Les données circulent à une vitesse et à une échelle sans précédent, transcendant les frontières et les législations nationales. Ce mouvement global de l’information ouvre des perspectives considérables pour l’innovation, la compétitivité, la connectivité et le développement économique. Mais il entraîne aussi des défis majeurs en matière de protection des droits individuels et de préservation de la sécurité publique.
L’Union européenne se trouve ainsi placée face à une équation délicate : garantir un haut niveau de protection des données personnelles, tout en tenant compte des exigences de sécurité nationale de ses partenaires internationaux, au premier rang desquels figurent les États-Unis. C’est dans ce jeu d’équilibre que s’inscrit le Data Privacy Framework (DPF), nouvelle décision d’adéquation adoptée par la Commission européenne en juillet 2023. Ce mécanisme succède au Safe Harbor et au Privacy Shield, invalidés respectivement en 20151 (Schrems I) et 20202 (Schrems II). Il vise à assurer que les données transférées bénéficient d’un niveau de protection jugé « adéquat » au sens du RGPD. Toutefois, comme ses prédécesseurs, ce nouveau cadre a rapidement suscité la controverse. Dès son adoption, certains y ont vu un équilibre de façade, insuffisant pour garantir une véritable protection des