GuiGui's Show

On Monday, the US Supreme Court decided in Trump v. Slaughter that the US Federal Trade Commission (“FTC”) may not be independent anymore. Since 2000, the EU has relied on the “independent” FTC as the enforcer of EU-US deals on personal data [DPF]. According to EU treaty law, such oversight must be independent. […]

Next Steps: Commission must repeal EU-US deal. noyb has sent a formal letter to the European Commission today, asking it to take the appropriate steps to repeal the EU-US data deal in an orderly way. […] Some US service providers also move towards separate EU data processing. However, given that the US still exercises massive pressure on the EU to keep personal data flowing, noyb will also file a lawsuit in the coming weeks, aiming to allow the CJEU to annul the current deal. […]

Latombe a également demandé à la présidente de la Commission UE d'annuler le DPF. Source.

Comme je l'ai exposé dans un précédent article, j'ai bossé sérieusement sur le DPF, y compris via des recours juridictionnels, avec un avocat de la cause très compétent sur ces sujets-là.

Ma conclusion est qu'il faut rester extrêmement prudent sur le sujet. Il s'agit d'un débat juridique très pointu et précis.

La section 702 de FISA n'a pas été renouvelée par le Congrès en juin 2026 (source). Ça change l'évaluation de la menace, tout de même. Il y a un débat juridique sur la continuité de son application jusqu'en mars 2027 au motif que la Cour FISA (FISC) a procédé à son examen et ré-autorisation annuelle en mars 2026. J'ai du mal à voir comment la FISC peut outrepasser le Congrès. Si c'était le cas, pourquoi le Congrès a-t-il voté des prolongations depuis 2008, y compris dans l'attente d'un vote au fond en 2023, 2024, et avril 2026 ? Bref, y a des éléments contradictoires crédibles, donc je suspends mon jugement.

Comme l'expose NOYB, ces deux dernières années, la plupart des multinationales ricaines (Microsoft, Cloudflare, Amazon) ont mis en œuvre des traitements en UE, dans des entités juridiques UE, par du personnel UE, etc. Cela se constate dans les bases de données publiques des adresses IP. Donc l'invalidation du DPF aurait une portée limitée. Non, a priori, il ne suffit pas de se plaindre d'un transfert hypothétique vers les USA par le biais d'une société mère états-unienne, cf. le jugement T-354/22 (Bindl) du Tribunal de l'UE ou bien encore CE 503159. En tout état de cause, le débat juridique s'est nettement complexifié depuis 2020 (invalidation de la précédente décision d'adéquation).

Comme expliqué dans mon article précédent, la nomination et révocation par le président ricain ne suffit pas forcément à caractériser une absence d'indépendance au sens de la CEDH, il faut conduire une analyse fine des critères de la CEDH. Dans le dossier Latombe, le Tribunal de l'UE n'a pas retenu le moyen tiré d'une absence d'indépendance de la DPRC.

Il faut relativiser l'importance pratique de la FTC dans le DPF. Elle est chargée, entre autres, de contrôler l'auto-certification DPF des responsables de traitement, mais en pratique, d'après le CEPD en 2024, elle en branlait pas large. Mais, ce n'est pas un argument juridique. D'autres autorités, comme le PCLOB semblent bien plus cruciaux aux institutions européennes, comme le CEPD, pour évaluer l'adéquation des États-Unis, notamment eu égard à la surveillance de masse et au large accès aux données par les autorités.

Noyb évoque la décision Trump contre Slaughter (FTC), mais pas la décision Trump contre Cook (FED) du même jour, dans laquelle la Cour suprême des États-Unis d'Amérique a jugé que le président ricain ne peut pas limoger la patronne de la réserve fédérale, qui justifie d'un particularisme eu égard à son histoire et à son organisation particulières. Dès lors, la Cour admet des dérogations à sa décision Slaughter, dont pourrait bénéficier, pour d'autres motifs, le PCLOB, la DPRC, ou…

Sans que ça soit un argument, cela fait depuis 2024 que noyb annonce que le DPF est un quasi copier-coller de la précédente décision d'adéquation invalidée, donc que c'est facile à faire invalider, et qu'elle s'en occupera bientôt. Force est de constater que ça traîne, ce qui plaide pour un sujet extrêmement complexe.

Comme je l'ai déjà écrit, il existe d'autres arguments juridiques contre le DPF qui ne reposent pas sur l'absence d'indépendance de la FTC.

Comme je l'ai rappelé à la fin de cet article, les États européens commettent plusieurs des choses que l'on reproche aux ricains. Si les mêmes pratiques détestables existent des deux côtés de l'Atlantique, alors les USA sont peut-être plus adéquats au droit de l'UE qu'on veut bien l'admettre.

Pour ceux qui veulent contester le DPF depuis la France, comme Aeris, il y a des difficultés juridiques nationales supplémentaires.