DPF enterré par la Cour suprême : et si on arrêtait de faire semblant avec le cloud américain ?

Par l'équipe Archibou

Le 30 juin 2026, la Cour suprême des États-Unis a rendu une décision dont les conséquences vous concernent directement — même si vous n'en avez jamais entendu parler. Elle a validé le droit du président américain de révoquer à sa guise les dirigeants de la Federal Trade Commission (FTC). Et ce faisant, elle a porté le coup de grâce au Data Privacy Framework (DPF), le troisième accord censé « protéger » les données des Européens transférées aux États-Unis.

Comme les deux précédents.

Source : « Le Data Privacy Framework remis en question par la fin de l'indépendance de la FTC », Next.ink, 2 juillet 2026.

Petit lexique pour comprendre

Avant d'aller plus loin, prenons une minute pour poser les termes. Parce que sans ça, on lit l'actualité sans vraiment la comprendre.

Data Privacy Framework (DPF) — C'est le troisième accord signé entre l'Union européenne et les États-Unis pour encadrer le transfert des données personnelles des Européens vers l'Amérique. Il permet à des entreprises comme Google, Meta, Microsoft ou Amazon de stocker et traiter vos données sur leurs serveurs américains « légalement ».

FTC (Federal Trade Commission) — L'agence américaine chargée de protéger les consommateurs et de faire respecter les règles. Dans le cadre du DPF, c'est elle qui devait jouer le rôle de « gendarme » indépendant pour garantir que les droits des Européens sont respectés outre-Atlantique.

Cloud Act — Une loi américaine de 2018 qui donne aux autorités US (FBI, NSA, etc.) le droit d'accéder à toutes les données stockées par une entreprise américaine, où qu'elles se trouvent dans le monde. Même sur un serveur en Europe. Oui, même vos photos de famille.

Safe Harbor / Privacy Shield — Les deux accords précédents. Même objectif, même promesse. Annulés l'un après l'autre par la justice européenne pour les mêmes raisons : les États-Unis ne garantissent pas une protection équivalente à celle de l'Europe.

Trois accords, trois échecs. Le pattern est clair.

2015 : Safe Harbor est invalidé par la Cour de justice de l'Union européenne (CJUE) après la plainte de Max Schrems. Motif : les États-Unis ne protègent pas suffisamment les données des Européens face à la surveillance de masse.

2020 : Privacy Shield subit exactement le même sort. Même juge, même plaignant, même conclusion : la législation américaine prime sur les engagements de l'accord.

2026 : Data Privacy Framework. Même schéma. La Cour suprême américaine vient de démontrer que la FTC, censée être le garant indépendant du DPF, ne l'est pas. Le président peut révoquer ses dirigeants dès qu'ils le gênent. Comment une agence dont le chef peut être viré « par SMS » pourrait-elle protéger quoi que ce soit ?

Trois fois. Même scénario. Une seule constante : les données transférées aux États-Unis ne sont pas protégées, quels que soient les papiers signés.

Comme le dit Max Schrems, le militant à l'origine des trois actions : « La Commission a construit un château de cartes juridique sous la pression du secteur. Maintenant qu'il s'effondre manifestement, elle doit en assumer la responsabilité. » Il appelle à « une sortie ordonnée du cloud américain ».

Philippe Latombe, député français qui avait déjà attaqué le DPF devant la CJUE, est encore plus direct : il demande l'annulation immédiate de l'accord et invite toutes les entreprises à migrer « en urgence absolue » vers des solutions hébergées en France.

Pourquoi ça vous concerne, vous et vos photos

Le DPF, c'est le bouclier juridique que les GAFAM agitaient pour vous rassurer : « Pas d'inquiétude, vos données sont protégées par un traité. »

Ce bouclier n'existe plus.

Sans le DPF, vos données stockées chez un géant américain — Google Photos, Dropbox, iCloud, Microsoft OneDrive — retombent sous le seul régime du Cloud Act. Concrètement, l'administration américaine peut exiger l'accès à vos photos, vos documents, vos données de santé, sans que vous puissiez faire grand-chose. Et elle n'a même pas besoin de vous prévenir.

Ce n'est pas de la théorie. C'est le droit américain, et il s'applique.

Et maintenant, concrètement ?

La solution n'est pas un quatrième accord. Ce serait nier l'évidence : le droit américain ne changera pas pour protéger des Européens. La souveraineté américaine passera toujours avant la protection des données européennes. Logique.

La seule garantie réelle, c'est de ne pas transférer ses données aux États-Unis. Point.

Aujourd'hui, des solutions existent :

• Un hébergement en France, chez un hébergeur français (OVH, par exemple)
• Sous juridiction française et européenne, donc hors de portée du Cloud Act
• Sur des logiciels open-source, vérifiables par n'importe qui
• Sans revente de données, sans profilage, sans analyse par IA

C'est exactement ce que fait Archibou. Pas besoin d'accord transatlantique pour protéger vos données quand elles n'ont pas traversé l'océan.

Un choix personnel qui a du sens

L'actualité de cette semaine vous donne une occasion rare : celle de comprendre un enjeu complexe au moment où il devient concret, et d'agir.

Le Data Privacy Framework est le troisième accord qui s'effondre. Il y en aura peut-être un quatrième. Mais la question n'est plus « quand le prochain accroc ? ». Elle est : « est-ce que je veux que mes souvenirs, mes documents, ma vie numérique dépendent d'un texte qui peut être déchiré en un jugement ? »

Vos données vous appartiennent. Il est temps que leur protection suive la même règle.