La question épineuse du transfert international des données (arrêt Schrems II – CJUE 16 juillet 2020)

Aujourd’hui, la question du transfert international des données et notamment de son régime, est l’une des plus sensibles d’un point de vue juridique. En témoigne l’arrêt de la Cour de Justice de l’Union Européenne (CJUE) du 16 juillet 2020, lequel invalide d’abord le « Privacy Shield », dénommé également « Bouclier de protection des données », puis confirme la validité des clauses contractuelles types.

Les décisions d’adéquation de la Commission

En effet, la Commission Européenne a la faculté de prendre une décision d’adéquation dans laquelle elle apprécie, au cas par cas, pour un Etat donné se situant en dehors de l’Union Européenne, si ce dernier accorde des garanties équivalentes, en matière de traitement des données, à celles offertes sur le territoire de l’Union Européenne. Parmi ces décisions d’adéquation, l’une concerne les États-Unis : le « Safe Harbor ». Dans ce cadre, lorsque les données d’une entité de l’Union Européenne étaient transférées, puis traitées aux États-Unis, elles devaient être conformes aux conditions et garanties accordées au sein de l’Union. Le « Safe Harbor » avait fait l’objet d’un contentieux, lequel avait donné lieu à un arrêt « Schrems » du 6 octobre 2015 (référence à confirmer (Légifrance)), au sein duquel la CJUE invalide le « Safe Harbor », jugeant que les conditions que devaient remplir la décision d’adéquation n’étaient plus remplies, causant ainsi la disparition de ce dernier. Aux fins de combler ce vide juridique, une nouvelle décision d’adéquation fut adoptée avec l’accord des États membres et prit cette fois-ci le nom de « Privacy Shield ». Ce dernier fit ensuite l’objet d’une question préjudicielle de la part d’une juridiction irlandaise (à vérifier), à destination de la CJUE, laquelle a rappelé les exigences des articles 45 et 46 du Règlement général sur la protection des données (à vérifier) et conclu qu’en l’état, le « Privacy Shield » n’était pas conforme au droit de l’Union Européenne. Cet arrêt rappelle qu’il est nécessaire que la Commission vérifie que le pays tiers puisse garantir des garanties équivalentes – et non pas identiques – ainsi qu’un système d’application de ces garanties ; l’enjeu étant de définir ces garanties équivalentes.

Les clauses contractuelles types

En outre, la CJUE a jugé les clauses contractuelles types valides sous réserve d’apprécier, in concreto, dans quelle mesure, sur le territoire de cet État tiers, les règles du droit applicables offrent les garanties satisfaisantes du droit européen. Pour rappel, ces clauses permettent d’encadrer le transfert de données à destination des pays en dehors de l’Union Européenne. Les opérateurs économiques ont la faculté d’introduire ces clauses dans leurs contrats afin de s’assurer que les conditions de transfert, répondent à des prérequis apportant des garanties équivalentes. En somme, cet outil est conforme au droit européen ; néanmoins cette décision n’exempte pas de procéder à toute vérification tendant à s’assurer qu’en pratique, la garantie des droits est effectivement équivalente à celle assurée au sein de l’Union européenne. Depuis, la Commission européenne a adopté, le 10 juillet 2023, une nouvelle décision d’adéquation pour les États-Unis, le « Data Privacy Framework », réservée aux organisations qui y adhèrent ; les clauses contractuelles types demeurent l’outil des autres transferts. Les recours dirigés contre cette décision et la version en vigueur des clauses types sont à vérifier avant toute opération (référence à confirmer (Légifrance)).

Sur le même sujet : Fin des jeux physiques PlayStation en 2028 : ce que le droit économique dit des grandes transitions, SCI et prescription biennale de l’article L. 218-2 du code de la consommation : une exclusion de principe confirmée par la Cour de cassation et Prescription biennale L. 218-2 et caution : le revirement du 20 avril 2022 consacre l’opposabilité de la prescription au créancier.

Mise à jour du 06-10-2026. Le présent article a été actualisé pour tenir compte des évolutions législatives et jurisprudentielles intervenues depuis sa publication.

Nos expertises : Contentieux commercial, des affaires et de la concurrence.

Pour une situation concrète, le cabinet reçoit sur rendez-vous.

État du droit à la date de la dernière mise à jour (06-10-2026).