La FTC sous le feu des projecteurs : une décision de la Cour suprême qui ébranle le Data Privacy Framework UE-USA

Imaginez que vous construisiez un château de cartes minutieusement équilibré, et qu'un coup de vent soudain en fasse vaciller la base. C'est un peu ce qui se passe actuellement avec le Data Privacy Framework (DPF) UE-USA, ce mécanisme qui permet aux entreprises de transférer des données personnelles entre l'Europe et les États-Unis en toute légalité. La Cour suprême américaine vient de rendre une décision qui pourrait bien être ce coup de vent.

La décision qui change la donne

Le 1er juillet 2024, dans l'affaire FTC v. Axon Enterprise, la Cour suprême a statué que le président des États-Unis peut révoquer les commissaires de la Federal Trade Commission (FTC) sans motif valable. Jusqu'à présent, les commissaires étaient protégés par une clause de « bonne cause », ce qui garantissait une certaine indépendance à l'agence. Cette décision remet en cause cette indépendance, et par ricochet, la crédibilité des engagements américains en matière de protection des données.

Pourquoi cela impacte le Data Privacy Framework ?

Le DPF repose sur des garanties solides : les entreprises américaines qui adhèrent à ce cadre s'engagent à respecter des principes stricts de protection des données, sous la supervision de la FTC. Si la FTC n'est plus indépendante, ces garanties pourraient être considérées comme insuffisantes par la Commission européenne. Celle-ci a d'ailleurs annoncé qu'elle évaluerait l'impact de cette décision sur la validité du DPF. Autant dire que les entreprises qui transfèrent des données vers les États-Unis retiennent leur souffle.

Un précédent qui fait écho

Ce n'est pas la première fois que les mécanismes de transfert de données entre l'UE et les États-Unis sont remis en cause. Souvenez-vous du Schrems II en 2020, qui avait invalidé le Privacy Shield. À l'époque, les entreprises avaient dû se tourner vers d'autres outils, comme les clauses contractuelles types (CCT). Aujourd'hui, l'histoire pourrait se répéter, mais avec une complexité supplémentaire : la question de l'indépendance de la FTC.

Que doivent faire les entreprises ?

Si vous êtes responsable de la conformité des données dans votre entreprise, il est temps de sortir votre plan d'urgence. Voici quelques pistes :

• Surveiller les annonces de la Commission européenne : elle devrait publier une analyse d'ici la fin de l'année. Ne laissez pas cela vous prendre au dépourvu.
• Diversifier vos mécanismes de transfert : les CCT restent valides, mais assurez-vous qu'elles sont accompagnées d'une analyse d'impact (TIA) solide.
• Envisager des solutions de localisation des données : si possible, stockez les données dans l'UE ou dans des pays bénéficiant d'une décision d'adéquation.

Et surtout, ne paniquez pas. Comme le dit l'adage, « mieux vaut prévenir que guérir ». Prenez une tasse de café (ou de thé, selon votre camp) et mettez à jour votre registre des activités de traitement.

Un peu d'humour pour digérer tout ça

Lire les décisions de la Cour suprême, c'est un peu comme essayer de monter un meuble IKEA sans notice : on a l'impression que chaque pièce est importante, mais on ne sait pas trop comment les assembler. Heureusement, les experts en protection des données sont là pour nous guider. Et si tout cela vous semble absurde, rappelez-vous que le droit a parfois le sens de l'humour (un humour très, très noir).

En attendant, gardez un œil sur Bruxelles et sur Washington. Le Data Privacy Framework n'a pas dit son dernier mot, mais il va devoir montrer qu'il a de la ressource.