Aller au contenu principal
Quel logiciel RGPD

Un outil américain pose-t-il problème pour vos données ?

Pour qui : Votre organisation utilise un logiciel en ligne américain, ou s’apprête à en choisir un. Une direction, un client ou un acheteur vous demande si c’est permis. Vous voulez une vérification simple et savoir à quoi vous en tenir sur les recours en cours.

Non, pas du seul fait qu’il est américain. Au 5 novembre 2026, la Commission européenne liste toujours sa décision d’adéquation du 10 juillet 2023 : vos données peuvent aller sans autre outil de transfert vers une organisation américaine participant au Data Privacy Framework, le cadre auquel ces organisations adhèrent par auto-certification. Vérifiez trois points : le destinataire figure sur la liste officielle, sa fiche couvre vos entités et vos données, et vous avez prévu des clauses types en secours.

Gardez ce repli pour une raison précise. Le Tribunal a rejeté le recours contre cette décision le 3 septembre 2025, en se prononçant à la date de son adoption. Un suivi tiers signale un pourvoi devant la Cour, l’affaire C-703/25 P : nous n’avons pas pu établir où il en est au 5 novembre 2026. La Commission peut aussi suspendre, modifier ou abroger sa décision si le droit américain change.

Notre avis

Un outil américain ne pose pas de problème du seul fait de sa nationalité. Vérifiez qu’il figure sur la liste officielle, pour vos entités et vos catégories de données, et prévoyez des clauses types en secours. Cette vérification ne demande aucun logiciel et ne s’achète pas.

Pourquoi

  • La décision du 10 juillet 2023 permet le transfert vers les organisations américaines participantes, sans clauses ni mesures supplémentaires.
  • Ce cadre repose sur une auto-certification renouvelée chaque année : un badge sur le site de l’éditeur ne remplace pas la fiche officielle.
  • Le recours a été rejeté, un pourvoi est signalé, et la Commission peut revenir sur sa décision si le droit américain change : le repli reste utile.

Ce qui change le choix

Destinataire absent de la liste ou fiche qui n’inclut pas vos données : la base change, et il vous faut un outil de l’article 46. Arrêt annulant la décision ou décision de la Commission : le repli s’active, et vos clauses en secours servent alors de point de départ à votre analyse.

L’ordre à suivre

  1. Destinataire sur la liste, entités et données couvertes : transfert possible sur la décision d’adéquation, avec des clauses types prévues en secours.
  2. Destinataire absent ou données hors périmètre : clauses types ou autre outil de l’article 46, avec analyse du transfert.
  3. Aucun outil possible : les dérogations de l’article 49 restent limitées à des situations particulières, cherchez plutôt un autre prestataire.

Où en est le cadre, date par date

Ce tableau s’arrête à ce que nous avons pu lire. Vérifiez la fiche de la Cour avant d’écrire une note interne.

État au 5 novembre 2026
DateÉvénementCe que nous en savons
16 juillet 2020La Cour de justice invalide le Privacy Shield, le cadre précédent (arrêt Schrems II).Présentation de la CNIL.
10 juillet 2023La Commission adopte la décision sur le Data Privacy Framework.Texte présenté par la Commission, toujours listé dans ses pages lues le 5 novembre 2026.
3 septembre 2025Le Tribunal rejette le recours de Philippe Latombe (T-553/23), en constatant l’adéquation à la date d’adoption.Communiqué lu, qui ne lie pas le Tribunal. Arrêt lui-même non lu.
31 octobre 2025Pourvoi signalé, affaire C-703/25 P.Source : un suivi tiers. État non établi au 5 novembre 2026. L’absence d’arrêt trouvé ne prouve pas qu’il n’en existe aucun.

Trois vérifications sur la fiche officielle

La liste est tenue par le département du Commerce américain sur dataprivacyframework.gov. Son site propose aussi une rubrique des participants inactifs, « Inactive Participants ». Avant de vous fier à un nom, consultez la fiche.

  1. Identifiez l’entité qui reçoit les données : celle du contrat, et celle qui exécute le service. Le contrat peut être signé par une filiale européenne qui fait appel à sa maison mère. Le CEPD rappelle que votre vérification porte aussi sur les transferts entre prestataires.
  2. Cherchez cette entité sur la liste et lisez son statut. La CNIL demande de s’en assurer avant le transfert. Une mention commerciale ou un logo ne suffit pas.
  3. Lisez ce que couvre la fiche : entités, filiales, données commerciales ou de ressources humaines. Point signalé par la CNIL. Si vous transférez des données de salariés, vérifiez que cette catégorie y figure.
  4. Mettez à jour votre registre et vos mentions d’information, et notez la date de votre vérification. La CNIL rappelle ces obligations. L’adhésion se renouvelle chaque année : refaites la vérification à la même fréquence.

Le repli : à préparer avant d’en avoir besoin

Notre avis : demandez au prestataire que le contrat prévoie les clauses types de transfert de la Commission, applicables si le cadre tombe ou si l’adhésion cesse. Ce n’est pas une exigence du texte tant que le destinataire est sur la liste. Le CEPD confirme que ce transfert se passe alors de mesures supplémentaires.

Si vous passez sur ces clauses, l’exportateur doit évaluer le droit du pays de destination. Selon la CNIL, pour les États-Unis, il peut s’appuyer sur l’appréciation de la Commission, et un renvoi à la décision d’adéquation suffit sauf si le destinataire relève de lois sectorielles non couvertes. Ce raisonnement dépend lui aussi de la décision : si elle tombait, cette évaluation serait à refaire.

Pour un service difficile à remplacer et des données sensibles, ajoutez une ligne dans votre plan : quel autre prestataire, quel export, et qui décide.

Un organisme public suit le même chemin : selon la CNIL, une administration ou une collectivité peut se fonder sur cette décision pour un prestataire inscrit sur la liste.

Limites de cette page

Trois points restent ouverts. L’état du pourvoi C-703/25 P n’a pas pu être établi : InfoCuria et EUR-Lex n’ont rien rendu de lisible avec nos moyens de lecture. Le numéro et la date du pourvoi viennent d’un suivi tiers, et sont à vérifier sur InfoCuria avant toute note interne. La liste officielle n’a pas pu être interrogée : nous ne disons d’aucun éditeur qu’il y figure. Le Tribunal a été lu dans son communiqué, pas dans son arrêt. Le risque lié au droit américain reste une appréciation : un service très sensible justifie l’avis d’un conseil.

Prochaine action

Recherchez votre prestataire sur la liste officielle dataprivacyframework.gov, puis lisez sa fiche : entité, filiales, données commerciales ou de ressources humaines. Notez la date et demandez-lui où figurent ses clauses types en secours.

Preuves et sources

Lu le 5 novembre 2026 : les pages de la Commission européenne sur les transferts UE-États-Unis et sur les décisions d’adéquation, le communiqué n° 106/25 du Tribunal de l’Union du 3 septembre 2025, les questions-réponses de la CNIL mises à jour le 17 juillet 2024, la note d’information du CEPD, le chapitre V du RGPD dans le texte publié par la CNIL, et un suivi tiers pour le pourvoi. La fiche de la Cour pour ce pourvoi n’a pas pu être lue, et la liste officielle n’a pas pu être interrogée.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode