Data Privacy Framework : où en est-on en août 2026 ?
Le Data Privacy Framework est toujours en vigueur et vos transferts de données vers les États-Unis restent licites. Mais depuis la décision Trump v. Slaughter du 29 juin 2026, l'autorité européenne de protection des données a demandé à la Commission de réexaminer le cadre. Rien n'est tranché, et rien ne vous oblige à agir dans l'urgence.
Si vous avez reçu ces dernières semaines une note interne alarmante sur les transferts de données vers les États-Unis, vous n'êtes pas seul. Le sujet est remonté d'un coup dans les directions juridiques, et les Head of Data doivent répondre à une question qu'ils pensaient réglée depuis 2023.
Le problème, c'est que la plupart des alertes qui circulent mélangent deux choses très différentes. Je sépare donc ce qui bouge de ce qui ne bouge pas, et ce que ça implique pour votre stack analytics.
1. Que s'est-il passé exactement ?
Quatre dates suffisent à comprendre la situation.
En septembre 2025, le dossier semblait refermé : le Tribunal avait validé les garanties américaines contestées, y compris sur l'accès des services de renseignement. Beaucoup d'entreprises ont classé le sujet à ce moment-là.
Puis la Cour suprême américaine a jugé, le 29 juin 2026, que les protections empêchant la révocation des commissaires de la Federal Trade Commission violaient la séparation des pouvoirs. Le président peut désormais révoquer un commissaire de la FTC sans invoquer l'un des motifs prévus par la loi.
Un mois plus tard, le 31 juillet, l'EDPB a écrit à la Commission européenne pour lui demander d'évaluer les conséquences de cette décision sur la capacité de la FTC à tenir ses engagements au titre du DPF. À l'heure où j'écris ces lignes, la Commission n'a pas répondu publiquement.
2. Pourquoi l'indépendance de la FTC compte dans le DPF
Parce qu'elle est écrite dedans.
Le Data Privacy Framework présente l'indépendance de la FTC comme l'une des garanties offertes aux Européens. Le texte mentionne explicitement que le président américain ne peut révoquer un commissaire que pour « inefficacité, négligence de devoir ou malveillance ». C'est précisément cette protection que la Cour suprême vient de juger contraire à la Constitution américaine.
Or l'existence d'autorités de contrôle indépendantes, dotées de pouvoirs d'exécution réels, fait partie des critères qui permettent à la Commission européenne de considérer qu'un pays tiers offre une protection « essentiellement équivalente » à celle de l'Union.
Vous voyez le problème. Une garantie affichée dans le cadre vient de perdre son fondement juridique dans le pays qui la promettait. Ce n'est pas un détail de procédure, c'est un argument qui va se retrouver devant un juge.
3. Les deux piliers du DPF : lequel est touché ?
C'est la distinction que la plupart des alertes ne font pas, et c'est celle qui change tout.
Le Data Privacy Framework repose sur deux mécanismes séparés.
Plusieurs juristes spécialistes du sujet soutiennent que la décision Slaughter ne s'étend pas à la Data Protection Review Court, pour trois raisons : la décision vise les restrictions imposées par le Congrès au pouvoir de révocation présidentiel et non les limites que l'exécutif s'impose à lui-même, la Cour suprême a expressément refusé de trancher le cas d'autres types d'organes juridictionnels, et les juges de cette cour relèvent d'une catégorie d'agents pour laquelle la jurisprudence admet des protections.
Le raisonnement me paraît solide. Il n'est pas tranché pour autant, et personne ne peut vous garantir aujourd'hui que la Commission ou un juge européen le suivra.
4. Vos transferts sont-ils illégaux aujourd'hui ?
Non. Gardez ça en tête avant de répondre à votre direction juridique.
La décision d'adéquation est en vigueur. Tant qu'elle n'est pas suspendue ou annulée, les transferts fondés sur le DPF restent parfaitement licites. Une demande de réexamen n'est ni une suspension, ni une invalidation : c'est une autorité qui demande à une autre de regarder un dossier.
Ce qui a changé, c'est la nature du risque. En 2025, l'hypothèse d'une chute du cadre relevait de la prospective. En août 2026, une procédure est ouverte à la demande de l'autorité européenne de protection des données. On est passé du « ça pourrait arriver un jour » au « c'est sur la table ».
À noter que deux cadres sont déjà tombés avant celui-ci, Safe Harbor puis Privacy Shield. Ça ne prédit rien sur le troisième, mais ça explique pourquoi les juristes européens ne prennent plus ce genre de signal à la légère.
5. Faut-il quitter Google Analytics maintenant ?
Non, et je me méfie de ceux qui vous diront le contraire cet été.
Migrer une stack analytics en urgence sur la base d'une lettre à laquelle la Commission n'a pas répondu, c'est casser votre mesure pour un risque qui ne s'est pas matérialisé. Une migration, ce n'est pas un changement d'outil : c'est un plan de marquage à refaire, des reportings à reconstruire et un historique à arbitrer. Si le sujet vous pousse malgré tout à regarder une alternative européenne, faites-le comme un arbitrage, pas comme une évacuation.
La bonne question n'est pas « faut-il partir », c'est « combien de temps me faudrait-il pour partir, et puis-je réduire ce délai dès maintenant ». C'est une question d'architecture, pas de panique.
Un point souvent mal compris : héberger vos données hors des États-Unis ne vous met pas mécaniquement à l'abri. Le raisonnement d'équivalence vaut pour tout transfert vers un pays tiers dépourvu de décision d'adéquation.
6. Ce qu'on regarde chez un client exposé
Quand un client nous pose la question, on ne commence pas par comparer des outils. On regarde trois choses.
La conclusion n'est presque jamais « changez d'outil ». Elle est « reprenez la maîtrise de votre donnée en amont pour que le choix de l'outil cesse d'être un point de rupture ».
Pour conclure
Si vous ne devez retenir qu'une chose : le cadre tient, le risque a monté d'un cran, et la bonne réponse n'est pas de migrer mais de réduire votre dépendance. Le sujet va évoluer, la Commission finira par répondre, et cet article sera mis à jour à ce moment-là.
Vous voulez savoir où partent réellement vos données et combien vous coûterait une sortie ? Discutez avec un expert Smart Bees, on regarde votre collecte ensemble.
Questions fréquentes
Le Data Privacy Framework est-il toujours valide ?
Oui. La décision d'adéquation adoptée en juillet 2023 est en vigueur et n'a été ni suspendue ni annulée. Le Comité européen de la protection des données a demandé le 31 juillet 2026 à la Commission européenne de la réexaminer, mais une demande de réexamen n'a pas d'effet suspensif.
Qu'est-ce que la décision Trump v. Slaughter change pour le RGPD ?
Rendue le 29 juin 2026 par la Cour suprême des États-Unis, elle juge inconstitutionnelles les protections empêchant la révocation des commissaires de la FTC. Elle ne modifie pas le RGPD, mais elle fragilise une garantie d'indépendance présentée dans le Data Privacy Framework, sur laquelle repose en partie la décision d'adéquation européenne.
Faut-il arrêter d'utiliser Google Analytics en Europe ?
Rien ne l'impose aujourd'hui. Les transferts fondés sur le Data Privacy Framework restent licites tant que la décision d'adéquation est en vigueur. La question pertinente est celle de votre délai de sortie si le cadre venait à tomber, pas celle d'une migration immédiate.
Héberger ses données en Europe suffit-il à écarter le risque ?
Non. Le raisonnement d'équivalence s'applique à tout transfert vers un pays tiers sans décision d'adéquation, quel qu'il soit. Un outil hébergé hors des États-Unis doit faire l'objet du même examen : où sont les données, qui peut y accéder, et sous quel cadre juridique.
Où partent réellement vos données ?
30 minutes avec un des associés. On regarde votre collecte, ce qui sort de l'Europe, et ce que coûterait une sortie si le cadre bougeait.
