Transferts de données UE–États-Unis : ce que le Data Privacy Framework change pour un prestataire externalisé
Le cadre transatlantique a résisté en première instance, mais un appel est pendant. Pourquoi un client européen doit regarder où sont traitées ses données, et quoi demander.
Dès qu’un prestataire externalisé accède à vos données, la question se pose : où sont-elles traitées, et sous quel régime juridique ? Pour les transferts entre l’Union européenne et les États-Unis, le cadre actuel est le Data Privacy Framework (DPF), reconnu « adéquat » par la Commission européenne en 2023. Sa solidité est un sujet d’actualité en 2026.
Où en est le DPF
Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours de Philippe Latombe et confirmé la validité de la décision d’adéquation. Un pourvoi a été formé devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P). Selon les commentateurs juridiques, aucune audience n’était fixée à l’été 2026 et un avis de la Cour n’est guère attendu avant fin 2026 ou début 2027 (WilmerHale, European Martech). Le pourvoi ne suspend pas la décision : les transferts fondés sur le DPF restent permis pendant la procédure.
L’historique justifie la prudence
Les deux cadres précédents, le Safe Harbor puis le Privacy Shield, ont tous deux été invalidés par la Cour de justice, avec un effet immédiat. Une entreprise dont tout le traitement reposerait sur le DPF sans solution de repli s’exposerait à une rupture brutale si l’histoire se répétait. Ce n’est pas une prédiction, c’est un risque à gérer.
Ce que cela signifie pour l’externalisation
La question ne concerne pas seulement le siège du prestataire, mais toute la chaîne : les outils qu’il utilise (messagerie, CRM, stockage, assistants IA), leurs sous-traitants et les lieux d’hébergement. Un collaborateur dédié qui travaille sur vos outils et dans votre environnement sécurisé n’exporte pas vos données ; un flux qui passe par un service tiers hébergé hors UE, si.
Cinq questions à poser
- Où vos données sont-elles stockées et traitées, et par quels sous-traitants ultérieurs ?
- Sur quelle base juridique repose chaque transfert hors UE : décision d’adéquation, clauses contractuelles types, autre ?
- Un plan de repli existe-t-il si le DPF était invalidé ? Idéalement, des clauses contractuelles types déjà signées et une évaluation d’impact documentée.
- Les accès sont-ils limités et journalisés (VPN, droits minimaux, postes sécurisés) ?
- Peut-on rapatrier les données dans un format ouvert, avec un délai défini ?
Une conformité qui varie selon le pays
Les clients en Suisse ou au Canada relèvent de régimes propres (LPD/nLPD, LPRPDE) avec leurs mécanismes de transfert. C’est pourquoi la conformité d’un prestataire multi-pays ne se réduit pas à « être conforme RGPD » : elle consiste à tenir à jour la carte des régimes applicables selon le lieu d’opération du client. Notre page Conformité détaille cette approche.
Cet article est une information générale, pas un avis juridique : l’analyse d’un transfert dépend des faits de chaque situation.
Sources
Une question sur votre situation ?
Parlons de vos besoins de conformité et d’externalisation.