Ce que Schrems II a invalidé, et ce qui l'a remplacé

Qu'était l'arrêt Schrems II ?

La Cour de justice de l'Union européenne a rendu l'arrêt Schrems II, affaire C-311/18, le 16 juillet 2020, et dans un seul arrêt elle a invalidé le Privacy Shield UE-États-Unis tout en maintenant la validité des clauses contractuelles types, ou CCT, à des conditions plus strictes. La grande chambre statuait sur un renvoi de la High Court irlandaise dans un litige opposant le Data Protection Commissioner à Facebook Ireland Ltd et à Maximillian Schrems, "au sujet d'une plainte introduite par celui-ci concernant le transfert de ses données à caractère personnel par Facebook Ireland à Facebook Inc. aux États-Unis." Son identifiant jurisprudentiel est ECLI:EU:C:2020:559.

Le "II" en fait la deuxième affaire Schrems. Dans la première, jugée le 6 octobre 2015 sous le numéro C-362/14, la Cour avait déclaré invalide la décision 2000/520/CE de la Commission du 26 juillet 2000, la décision Safe Harbour. Le Privacy Shield avait remplacé Safe Harbour, et Schrems II a aussi fait tomber ce remplaçant.

Qu'a jugé la Cour dans Schrems II ?

La Cour a rendu cinq décisions dans le dispositif de l'arrêt : une sur le champ d'application, deux sur le fonctionnement des transferts fondés sur des CCT, une qui maintient la décision CCT et une qui invalide le Privacy Shield. La première confirme que le RGPD s'applique à un transfert commercial même si les services de sécurité du pays de destination peuvent accéder aux données. Les points 2 à 5 se lisent ainsi, dans la version française publiée sur EUR-Lex :

2. L'article 46, paragraphe 1, et l'article 46, paragraphe 2, sous c), du règlement 2016/679 doivent être interprétés en ce sens que les garanties appropriées, les droits opposables et les voies de droit effectives requis par ces dispositions doivent assurer que les droits des personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données bénéficient d'un niveau de protection substantiellement équivalent à celui garanti au sein de l'Union européenne par ce règlement, lu à la lumière de la charte des droits fondamentaux de l'Union européenne. À cet effet, l'évaluation du niveau de protection assuré dans le contexte d'un tel transfert doit, notamment, prendre en considération tant les stipulations contractuelles convenues entre le responsable du traitement ou son sous-traitant établis dans l'Union européenne et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données à caractère personnel ainsi transférées, les éléments pertinents du système juridique de celui-ci, notamment ceux énoncés à l'article 45, paragraphe 2, dudit règlement.

3. L'article 58, paragraphe 2, sous f) et j), du règlement 2016/679 doit être interprété en ce sens que, à moins qu'il existe une décision d'adéquation valablement adoptée par la Commission européenne, l'autorité de contrôle compétente est tenue de suspendre ou d'interdire un transfert de données vers un pays tiers fondé sur des clauses types de protection des données adoptées par la Commission, lorsque cette autorité de contrôle considère, à la lumière de l'ensemble des circonstances propres à ce transfert, que ces clauses ne sont pas ou ne peuvent pas être respectées dans ce pays tiers et que la protection des données transférées requise par le droit de l'Union, en particulier par les articles 45 et 46 de ce règlement et par la charte des droits fondamentaux, ne peut pas être assurée par d'autres moyens, à défaut pour le responsable du traitement ou son sous-traitant établis dans l'Union d'avoir lui-même suspendu le transfert ou d'avoir mis fin à celui-ci.

4. L'examen de la décision 2010/87/UE de la Commission, du 5 février 2010, relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil, telle que modifiée par la décision d'exécution (UE) 2016/2297 de la Commission, du 16 décembre 2016, au regard des articles 7, 8 et 47 de la charte des droits fondamentaux n'a révélé aucun élément de nature à affecter la validité de cette décision.

5. La décision d'exécution (UE) 2016/1250 de la Commission, du 12 juillet 2016, conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis, est invalide.

Le point 5 fait les gros titres. Le point 4 a maintenu la validité de la décision CCT, et les points 2 et 3 attachent des conditions à chaque transfert effectué sur son fondement : chacun exige désormais sa propre vérification du droit du pays de destination.

Pourquoi la Cour a-t-elle invalidé le Privacy Shield ?

La Cour a invalidé le Privacy Shield pour deux motifs : le droit américain de la surveillance n'était pas proportionné, et les résidents de l'UE ne disposaient d'aucun recours effectif devant un organe indépendant. Sur le premier motif, le point 184 constate que "ni l'article 702 du FISA ni l'E.O. 12333, lus en combinaison avec la PPD-28, ne correspondent aux exigences minimales attachées, en droit de l'Union, au principe de proportionnalité, si bien qu'il n'est pas permis de considérer que les programmes de surveillance fondés sur ces dispositions sont limités au strict nécessaire."

Sur le second motif, la décision Privacy Shield reposait sur un médiateur qui, comme le relève le point 195, est désigné par le secrétaire d'État et "fait partie intégrante du département d'État des États-Unis". Le point 197 juge que ce mécanisme "ne fournit pas de voie de recours devant un organe qui offre aux personnes dont les données sont transférées vers les États-Unis des garanties substantiellement équivalentes à celles requises à l'article 47 de la Charte." L'article 47 est le droit de la Charte à un recours effectif et à accéder à un tribunal impartial.

La Cour n'a accordé aucun délai de grâce. Le point 202 refuse de maintenir provisoirement les effets de la décision parce que l'article 49 du RGPD, qui énumère des dérogations comme le consentement explicite à un transfert, fait que son annulation "n'est pas susceptible de créer un tel vide juridique." Le Privacy Shield a cessé d'être une base de transfert valable le jour même de l'arrêt.

Que sont devenues les clauses contractuelles types après Schrems II ?

Les clauses contractuelles types sont restées valables, mais l'exportateur est devenu responsable de vérifier si le pays de destination permet à l'importateur de les respecter. Le point 134 fait peser cette obligation sur l'entreprise qui envoie les données :

Il appartient, dès lors, avant tout, à ce responsable du traitement ou à son sous-traitant de vérifier, au cas par cas et, le cas échéant, en collaboration avec le destinataire du transfert, si le droit du pays tiers de destination assure une protection appropriée, au regard du droit de l'Union, des données à caractère personnel transférées sur le fondement de clauses types de protection des données, en fournissant, au besoin, des garanties supplémentaires à celles offertes par ces clauses.

Le point 135 énonce la conséquence en cas d'échec de cette vérification : l'exportateur ou, à défaut, l'autorité de contrôle sont "tenus de suspendre ou de mettre fin au transfert de données à caractère personnel vers le pays tiers concerné."

Deux documents ont suivi. L'EDPB a adopté le 18 juin 2021 la version finale de ses recommandations 01/2020 sur les mesures qui complètent les instruments de transfert. La Commission a adopté un nouveau jeu de CCT dans la décision d'exécution (UE) 2021/914 le 4 juin 2021. La clause 14 des nouvelles clauses intègre la vérification Schrems II au contrat. À la clause 14, point a), les parties "garantissent qu'elles n'ont aucune raison de croire que la législation et les pratiques du pays tiers de destination applicables au traitement des données à caractère personnel par l'importateur de données, notamment les exigences en matière de divulgation de données à caractère personnel ou les mesures autorisant l'accès des autorités publiques à ces données, empêchent l'importateur de données de s'acquitter des obligations qui lui incombent en vertu des présentes clauses." La clause 14, point d), ajoute : "Les parties conviennent de conserver une trace documentaire de l'évaluation au titre du paragraphe b) et de mettre cette évaluation à la disposition de l'autorité de contrôle compétente si celle-ci en fait la demande." Cette évaluation documentée est ce que les praticiens appellent une analyse d'impact des transferts.

L'article 4 de la décision 2021/914 a abrogé la décision de 2010 "avec effet au 27 septembre 2021" et n'a laissé les anciens contrats valoir garanties appropriées que "jusqu'au 27 décembre 2022", à condition que le traitement reste inchangé.

Qu'est-ce qui a remplacé le Privacy Shield ?

Le Data Privacy Framework UE-États-Unis a remplacé le Privacy Shield, par la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023. Il repose sur une modification du droit américain : le considérant 6 de la décision rappelle que "les États-Unis ont adopté, le 7 octobre 2022, le décret présidentiel n° 14086 sur le renforcement des garanties pour les activités de renseignement d'origine électromagnétique menées par les États-Unis", complété par un règlement de l'Attorney General créant une Data Protection Review Court. Ces deux instruments répondent aux deux motifs des points 184 et 197. L'article premier de la décision dispose :

Aux fins de l'article 45 du règlement (UE) 2016/679, les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l'Union vers des organisations établies aux États-Unis qui figurent sur la 'liste du cadre de protection des données', tenue à jour et publiée par le ministère du commerce, conformément à la section I.3 de l'annexe I.

Le champ est plus étroit que "les États-Unis". L'adéquation ne couvre que les organisations inscrites sur cette liste. Un transfert vers une entreprise américaine qui ne s'est pas auto-certifiée exige toujours un instrument de l'article 46, et l'article 46(1) du RGPD n'autorise de tels transferts "que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives." Pour ces transferts, l'évaluation Schrems II s'applique toujours. L'article 3 de la décision impose à la Commission un suivi permanent du cadre et lui permet "de suspendre, de modifier ou d'abroger la présente décision, ou d'en restreindre le champ d'application" en vertu de l'article 45(5) du RGPD.

Le Data Privacy Framework est-il du droit établi ?

Non. Le Data Privacy Framework a survécu à sa première contestation en justice, et cette décision fait l'objet d'un pourvoi. Philippe Latombe, requérant domicilié à Nantes, en France, a introduit l'affaire T-553/23 devant le Tribunal le 6 septembre 2023. Le président du Tribunal a refusé le sursis à exécution de la décision le 12 octobre 2023. Le 3 septembre 2025, la dixième chambre élargie a statué : "Le recours est rejeté." L'Irlande et les États-Unis sont intervenus au soutien de la Commission. Latombe a formé un pourvoi le 31 octobre 2025, affaire C-703/25 P, que la Cour de justice indique comme pendante.

Tant que la Cour de justice n'a pas statué, une entreprise peut s'appuyer sur la décision de 2023 pour les transferts vers les organisations inscrites, parce qu'une décision d'adéquation reste en vigueur jusqu'à son abrogation ou son annulation. Le risque est celui qu'ont connu les utilisateurs du Privacy Shield le 16 juillet 2020 : une annulation prend effet le jour de l'arrêt, et le point 202 de Schrems II montre que la Cour n'accordera pas de période transitoire lorsque l'article 49 est disponible.

Que signifie Schrems II pour l'analytics web ?

Schrems II signifie que tout fournisseur d'analytics ou de tags qui envoie des données de visiteurs de l'UE vers les États-Unis a besoin d'une base de transfert valable pour ce flux, vérifiée fournisseur par fournisseur. La façon dont l'arrêt s'est répercuté sur Google Analytics est retracée dans l'analyse de la conformité de GA4 au RGPD. Vérifiez si l'entité américaine du fournisseur figure sur la liste du Data Privacy Framework. Si ce n'est pas le cas, cherchez des CCT et une évaluation documentée au titre de la clause 14. La base de transfert est une question distincte de la base légale du traitement : une décision d'adéquation ne rend pas un traitement licite, et l'intérêt légitime du RGPD ne rend pas non plus un transfert licite. Le lieu d'hébergement ne règle pas non plus à lui seul la question du transfert, un point développé dans l'article sur la souveraineté numérique et la localisation des données. Pour une sélection d'outils évalués sur ces critères, consultez le comparatif des alternatives à Google Analytics axées sur le RGPD.

Questions fréquentes

Quels sont le numéro d'affaire et la date de Schrems II ?

Schrems II est l'affaire C-311/18, Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems. La grande chambre de la Cour de justice a rendu l'arrêt le 16 juillet 2020, sous l'identifiant ECLI:EU:C:2020:559. L'affaire avait été introduite le 9 mai 2018.

Schrems II a-t-il interdit les transferts de données vers les États-Unis ?

Non. Il a invalidé une base de transfert, la décision d'adéquation du Privacy Shield, et maintenu la décision CCT. Les transferts fondés sur des CCT restaient possibles si l'exportateur vérifiait que le droit américain permettait à l'importateur de s'y conformer, en ajoutant des garanties si nécessaire, et suspendait le transfert lorsque ce n'était pas le cas.

Quelle est la différence entre Schrems I et Schrems II ?

Schrems I, affaire C-362/14 jugée le 6 octobre 2015, a invalidé la décision Safe Harbour du 26 juillet 2000. Schrems II, jugé le 16 juillet 2020, a invalidé son successeur, le Privacy Shield, et fixé des conditions pour les clauses contractuelles types. Les deux affaires sont nées de plaintes de Maximillian Schrems contre les transferts de Facebook vers les États-Unis.

Les anciennes clauses contractuelles types de 2010 sont-elles toujours valables ?

Non. La décision d'exécution (UE) 2021/914 a abrogé la décision 2010/87/UE avec effet au 27 septembre 2021. Les contrats signés sur la base des anciennes clauses avant cette date n'ont valu garanties appropriées que jusqu'au 27 décembre 2022, et seulement si le traitement restait inchangé.

Le Data Privacy Framework couvre-t-il toutes les entreprises américaines ?

Non. L'article premier de la décision 2023/1795 limite l'adéquation aux organisations "qui figurent sur la 'liste du cadre de protection des données'" tenue par le ministère du commerce des États-Unis. Un destinataire américain absent de cette liste a besoin d'une garantie de l'article 46, comme des CCT.

Le Data Privacy Framework pourrait-il être invalidé comme le Privacy Shield ?

Oui, si la Cour de justice l'annule sur pourvoi. Le Tribunal a rejeté le recours Latombe le 3 septembre 2025, et le pourvoi, affaire C-703/25 P, est pendant. La Commission peut aussi suspendre, modifier ou abroger la décision en vertu de l'article 45(5) du RGPD si la protection américaine se révèle insuffisante.

Qu'est-ce qu'une analyse d'impact sur les transferts ?

Une analyse d'impact sur les transferts est la vérification documentée qu'impose la clause 14 des clauses types de 2021 avant tout transfert. L'exportateur consigne si le droit du pays de destination permet à l'importateur de respecter les clauses, puis met ce document à la disposition de l'autorité de contrôle sur demande, conformément à la clause 14(d). Le nom vient de la pratique des professionnels, pas de l'arrêt lui-même, même si le point 134 de Schrems II a créé l'obligation qui en est à l'origine.

Qui a déposé la plainte à l'origine de Schrems II ?

Maximillian Schrems s'est plaint que le transfert de ses données personnelles par Facebook Ireland vers Facebook Inc. aux États-Unis l'exposait à la surveillance américaine sans recours effectif. La High Court irlandaise a renvoyé son affaire devant la Cour de justice, qui l'a tranchée sous le numéro C-311/18 entre le Data Protection Commissioner, Facebook Ireland Ltd et Schrems. Il avait déjà déposé la plainte à l'origine de Schrems I en 2015.

Qu'est-ce que l'Executive Order 14086 ?

L'Executive Order 14086, "Enhancing Safeguards for US Signals Intelligence Activities", est la mesure américaine que la Commission cite au considérant 6 de la décision 2023/1795 comme fondement du Data Privacy Framework. Les États-Unis l'ont adoptée le 7 octobre 2022, avec un règlement de l'Attorney General créant la Data Protection Review Court. Ensemble, ces deux instruments visent à répondre aux problèmes de proportionnalité et de recours que la Cour avait relevés aux points 184 et 197 de Schrems II.

Qu'est-ce que la Data Protection Review Court ?

La Data Protection Review Court est l'organe créé par un règlement de l'Attorney General américain aux côtés de l'Executive Order 14086, pour donner aux personnes concernées de l'UE un moyen de contester l'accès du renseignement électromagnétique américain à leurs données. Elle vise à répondre au problème de recours du point 197 de Schrems II, où le mécanisme de l'ombudsman du Privacy Shield avait été jugé non équivalent à l'article 47 de la Charte. La Commission s'appuie sur ces deux instruments comme fondement de la décision d'adéquation de 2023.