Arrêt Schrems II : le jugement qui a dynamité les transferts de données hors UE
Maximilian Schrems est un avocat autrichien qui a passé la dernière décennie à combattre Facebook devant les tribunaux européens. Pas pour la gloire ni pour l’argent : pour une question de principe qui tient en une phrase : est-ce que mes données personnelles sont protégées quand elles traversent l’Atlantique ? La Cour de Justice de l’Union européenne a répondu « non » en 2020, et cette réponse a fait exploser l’ensemble du cadre juridique qui permettait aux entreprises européennes de transférer des données vers les États-Unis. Si vous arrivez depuis le guide sur la souveraineté et le RGPD dans le cloud européen, vous savez que ce sujet est tout sauf théorique. L’arrêt Schrems II est la raison pour laquelle la moitié des entreprises européennes sont techniquement en infraction avec le RGPD en 2026.
Pour comprendre la portée de la décision, il faut savoir ce qui existait avant. Le Safe Harbor (2000-2015) puis le Privacy Shield (2016-2020) étaient des accords entre l’UE et les États-Unis qui déclaraient, sur la foi d’autocertifications américaines, que le niveau de protection des données aux États-Unis était « adéquat ». La CJUE a invalidé les deux. Pas par caprice : parce que les programmes de surveillance de masse américains (notamment PRISM et Upstream, révélés par Edward Snowden en 2013) rendaient ces déclarations d’adéquation objectivement fausses.
Ce que Schrems II a changé concrètement
L’arrêt C-311/18 du 16 juillet 2020 a trois conséquences majeures. Premièrement, le Privacy Shield est annulé avec effet immédiat : pas de période de transition, pas de délai de grâce. Deuxièmement, les clauses contractuelles types (SCC) restent valides en théorie, mais le responsable de traitement doit vérifier au cas par cas que le pays de destination offre une protection adéquate. Troisièmement (et c’est le point qui tue), la Cour a constaté que le droit américain (en particulier la Section 702 du FISA et l’Executive Order 12333) ne permettait pas cette protection adéquate.
En d’autres termes : les SCC ne suffisent pas pour transférer des données vers les États-Unis. Il faut des « mesures supplémentaires », un concept que la Cour n’a pas défini et que le Comité européen de la protection des données a tenté de clarifier dans ses recommandations 01/2020. Ces mesures supplémentaires incluent le chiffrement de bout en bout (où le fournisseur américain n’a pas accès aux clés), la pseudonymisation, ou le split processing. En pratique, la plupart des entreprises qui utilisent Google Workspace ou Microsoft 365 n’implémentent aucune de ces mesures.
Ce que le RGPD dit vraiment sur les clauses contractuelles
Le RGPD prévoit plusieurs mécanismes pour les transferts hors UE : décision d’adéquation (article 45), garanties appropriées comme les SCC (article 46), et dérogations pour des situations spécifiques (article 49). Après Schrems II, la décision d’adéquation pour les États-Unis n’existe plus (le Data Privacy Framework de 2023, on y revient), les SCC nécessitent une évaluation d’impact que presque personne ne fait correctement, et les dérogations de l’article 49 sont trop étroites pour couvrir un usage cloud quotidien.
Le Data Privacy Framework (DPF), adopté par la Commission européenne en juillet 2023, est censé être la solution. Il repose sur l’Executive Order 14086 signé par Joe Biden en octobre 2022, qui crée un mécanisme de recours pour les citoyens européens et impose des limites de proportionnalité à la surveillance américaine. Le problème est triple : un executive order n’est pas une loi (il peut être révoqué par le président suivant), le mécanisme de recours passe par une « Data Protection Review Court » qui n’est pas un vrai tribunal, et NOYB (l’association de Max Schrems) a déjà annoncé qu’elle contesterait le DPF devant la CJUE. Schrems III est une question de temps, pas de probabilité.
Les risques concrets du Cloud Act après l’invalidation du Privacy Shield
Le Cloud Act rend la situation encore plus complexe. Même avec le DPF en vigueur, même avec des SCC signées, même avec des mesures supplémentaires documentées, une injonction Cloud Act oblige un fournisseur américain à produire des données sans passer par les canaux d’entraide judiciaire internationaux. Le DPF ne résout pas ce conflit. Il ne le mentionne même pas.
Les autorités européennes de protection des données ne sont pas restées inactives. L’APD autrichienne a jugé que Google Analytics violait le RGPD en janvier 2022. La CNIL a emboîté le pas un mois plus tard. L’autorité italienne a sanctionné Google en juin 2022. Ces décisions ne concernaient « que » Google Analytics, mais le raisonnement juridique s’applique à tout service américain qui collecte des données personnelles européennes.
La seule certitude juridique en 2026, c’est d’utiliser un fournisseur cloud dont le siège social et l’infrastructure se trouvent dans une juridiction qui respecte le RGPD sans être soumise au droit américain. Ça veut dire l’UE ou la Suisse (dont la nLPD est reconnue comme offrant un niveau de protection adéquat par la Commission européenne). Le reste, c’est un pari sur la survie du Data Privacy Framework face à la prochaine saisine de la CJUE.