La FTC est placée sous l’autorité de Trump : cela met-il en danger les données européennes ?
Une décision de justice américaine concernant la FTC remet en cause l’accord UE-États-Unis sur les données. Les défenseurs de la protection des données mettent en garde : sans autorité de contrôle indépendante, la base juridique des transferts de données est remise en cause.
Le transfert de données entre l’Europe et les États-Unis est désormais dans le collimateur des défenseurs de la protection des données. Cette décision fait suite à un arrêt rendu par la Cour suprême des États-Unis dans l’affaire Trump contre Slaughter (en anglais). La Cour a estimé que le président américain pouvait exercer une influence nettement plus importante sur la Commission fédérale du commerce (FTC) qu’auparavant. Cela pourrait avoir des conséquences parfois graves pour l’accord actuel entre l’UE et les États-Unis sur la protection des données, car celui-ci exige expressément, selon la Commission européenne, une FTC indépendante (en allemand). Cette indépendance n’est plus garantie en raison de l’influence que la Cour suprême a reconnue au président américain.
De quoi s’agit-il dans cette affaire ?
En mars 2025, Donald Trump a limogé Rebecca Slaughter, commissaire de la FTC, ainsi qu’un autre de ses collègues. En principe, cela n’est possible qu’en cas de manquement grave à ses obligations ou d’abus de pouvoir, c’est ce que stipule le premier paragraphe de loi sur la Commission fédérale du commerce (FTC Act) (en anglais) de 1935. Or, ce n’était pas le cas dans la lettre de licenciement adressée à Mme Slaughter. Trump s’est contenté d’indiquer que les activités de Mme Slaughter n’étaient pas « compatibles avec les priorités du gouvernement ». Mme Slaughter a toutefois soupçonné un lien avec son appartenance au Parti démocrate. Elle a ainsi d’abord obtenu gain de cause (en anglais) devant le Tribunal fédéral.
Source : Shutterstock
Cependant, lorsque l’administration Trump a porté l’affaire devant la Cour suprême, le vent a tourné. La Cour suprême s’est prononcée en faveur du gouvernement américain. Elle a fait valoir que la disposition de 1935 n’était plus applicable telle quelle aujourd’hui. En effet, les commissaires de la FTC exercent un « pouvoir exécutif » et relèvent donc de l’autorité du président, par conséquent, le Congrès ne peut empêcher le président de remplacer à tout moment les dirigeants des agences. Cet arrêt renforce le pouvoir du président sur les agences indépendantes.
Quel est le rapport avec l’accord sur les données entre les États-Unis et l’UE ?
Depuis 2023, le « cadre de protection des données UE-États-Unis » régit l’échange de données à caractère personnel entre les entreprises des deux côtés de l’Atlantique. Il vise à permettre aux entreprises européennes de transmettre des données à des prestataires américains en toute sécurité juridique, par exemple à des fournisseurs de services cloud ou à d’autres entreprises technologiques. La Commission européenne a adopté cet accord sur la base d’une « décision d’adéquation » (en allemand). La condition préalable est que ces données bénéficient aux États-Unis d’une protection « essentiellement équivalente au niveau européen de protection des données ». Ainsi, si une entreprise de la Big Tech telle que Meta ou Microsoft enfreint les règles du DPF, la FTC doit prendre des mesures à son encontre.
Source : Wikimedia
Selon l’organisation de défense de la vie privée Noyb, les États-Unis ne remplissent plus cette condition à la suite de cet arrêt. L’influence potentielle de Trump met en péril les intérêts européens.
Des décisions américaines avaient déjà fait échouer des accords antérieurs
Le litige concernant le transfert de données entre l’Europe et les États-Unis n’est pas nouveau. La Cour de justice de l’Union européenne a déjà déclaré nuls deux accords antérieurs. En 2015, elle a invalidé ce qu’on appelle l’accord « Safe Harbor ». Cinq ans plus tard, la Cour a également déclaré invalide le Privacy Shield, qui lui a succédé (en allemand). À l’époque, les pouvoirs de surveillance des services secrets américains ainsi que l’insuffisance des voies de recours pour les utilisatrices et utilisateurs européens avaient notamment été déterminants. Noyb demande désormais à la Commission européenne de revenir sur sa décision d’adéquation et à engager de nouvelles procédures judiciaires.
Qu’est-ce que cela signifie concrètement ?
Dans l’immédiat, rien ne change. Le cadre de protection des données UE-États-Unis reste en vigueur. Les entreprises peuvent donc, pour l’instant, continuer à transférer et à stocker des données à caractère personnel aux États-Unis comme auparavant, sur la base de l’accord existant. Par exemple : la société Muster GmbH, située à Schwabach, vend des accessoires pour chats. Le client Daniel E. achète un arbre à chat, un panier pour chat, des gamelles, etc. Ses données personnelles (adresse, historique des commandes, numéro de client, etc.) sont traitées par la société Muster GmbH à l’aide de Microsoft 365 et stockées dans OneDrive. Ces données sont hébergées sur un serveur Microsoft situé aux États-Unis. Si la CJUE ou la Commission européenne venait à conclure que l’accord ne répond plus aux exigences, Microsoft devrait soit présenter d’autres mesures de protection légales et reconnues, soit la société Muster GmbH devrait rechercher d’autres solutions pour le traitement, le transfert et le stockage des données, par exemple dans un État membre de l’UE. Cela concernerait non seulement le cloud, mais aussi les listes de clients sous Excel ou les e-mails via Outlook. Tant que celles-ci sont synchronisées ou traitées par les services Microsoft, cela peut impliquer le transfert de données vers les États-Unis. La question de savoir si cela se produira reste encore en suspens.
Que dit la Suisse ?
Conformément à l’article 16, paragraphe 1, de la loi sur la protection des données, « Des données peuvent être communiquées à l’étranger si la législation de l’État destinataire assure un niveau de protection adéquat ». Pour savoir de quels pays il s’agit, cliquez ici. La Suisse ne considère pas de manière générale que le niveau de protection des données aux États-Unis soit adéquat (en allemand).
C’est pourquoi un accord existe également depuis deux ans, le Swiss-U.S. Data Privacy Framework, qui s’inspire fortement de celui de l’Union européenne. Cela signifie que ce n’est que si une entreprise américaine est certifiée conformément aux dispositions de l’accord avec la Suisse que les entreprises suisses peuvent y transférer des données à caractère personnel sans garanties supplémentaires. Pour connaître ces principes, consultez la rubrique « Data Privacy Framework List » (en anglais). Cette liste comprend non seulement les géants de la tech tels que Google ou Microsoft, mais aussi des PME américaines. Toutefois, le Conseil fédéral n’a pas encore commenté cet arrêt.
Depuis que j'ai découvert comment activer les deux canaux téléphoniques de la carte RNIS pour obtenir une plus grande bande passante, je bricole des réseaux numériques. Depuis que je sais parler, je travaille sur des réseaux analogiques. Un Winterthourois d'adoption au cœur rouge et bleu.
Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.
Tout afficher
