Par un arrêt du 3 septembre 2025 1, le Tribunal de l'Union européenne (« TUE ») a rejeté le recours introduit par le député français Philippe Latombe, visant à obtenir l'annulation du « Data Privacy Framework » instauré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 – permettant le transfert de données personnelles de l'Union européenne vers les Etats-Unis.
Pour rappel, les précédentes décisions d'adéquation permettant les transferts de données entre l'Union européenne et les Etats-Unis avaient été annulées par la Cour de Justice dans le cadre des arrêts « Schrems I » et « Schrems II ».
A l'appui de sa demande, Monsieur Latombe considérait, notamment que :
- la « Data Protection Review Court » (Cour chargée du contrôle de la protection des données aux Etats-Unis (« DPRC »)) n'était ni impartiale ni indépendante ;
- la collecte, par les agences de renseignement des Etats-Unis, de données personnelles en transit depuis l'Union européenne, sans autorisation préalable d'un juge ou d'une autorité administrative indépendante, est illégale dès lors qu'elle n'est pas encadrée de manière suffisamment claire et précise.
En l'espèce, le TUE a considéré, notamment, que la nomination des juges de la DPRC et le fonctionnement de cette institution sont assortis de garanties et conditions permettant d'assurer l'indépendance de ses membres et que le procureur général et les agences de renseignement ne peuvent ni entraver ni influencer indûment le travail de la DPRC. Dès lors, l'argument soulevé par Monsieur Latombe devait être rejeté.
D'autre part, le TUE relève qu'aucun élément de l'arrêt Schrems II ne prévoit que la collecte en vrac de données personnelles « doit obligatoirement faire l'objet d'une autorisation préalable délivrée par une autorité indépendante ». En revanche, « une telle collecte doit au minimum faire l'objet d'un contrôle judiciaire a posteriori » 2. De plus, le TUE précise que les activités de renseignement d'origine électromagnétique réalisées par les agences de renseignement des Etats-Unis, y compris lorsque ces dernières effectuent une collecte en vrac de données à caractère personnel, sont soumises à la surveillance judiciaire à posteriori de la DPRC. Dès lors, le TUE considère que la collecte en vrac de données personnelles est réalisée conformément aux exigences de l'arrêt Schrems II.
Compte tenu, notamment, de ces éléments, le TUE a rejeté le recours en annulation introduit par Monsieur Latombe. Cet arrêt du TUE peut, néanmoins, faire l'objet d'un pourvoi devant la Cour de Justice de l'Union européenne. En outre, la Commission conserve la possibilité, en cas de changement du cadre juridique sur lequel se fonde la décision d'adéquation attaquée, de suspendre, de modifier ou d'abroger la décision attaquée ou d'en restreindre le champ d'application.
Footnotes
2 §105, arrêt TUE affaire T-553/23
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
