- Administratif
- Affaires
- Civil
- Toute la matière
- > Arbitrage - Médiation - Conciliation
- > Biens - Propriété
- > Contrats et obligations
- > Droit et liberté fondamentaux
- > Droit international et communautaire
- > Famille - Personnes
- > Filiation
- > Mariage - Divorce - Couple
- > Procédure civile
- > Responsabilité
- > Successions - Libéralités
- > Sûretés
- > Voies d'exécution
- Européen
- Immobilier
- IP/IT et Communication
- Pénal
- Toute la matière
- > Atteinte à l'autorité de l'état
- > Atteinte à la personne
- > Circulation et transport
- > Criminalité organisée et terrorisme
- > Droit pénal des affaires
- > Droit pénal général
- > Droit pénal international
- > Enquête
- > Etranger
- > Informatique
- > Instruction
- > Jugement
- > Mineur
- > Peine et exécution des peines
- > Presse et communication
- > Santé publique
- Social
- Avocat
Article
La validation du Data Privacy Framework devant le juge de l’Union : vers une équivalence substantielle assouplie
La validation du Data Privacy Framework devant le juge de l’Union : vers une équivalence substantielle assouplie
En rejetant le recours Latombe, le Tribunal de l’Union européenne a confirmé la validité du Data Privacy Framework. Il a préféré juger au fond plutôt que de trancher la recevabilité, admettant la légalité d’un mécanisme de recours inédit et d’un encadrement assoupli de la surveillance américaine en vrac. Ce choix sécurise les transferts transatlantiques mais laisse ouvertes d’importantes interrogations sur l’effectivité des droits des personnes concernées et sur la portée de l’« équivalence substantielle ».
Le recours Latombe et la stratégie contentieuse du Tribunal
Le contentieux des transferts de données vers les États-Unis est devenu l’un des terrains privilégiés où s’affirme la portée extraterritoriale du droit de l’Union. Après l’invalidation du Safe Harbor en 2015 (CJUE 6 oct. 2015, Schrems I, aff. C-362/14, AJDA 2015. 2257, chron. E. Broussy, H. Cassagnabère et C. Gänser 
; D. 2016. 111 , note B. Haftel ; ibid. 88, point de vue C. Castets-Renard ; ibid. 2025, obs. L. d’Avout et S. Bollée ; AJ pénal 2015. 601, obs. E. Daoud ; Dalloz IP/IT 2016. 26, étude C. Théard-Jallu, J.-M. Job et S. Mintz ; JAC 2015, n° 29, p. 11, obs. E. Scaramozzino ; JT 2015, n° 180, p. 14, obs. E. Scaramozzino ; Rev. crit. DIP 2022. 287, étude U. Kohl ; RTD eur. 2015. 786, obs. M. Benlolo Carabot ; ibid. 2017. 361, obs. F. Benoît-Rohmer ; ibid. 365, obs. F. Benoît-Rohmer ) puis du Privacy Shield en 2020 (CJUE 16 juill. 2020, Schrems II, aff. C-311/18, Dalloz actualité, 22 juill. 2020, obs. C. Crichton ; D. 2020. 2432 , note C. Castets-Renard ; ibid. 2022. 2002, obs. W. Maxwell et C. Zolynski ; AJ contrat 2020. 436 , obs. T. Douville ; Dalloz IP/IT 2020. 640, obs. B. Bertrand et J. Sirinelli ; Rev. crit. DIP 2020. 874, Eclairages A. d’Ornano ; ibid. 2022. 287, étude U. Kohl ; RTD eur. 2021. 175, obs. B. Bertrand ; ibid. 973, obs. F. Benoît-Rohmer ), la Commission a adopté, le 10 juillet 2023, une nouvelle décision d’adéquation fondant le Data Privacy Framework (DPF). Cette troisième tentative visait à restaurer une base juridique sûre pour les flux transatlantiques, alors que les services numériques européens reposent massivement sur des solutions américaines.
C’est dans ce contexte que le député français Philippe Latombe a introduit un recours en annulation devant le Tribunal de l’Union (TFUE, art. 263), contestant la décision d’adéquation. L’initiative était inédite : jusque-là, les annulations avaient résulté de questions préjudicielles posées par des juridictions nationales, saisies par des utilisateurs ou des associations (High Court irlandaise dans Schrems II).
Or, les conditions de recevabilité des recours directs en annulation sont strictes. La décision d’adéquation est bien un acte réglementaire sans mesures nationales d’exécution, immédiatement applicable et de portée générale. Les autorités nationales de contrôle comme la CNIL assurent un suivi, toutefois ce rôle ne saurait être assimilé à une « mesure d’exécution ». Mais restait à déterminer si un particulier pouvait être considéré comme « directement concerné ». La jurisprudence exige en effet que l’acte produise immédiatement des effets sur sa situation juridique, sans intermédiaire ni marge d’appréciation.
Deux lectures étaient possibles. On pouvait soutenir que l’acte autorise immédiatement les transferts vers les organisations américaines inscrites sur la liste du Department of Commerce et affecte donc directement les données de M. Latombe, utilisateur de services comme Microsoft 365, Google ou Doctolib. À l’inverse, on pouvait estimer que la décision vise d’abord les responsables de traitement et les exportateurs de données, les citoyens n’étant touchés qu’indirectement, via leurs relations contractuelles. L’existence d’autres bases juridiques pour les transferts (clauses contractuelles types, règles d’entreprise contraignantes, dérogations de l’art. 49 RGPD) affaiblissait encore le lien de causalité directe.
Le Tribunal a choisi d’éviter ce débat. Sur le fondement de l’article 130 de son règlement de procédure, il a rejeté le recours directement au fond, sans examiner la recevabilité. Cette option, juridiquement possible mais rarement utilisée, traduit une stratégie claire : assurer la sécurité juridique des transferts en évitant de prolonger l’incertitude. En pratique, ce silence équivaut à reconnaître que le recours individuel d’un citoyen aurait probablement été jugé irrecevable, mais sans inscrire cette irrecevabilité dans une jurisprudence qui fermerait la voie à tout contrôle ultérieur.
Ce choix est révélateur. La Cour de justice n’avait pas hésité à...
