Cadre UE-US de protection des données (Data Privacy Framework)

Définition

Le cadre UE-US de protection des données, connu sous le nom de Data Privacy Framework, est le mécanisme adopté par la Commission européenne pour encadrer les transferts de données à caractère personnel vers les organisations américaines qui y adhèrent, faisant suite à l'invalidation successive des deux dispositifs précédents, le Safe Harbor puis le Privacy Shield, par la Cour de justice de l'Union européenne dans les arrêts Schrems I et Schrems II. Ce cadre repose sur une décision d'adéquation de la Commission constatant que les entreprises américaines certifiées offrent un niveau de protection substantiellement équivalent à celui garanti par le RGPD, sous réserve du respect de principes de protection des données et de mécanismes de recours pour les personnes concernées, notamment via une nouvelle cour de contrôle des activités de renseignement créée aux États-Unis. Les entreprises européennes souhaitant transférer des données vers un partenaire américain doivent vérifier que celui-ci figure sur la liste des organisations certifiées au titre de ce cadre, tenue à jour par le Département du commerce américain. Compte tenu de l'historique contentieux de ce type de dispositif, une vigilance particulière reste recommandée sur la pérennité juridique de ce mécanisme, régulièrement contesté devant les juridictions européennes par des associations de défense des libertés numériques.