Privacy Shield : invalidation et remplacement par le DPF

Le Privacy Shield ne constitue plus un fondement valable pour transférer des données personnelles vers les États-Unis. La Cour de justice l’a invalidé le 16 juillet 2020. Un contrat, un registre ou une politique de confidentialité qui le présente encore comme le mécanisme actuel doit être revu. Depuis 2023, le Data Privacy Framework (DPF) est un dispositif distinct, avec un périmètre à vérifier.

Ce qu’il faut retenir

• Le Privacy Shield de 2016 a été invalidé par l’arrêt Schrems II ; sa simple mention contractuelle ne sécurise pas un transfert.
• Le DPF repose sur une autre décision d’adéquation, adoptée le 10 juillet 2023, concernant les organismes participants.
• Vérifiez l’entité destinataire et les données couvertes avant de retenir ce fondement.
• La conformité du transfert ne dispense pas des autres obligations du RGPD, dont le contrat de sous-traitance et l’information.

Pourquoi le Privacy Shield a-t-il été invalidé ?

Dans l’affaire C-311/18, la Cour a considéré que la décision d’adéquation 2016/1250 ne garantissait pas une protection substantiellement équivalente à celle exigée dans l’Union. Son analyse portait notamment sur l’accès des autorités publiques aux données et sur les voies de recours. La Cour a en revanche maintenu la validité de principe des clauses contractuelles types alors examinées, sous réserve d’une protection effective dans le cas concret. Source : CJUE, communiqué sur Schrems II.

Il est donc inexact d’en déduire que tout transfert vers les États-Unis est définitivement interdit, ou que toute entreprise américaine peut utiliser librement les données européennes. Il faut identifier le mécanisme applicable et ses conditions. Notre analyse de l’arrêt Schrems II développe les conséquences de cette distinction.

Le DPF est un cadre différent, pas une réactivation

La Commission présente actuellement le DPF comme le fondement permettant les transferts vers les entreprises américaines qui y participent. La décision du 10 juillet 2023 tient compte de nouvelles garanties américaines concernant le renseignement et les recours. Elle n’accorde pas une adéquation indifférenciée à tous les destinataires situés aux États-Unis. Source : Commission européenne, transferts UE–États-Unis.

Le Tribunal de l’Union a rejeté le recours Latombe le 3 septembre 2025, en appréciant la situation à la date d’adoption de la décision de 2023. Ce jugement ne garantit pas l’absence de changement futur : le cadre fait l’objet d’un suivi. Source : Tribunal, affaire T-553/23. Pour l’utilisation opérationnelle de la décision, consultez notre guide sur l’adéquation UE–États-Unis.

Corriger un dossier qui mentionne encore le Privacy Shield

Commencez par rechercher les références à « Privacy Shield », « bouclier de protection » et « décision 2016/1250 » dans les contrats, annexes, fiches fournisseurs, notices et réponses aux clients. Une référence historique correctement datée peut rester ; une clause qui en fait le fondement d’un transfert actuel appelle une correction.

Pour chaque flux, établissez une fiche courte :

Si vous retenez le DPF, contrôlez la fiche officielle de l’organisme, les entités couvertes et le périmètre commercial ou ressources humaines. Ne déduisez pas la couverture d’une filiale du seul nom du groupe. La CNIL demande également de tenir à jour l’information des personnes et le registre. Source : CNIL, questions-réponses sur l’adéquation.

Remplacer un mot dans le contrat ne suffit pas si le destinataire réel n’est pas couvert. Faites confirmer la situation, retenez un autre mécanisme valable si les conditions sont réunies, ou interrompez le flux lorsque sa licéité ne peut être assurée. Conservez les versions antérieures pour comprendre l’historique ; ne réécrivez pas rétroactivement la justification des transferts passés.

Si le destinataire n’est pas couvert par le DPF

L’Art. 46 RGPD prévoit plusieurs garanties appropriées, dont les clauses contractuelles types et les règles d’entreprise contraignantes. Les clauses de transfert modernisées ont été adoptées en 2021 : un ancien modèle de 2010 ne doit pas être repris sans examen. Source : Commission, publications sur les clauses types.

Il faut aussi apprécier l’effectivité des garanties dans la situation concernée. Les dérogations de l’Art. 49 RGPD répondent à des situations et conditions particulières ; une case de consentement générique ne régularise pas automatiquement l’usage courant d’un prestataire. Source : RGPD, chapitre V.

Questions fréquentes

Une ancienne certification Privacy Shield suffit-elle ?

Non. Vérifiez le statut et le périmètre actuels dans le DPF si vous souhaitez vous appuyer sur la décision de 2023. Une ancienne attestation, isolée de cette vérification, ne démontre pas la couverture du transfert envisagé.

Le DPF dispense-t-il de signer un contrat de sous-traitance ?

Non. Le mécanisme de transfert et les exigences de l’Art. 28 RGPD répondent à des questions différentes. Si le destinataire agit comme sous-traitant, le contrat requis reste nécessaire.

Faut-il effacer toutes les mentions historiques du Privacy Shield ?

Non. Conservez l’historique utile, clairement daté. Corrigez les documents opérationnels qui le présentent encore comme un fondement valable aujourd’hui.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.