Le cadre juridique qui protège vos données aux États-Unis est menacé.
La Cour suprême des États-Unis a mis fin à l’indépendance de la FTC, pilier de l’accord UE-États-Unis sur les données, et « Schrems III » se prépare déjà devant les tribunaux. Quiconque a des données chez des fournisseurs américains fait face à une nouvelle incertitude. Quiconque les garde en Europe, chez un fournisseur européen, non.
- Serveurs en Europe
- Juridiction 100 % européenne
- Zéro transfert vers les États-Unis
Pourquoi c’est important
Trois accords. Trois effondrements annoncés.
Depuis 2000, l’UE et les États-Unis ont signé trois cadres juridiques pour légitimer le transfert de données personnelles. Les deux premiers ont été invalidés par la justice. Le troisième vient de perdre son fondement.
2015
Safe Harbour invalidé
La Cour de justice de l’UE invalide le premier accord (affaire Schrems I). Des milliers d’entreprises européennes doivent reconstruire leur base juridique du jour au lendemain.
2020
Privacy Shield invalidé
L’histoire se répète : la CJUE invalide le deuxième accord (Schrems II). La surveillance américaine et l’absence de recours effectif pour les citoyens européens en sont, une fois de plus, la raison.
2026
Data Privacy Framework menacé
La Cour suprême des États-Unis (Trump v. Slaughter, 29 juin) déclare inconstitutionnelle l’indépendance de la FTC : l’autorité citée 259 fois dans la décision d’adéquation de la Commission européenne. noyb appelle à une révocation ordonnée de l’accord et prépare ce que l’on appelle déjà « Schrems III ».
Et maintenant ?
La question qui reste
La décision d’adéquation reste formellement en vigueur jusqu’à ce que la Commission la révoque ou que la Cour l’invalide. Mais la question, pour toute entreprise européenne, est simple : voulez-vous bâtir votre conformité au RGPD sur un accord menacé pour la troisième fois en dix ans ?
L’impact réel
Si vos données sont chez un fournisseur américain, vous êtes concerné.
Pas besoin d’attendre une décision de justice pour ressentir le coût de l’incertitude.
Une conformité en chantier permanent
Les analyses d’impact des transferts (TIA) qui reposent sur l’indépendance de la FTC devront peut-être être réécrites. Chaque accord qui s’effondre vous oblige à refaire contrats, clauses et évaluations.
Risque dans les appels d’offres et les audits
Clients, partenaires et régulateurs demandent de plus en plus où les données sont stockées. « Aux États-Unis, sous un accord contesté devant les tribunaux » est une réponse de plus en plus difficile à défendre.
Dépendance aux décisions d’autrui
Le sort de vos données se décide entre Washington, Bruxelles et Luxembourg, dans des procédures qui durent des années et que votre entreprise ne contrôle pas.
L’alternative
Des données en Europe. Problème réglé à la source.
Sooma ne dépend ni des décisions d’adéquation, ni des clauses contractuelles types, ni des accords transatlantiques, parce que les données ne quittent jamais la juridiction européenne.
| Critère | Services hors UE | Sooma |
|---|---|---|
| Localisation des données | États-Unis (ou indéterminée) | Portugal (UE) |
| Base juridique du transfert | Décision d’adéquation contestée / CCT | Sans objet : il n’y a pas de transfert |
| Exposition à « Schrems III » | Total | Aucun |
| Droit applicable | CLOUD Act américain + RGPD | Droit de l’UE uniquement |
| Quand le prochain accord tombera | Refaire toute la conformité, encore une fois | Rien ne change |
| Assistance | Ticket d’assistance à l’étranger | Équipe en Europe |
La souveraineté en pratique
L’Europe a déjà compris. Les entreprises aussi.
Plusieurs États membres ont annoncé des stratégies de souveraineté numérique et des plans pour réduire leur dépendance aux fournisseurs américains, et la Commission européenne elle-même a inscrit le sujet dans son paquet sur la souveraineté technologique. Choisir un fournisseur européen n’est plus une déclaration politique : c’est de la gestion des risques. Pour les plus de 100 000 boîtes mail gérées par Sooma, dont celles de l’Ordre des avocats portugais (Ordem dos Advogados), cette décision est déjà prise.
Contactez l’équipeQuestions fréquentes
Souveraineté numérique et transferts de données
Des réponses claires aux questions que ce sujet soulève dans les entreprises.
L’arrêt Trump v. Slaughter a-t-il rendu illégal le recours à des fournisseurs américains ?
Non. La décision d’adéquation UE-États-Unis reste formellement en vigueur jusqu’à ce que la Commission européenne la révoque ou que la Cour de justice de l’UE l’invalide. Ce qui a changé, c’est le risque : l’autorité sur laquelle repose l’accord a perdu l’indépendance qu’exige le droit européen, et l’accord fait désormais l’objet de contestations juridiques et politiques, exactement comme les deux accords précédents, qui ont fini par être invalidés.
Mon entreprise utilise Microsoft 365 / Google Workspace. Dois-je changer tout de suite ?
Il n’y a aucune obligation légale immédiate. Mais si votre activité repose fortement sur le RGPD (santé, finance, juridique, secteur public), il vaut la peine d’évaluer ce que coûte à votre organisation la reconstruction de sa base de conformité à chaque effondrement d’un accord transatlantique, et de comparer ce coût avec celui de simplement garder vos données en Europe.
Avec Sooma, mes données transitent-elles par des serveurs hors de l’UE ?
Non. Le stockage et le traitement ont lieu en Europe, sous juridiction européenne. Il n’y a aucun transfert de données personnelles vers les États-Unis, de sorte que la validité (ou l’effondrement) des accords transatlantiques n’affecte pas les clients de Sooma.
Et si je dois communiquer avec des clients ou des fournisseurs aux États-Unis ?
Envoyer un e-mail à un destinataire aux États-Unis n’est pas la même chose que stocker vos données chez un fournisseur américain. Ce que la souveraineté numérique résout, c’est la localisation et la juridiction de vos données au repos : vos boîtes mail, vos archives et vos contacts.
Que se passe-t-il si le Data Privacy Framework est effectivement invalidé ?
Pour les clients de Sooma : rien. Pour ceux qui utilisent des fournisseurs américains : cela dépendra de ce que décideront la Commission et les tribunaux, mais l’expérience de 2015 et de 2020 laisse présager une période d’incertitude, de renégociation des contrats et de mise à jour des analyses d’impact.
Mettez vos données hors de portée du prochain effondrement.
Migration assistée incluse. Garantie de 60 jours, remboursement sans justification.