Data Privacy Framework : vérifier un fournisseur

Le Data Privacy Framework, ou DPF, permet certains transferts de données de l’Union européenne vers des organisations américaines participantes. Pour l’utiliser, il faut vérifier le destinataire réel et le champ de sa certification. Une mention « DPF » sur un site commercial n’est pas une preuve suffisante pour tous les flux d’un service.

Quelle est la portée juridique du DPF ?

La décision d’adéquation 2023/1795, Art. 1(1) et 1(2), reconnaît une protection adéquate pour les transferts vers les organisations figurant sur la liste tenue par le ministère américain du commerce, dans le cadre prévu par la décision. Elle ne déclare pas tous les destinataires américains adéquats.

Dans ce périmètre, l’Art. 45(1) du RGPD permet le transfert sans autorisation spécifique. Il n’est pas nécessaire d’ajouter des clauses contractuelles types comme fondement de ce même transfert couvert. L’analyse d’impact liée à des garanties de l’Art. 46 n’est pas la condition de ce transfert fondé sur l’adéquation.

En revanche, la base légale du traitement, la minimisation, la sécurité, l’information et les droits restent à traiter. La distinction entre mécanisme de transfert et conformité du traitement est développée dans notre guide des transferts hors UE.

Vérifier cinq éléments avant d’envoyer les données

Consultez la liste officielle du DPF et conservez la preuve datée de votre vérification. Cette démarche doit porter sur votre fournisseur précis ; aucun statut individuel de certification n’est attesté par le présent guide.

L’annexe I, section III.6 de la décision encadre l’auto-certification et son renouvellement au moins annuel. Ne remplacez pas cette vérification par la seule date d’un contrat. Ne déduisez pas non plus du nom d’un groupe que toutes ses filiales participent.

Exemple hypothétique : une PME signe avec une société européenne, mais le support est fourni par une société américaine du groupe. La certification de cette dernière peut être pertinente pour le flux de support. Celle d’une autre société homonyme ne démontre pas sa couverture. Retracez la chaîne des entités qui traitent les données.

Traiter séparément les données de ressources humaines

La section III.9 de l’annexe I prévoit des règles propres aux informations relatives aux ressources humaines transférées dans le contexte de la relation de travail, notamment une coopération avec les autorités européennes compétentes.

Vérifiez la couverture appropriée lorsque le flux concerne la gestion du personnel. Toute adresse professionnelle n’est pas automatiquement une donnée RH au sens de ce régime : le contexte et l’usage comptent. Inversement, un fichier de paie ne peut pas être traité comme un simple carnet de contacts commerciaux pour éviter cet examen.

Consignez les catégories transférées, les personnes concernées et l’usage prévu. En cas d’ambiguïté sur la fiche, demandez une confirmation documentée avant de conclure que le flux est couvert.

Maintenir le contrat de sous-traitance et contrôler la suite

Le DPF ne remplace pas le contrat de l’Art. 28(3) du RGPD. L’annexe I, section III.10(a) de la décision confirme le maintien de l’exigence contractuelle applicable au traitement pour le compte d’un responsable européen.

Vérifiez donc les instructions, la confidentialité, la sécurité, les autres sous-traitants, l’assistance, la restitution ou suppression et les informations permettant le contrôle. Notre méthode d’audit lorsque les preuves du prestataire manquent aide à qualifier les pièces réellement obtenues.

Les transferts ultérieurs font l’objet du principe II.3 de l’annexe I. La certification du premier destinataire ne dispense pas de comprendre les intervenants suivants ni d’obtenir les informations nécessaires à votre propre responsabilité.

Si la certification cesse ou si le flux n’est pas couvert

Distinguez les nouveaux transferts des données déjà reçues. La section III.6(f) de l’annexe I prévoit la persistance d’obligations pour les données reçues sous le cadre, y compris après une sortie, selon les situations prévues. Une sortie ne signifie donc pas que toutes les protections antérieures disparaissent rétroactivement.

Pour les flux futurs, vérifiez si le DPF reste effectivement utilisable. À défaut, examinez un autre mécanisme du chapitre V avant de poursuivre : garanties appropriées de l’Art. 46, ou dérogation de l’Art. 49 dont les conditions sont réunies. Des clauses de secours ne fonctionnent que si elles sont applicables et respectables. Une analyse d’impact du transfert peut alors être nécessaire.

Préparez une procédure : qui reçoit l’alerte, qui décide, quel flux peut être arrêté et comment les données sont récupérées. Cette préparation est une mesure de gouvernance ; elle ne préjuge pas de l’évolution d’une décision européenne.

Où en est la validité du DPF au 29 septembre 2026 ?

Trois éléments doivent être distingués, car ils n’ont pas la même portée.

La décision d’adéquation reste en vigueur. La Commission européenne répertorie le DPF parmi les décisions d’adéquation applicables. Tant qu’elle n’est ni modifiée, ni suspendue, ni retirée par la Commission, ni invalidée par la Cour de justice, l’Art. 45(1) du RGPD continue de fonder les transferts vers les organisations certifiées.

Le recours Latombe n’est pas clos. Le communiqué du Tribunal du 3 septembre 2025 rapporte le rejet du recours T-553/23, Latombe/Commission. La légalité de la décision y est appréciée à la date de son adoption, en 2023. Un pourvoi a été formé devant la Cour de justice sous la référence C-703/25 P (enregistrement rapporté en novembre 2025 par la presse spécialisée). Je n’ai pas trouvé, au 29 septembre 2026, d’arrêt ni de date d’audience publiés : n’en déduisez ni un sursis ni une invalidation à court terme. Vérifiez l’état du dossier sur le site de la Cour avant toute communication à vos clients ou à votre direction.

Le comité européen de la protection des données a saisi la Commission. Par lettre du 31 juillet 2026, le CEPD demande à la Commission d’examiner si l’arrêt Trump v. Slaughter de la Cour suprême des États-Unis, rendu le 29 juin 2026, affecte le fonctionnement de la décision 2023/1795. Cet arrêt écarte la protection contre la révocation dont bénéficiaient les commissaires de la FTC, autorité qui supervise le volet commercial du DPF. Le CEPD rappelle que l’existence d’autorités de contrôle indépendantes est un élément clé de l’appréciation de l’adéquation au titre de l’Art. 45(2)(b) du RGPD. Il s’agit d’une demande d’examen, pas d’une décision de suspension. Les analyses divergent sur l’effet de l’arrêt sur le mécanisme de recours en matière de renseignement (la Cour de révision de la protection des données, DPRC), certains commentateurs soutenant qu’il n’est pas affecté. Je ne prends pas parti : la question relève de la Commission puis, le cas échéant, du juge.

Concrètement, le DPF reste utilisable aujourd’hui, mais le risque de changement de fondement n’est plus théorique. Il justifie de préparer une solution de repli avant d’en avoir besoin.

Préparer un plan de repli sans abandonner le DPF

Un plan de repli utile tient en une page par fournisseur américain important. Il répond à cinq questions.

Les clauses contractuelles types peuvent être signées à titre préventif. Elles ne fondent le transfert, tant que l’adéquation s’applique, que de manière subsidiaire : ne présentez pas le DPF et les clauses comme deux garanties cumulatives, mais comme un fondement actuel et un fondement de secours. Si vous basculez, l’analyse d’impact du transfert devient la pièce centrale : elle doit tenir compte de la législation américaine applicable, ce que le DPF vous épargnait dans son périmètre. Pour les prestations où l’assistance est assurée depuis un pays tiers, voyez aussi notre article sur le support hors UE.

Exemple hypothétique : une PME et son outil de messagerie marketing

Une PME française utilise un outil d’emailing édité par une société américaine. Son contrat renvoie au DPF. La démarche raisonnable se déroule en quatre temps.

1. Comparer la dénomination du contrat à la fiche de la liste officielle, capturer la page et noter la date.
2. Relever ce que l’outil reçoit : adresses, historique de clics, segments. Aucune donnée RH n’est en jeu, donc la règle spécifique de la section III.9 ne s’applique pas.
3. Demander au fournisseur ses clauses contractuelles types et la liste de ses sous-traitants ultérieurs.
4. Inscrire dans le registre le fondement actuel (Art. 45(1), DPF) et le fondement de repli (Art. 46(2)(c), clauses types, avec analyse d’impact à faire si bascule), puis fixer une revue à chaque changement annoncé par la Commission ou la Cour.

Ce travail prend moins d’une heure par fournisseur et évite de découvrir l’absence de fondement le jour d’une décision.

Suivre les évolutions sans prédire un contentieux

Les Art. 3 et 4 de la décision organisent son suivi et les suites possibles. Réexaminez le dossier en cas de changement de décision, de destinataire ou de périmètre de certification. Surveillez trois sources primaires : le site de la Cour de justice pour l’affaire C-703/25 P, la page de la Commission consacrée aux décisions d’adéquation, et la correspondance du CEPD. Aucun calendrier de future invalidation ne peut être tenu pour acquis.

Ce qu’il faut retenir

• Le DPF couvre des organisations participantes et des flux déterminés.
• Conservez une vérification datée de l’entité, du statut et du périmètre.
• Examinez spécifiquement les données RH dans le contexte de l’emploi.
• Le contrat de sous-traitance et les autres obligations RGPD demeurent.
• Le pourvoi C-703/25 P est pendant et le CEPD a demandé à la Commission, le 31 juillet 2026, d’examiner l’effet de Trump v. Slaughter : préparez un fondement de repli pour vos fournisseurs américains critiques.

FAQ

Une entreprise américaine est-elle automatiquement couverte ?

Non. Il faut identifier l’organisation participante et vérifier que les données transférées entrent dans le périmètre pertinent de sa certification.

Le DPF suffit-il pour déclarer un logiciel conforme au RGPD ?

Non. Il encadre un transfert couvert ; il ne valide pas votre finalité, votre collecte, vos accès ou votre durée de conservation.

Faut-il une analyse d’impact pour chaque transfert DPF ?

Une analyse de transfert fondée sur l’Art. 46 n’est pas requise pour le même flux effectivement couvert par l’adéquation. Une AIPD peut toutefois être nécessaire au titre de l’Art. 35 si le traitement présente un risque élevé : c’est un examen différent.

Le DPF est-il invalidé ou suspendu ?

Non, pas à la date de cette mise à jour. La décision d’adéquation est en vigueur ; un pourvoi est pendant devant la Cour de justice et le CEPD a demandé à la Commission d’examiner l’effet d’un arrêt de la Cour suprême américaine. Seule une décision de la Commission ou de la Cour changerait le fondement de vos transferts.

Dois-je signer des clauses contractuelles types dès maintenant ?

Ce n’est pas une obligation lorsque le transfert est couvert par l’adéquation. C’est en revanche une précaution raisonnable pour les fournisseurs critiques, à condition de documenter que le fondement actuel reste l’Art. 45(1) et de prévoir l’analyse d’impact qui deviendrait nécessaire en cas de bascule.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.