L'accord UE-États-Unis sur les données vient de perdre son arbitre. Voici ce que cela signifie.
Fabian, Fondateur de Bitflake July 8, 2026
L'Europe et les États-Unis ont conclu trois accords sur les données. Deux ont été invalidés. Le troisième vient de perdre son arbitre, ce qui le fragilise.
D'abord, cela vous concerne-t-il ?
Si vous utilisez le moindre service américain, presque certainement. Les données personnelles couvrent tout ce qui identifie une personne : les e-mails dans votre boîte de réception, les contacts clients dans votre CRM, les dossiers du personnel, même les messages Slack qui mentionnent des personnes. Si votre entreprise utilise Google Workspace, Microsoft 365, Slack ou Dropbox, cela concerne vos données. Seuls les chiffres purement internes et les données anonymisées ne sont pas concernés.
Alors pourquoi ces accords UE-États-Unis existent-ils ?
Le droit européen dit que les données personnelles ne peuvent quitter l'Europe que si elles bénéficient à l'étranger du même niveau de protection qu'en Europe. Les États-Unis ne le garantissent pas par défaut. Les agences de renseignement américaines peuvent accéder aux données détenues par des entreprises américaines, et les Européens n'ont presque aucun moyen juridique efficace de le contester.
À quelques années d'intervalle, les États-Unis formulent une série de promesses : des garanties, des limites, et des organes de contrôle indépendants auprès desquels les clients européens peuvent se plaindre. La Commission européenne juge ces promesses « suffisantes » et autorise le stockage légal des données aux États-Unis. L'accord exige les promesses et quelqu'un d'indépendant pour les faire respecter.
L'Europe et les États-Unis ont déjà tenté cela trois fois
- 2015 : le Safe Harbour invalidé (Schrems I). Les promesses étaient auto-certifiées, à peine vérifiées.
- 2020 : le Privacy Shield invalidé (Schrems II). La surveillance restait incontrôlée, sans véritable recours pour les Européens.
- 2023 : le Data Privacy Framework le remplace. De nouvelles garanties et de nouveaux organes de contrôle, mais le même problème de fond.
Ce qui vient de changer
Chaque fois, les tribunaux européens ont constaté que les promesses n'étaient en réalité pas applicables. Et maintenant, le troisième accord a le même problème. La Cour suprême des États-Unis a jugé que la Federal Trade Commission (FTC), l'arbitre de l'accord, pourrait ne plus être indépendante du président. La FTC est l'organe qui sanctionne les entreprises américaines lorsqu'elles rompent leurs promesses de confidentialité : utiliser vos données pour des usages qu'elles avaient promis d'éviter, ignorer les demandes de suppression, les revendre.
L'accord UE-États-Unis cite la FTC 259 fois. C'est son pouvoir d'application qui rendait les promesses de l'accord effectives. Les organes de contrôle de la surveillance ont déjà été vidés de leur substance, et maintenant l'organe de contrôle commercial a lui aussi perdu son indépendance.
Ce n'est pas seulement un problème pour l'UE
La version britannique, le UK-US data bridge, repose sur les mêmes engagements et le même mécanisme d'application. Si le cadre européen tombe, elle se retrouve sur le même terrain fragile.
Max Schrems et son organisation de défense de la vie privée noyb appellent la Commission européenne à retirer entièrement l'accord. Ils déposeront un recours dans les prochaines semaines pour le faire annuler, comme les deux précédents, ce qui devrait engager un processus vers un « Schrems 3 ».
Et maintenant ?
Rien ne change demain. L'accord reste formellement en vigueur jusqu'à son retrait ou son invalidation, ce qui prend du temps. Mais la tendance compte plus que cet arrêt isolé. À un moment donné, la question n'est plus « Cet accord est-il sûr ? » mais devient « Pourquoi mon entreprise dépend-elle de cet accord au juste ? »
Ce n'est pourtant pas une fatalité. Des alternatives européennes et open source existent désormais pour presque tous les outils d'une stack classique, du stockage de fichiers à la messagerie d'équipe.
C'est pour cela que je construis Bitflake. Vos outils, fonctionnant sur des serveurs dans votre pays, sous des lois qui ne changent pas à chaque arrêt d'un tribunal américain.