des autorités, des délais et des plafonds différents.

**Angle 5 — Veille réglementaire automatisée et prospective contentieuse.** Décrivez comment industrialiser la surveillance de ce dossier : quelles sources officielles interroger (registre de correspondance du CEPD, Journal officiel de l'Union européenne, fiches d'affaires InfoCuria, liste publique des organisations certifiées), à quelle fréquence, et quels signaux déclencheraient une alerte interne. Puis explorez les scénarios juridiques ouverts par le pourvoi C-703/25 P et par le pouvoir de suspension de l'article 45, paragraphe 5, du RGPD, en distinguant clairement ce qui est prévu par les textes de ce qui relève de la conjecture.