Transferts de données UE-US après la décision de la Cour suprême sur la FTC : ce que cela signifie pour vos données de réunion

Notre consultant RGPD nous a signalé ce point le matin même où la décision est tombée. Il vaut mieux la comprendre que réagir à chaud, et la version courte est simple : la décision compte pour les transferts de données UE-US, mais rien n’a encore été coupé.

En bref

Ce que la Cour suprême a réellement décidé

Le 29 juin 2026, la Cour suprême a tranché Trump v. Slaughter par un vote de 6 contre 3. La Cour a jugé que le président pouvait révoquer sans motif la commissaire de la Federal Trade Commission Rebecca Slaughter et, ce faisant, elle a renversé Humphrey’s Executor, un précédent de 1935 qui permettait au Congrès de protéger les dirigeants de certaines agences contre un licenciement à volonté.

L’effet est direct. Les commissaires de la FTC servent désormais au bon vouloir du président. L’agence que le Congrès avait conçue comme bipartisane et indépendante n’est plus, en termes constitutionnels, indépendante du pouvoir exécutif.

Pourquoi une décision américaine touche vos données de l’UE

À première vue, cette affaire porte sur le pouvoir présidentiel, pas sur la confidentialité. Le lien passe par le droit de l’UE.

Lorsque l’UE décide qu’un pays non membre protège suffisamment les données personnelles pour les recevoir sans garanties supplémentaires, elle adopte une « décision d’adéquation ». L’une des exigences est que le pays dispose d’une autorité indépendante supervisant la protection des données. Le Cadre de protection des données UE-US, adopté en juillet 2023, est cette décision d’adéquation pour les États-Unis, et la Commission européenne s’est appuyée 259 fois sur l’indépendance de la FTC pour parvenir à cette conclusion. La même logique touche la Data Protection Review Court et le Privacy and Civil Liberties Oversight Board, les autres organes américains que le cadre présente comme des contrôles indépendants.

Retirez l’indépendance, et la base construite par la Commission commence à sembler instable. Comme l’a formulé noyb, le raisonnement qui soutenait tout l’arrangement ne tient plus.

Ce que cela signifie pour les mécanismes sur lesquels les entreprises s’appuient

Trois éléments doivent être distingués.

Le Cadre de protection des données n’a pas disparu. Il reste juridiquement valide jusqu’à ce que la Commission européenne le retire ou que la Cour de justice de l’UE l’annule. noyb, l’organisation dirigée par Max Schrems, a déjà demandé à la Commission de le retirer de manière ordonnée et indique qu’elle portera la question devant les tribunaux. Une décision pourrait prendre deux à trois ans. C’est le chemin qui a mis fin à Safe Harbor en 2015 et au Privacy Shield en 2020, donc une troisième invalidation doit figurer dans votre planification, pas dans les notes de bas de page.

Les Clauses Contractuelles Types comportent une réserve. Les CCT sont le mécanisme de secours vers lequel la plupart des entreprises se tournent, mais elles ne fonctionnent que si vous réalisez aussi une Analyse d’Impact du Transfert montrant que le pays de destination protège les données en pratique. Cette évaluation doit désormais tenir compte d’une autorité de contrôle qui n’est plus indépendante.

Carsten Wittmann, consultant RGPD et conformité IA qui conseille Hedy sur son travail de protection des données, a résumé le problème clairement :

Sans FTC indépendante, vous ne pouvez plus conclure que tous les critères requis sont remplis.

Le conseil à ce stade est mesuré, pas alarmiste. Mettez à jour vos Analyses d’Impact du Transfert maintenant, cartographiez où vont vos données et commencez par vos traitements les plus sensibles, mais n’abandonnez pas un cadre qui est toujours en vigueur. L’erreur après Schrems II a été d’attendre le dernier moment puis d’improviser.

Où en est Hedy, honnêtement

Nous préférons être directs plutôt que prétendre que Hedy se situe en dehors du problème. Le parcours de Hedy en région US utilise les mêmes Clauses Contractuelles Types de l’UE (Module 2) et la même Analyse d’Impact du Transfert que le reste du secteur, et ce parcours est affecté par cette décision comme les autres. Le cadre complet, y compris notre DPA, les CCT, la TIA et les mesures techniques, est documenté dans notre article sur la conformité RGPD et dans notre Trust Center.

Ce qui distingue Hedy n’est pas un contrat plus astucieux. C’est que deux aspects du fonctionnement de Hedy ne dépendent jamais d’une décision de transfert vers les États-Unis.

Les deux choses qui ne dépendent pas d’une décision de transfert

Reconnaissance vocale sur l’appareil. Hedy transcrit votre conversation sur votre propre téléphone, tablette ou ordinateur. L’audio, la partie la plus sensible de toute réunion, devient du texte sur le matériel que vous contrôlez et n’est jamais envoyé à un serveur pour être transcrit. Cela fonctionne de la même manière sur toutes les plateformes prises en charge par Hedy. Aucun transfert, vers les États-Unis ou ailleurs, n’a lieu pour cette étape. Comme le dit Carsten, « le traitement local sur l’appareil est toujours possible ». Hedy peut aller plus loin sur les appareils compatibles : lorsque le Traitement IA local est activé, l’analyse IA s’exécute aussi sur votre appareil, donc rien concernant la conversation n’est envoyé nulle part.

Résidence des données dans l’UE avec inférence dans l’UE. Lorsque vous choisissez la région UE, vos données de conversation sont stockées sur des serveurs européens, et chaque partie de l’analyse IA s’exécute sur une infrastructure située dans l’UE. Nous pouvons le garantir : pour les comptes avec résidence dans l’UE, l’inférence ne quitte jamais l’Europe. Notre principal fournisseur d’inférence, Nebius, est lui-même une entreprise européenne, domiciliée aux Pays-Bas et opérant dans des centres de données de l’UE. Pour la résilience, nous conservons une capacité de bascule avec quelques autres fournisseurs qui exécutent eux aussi leur inférence dans l’UE, même si ces entreprises ont leur siège aux États-Unis. Dans tous les cas, vos conversations sont analysées en Europe plutôt qu’expédiées de l’autre côté de l’Atlantique. Vous pouvez lire le tableau complet dans notre article sur la résidence des données dans l’UE.

Cela répond à une objection légitime soulevée par Carsten. Le premier point est l’endroit où vos données sont traitées, et pour les comptes avec résidence dans l’UE, la réponse est toujours l’Europe. Le deuxième est de savoir qui opère ce traitement. Une résidence des données dans l’UE gérée entièrement par une entreprise américaine réduit le risque sans le supprimer complètement, car une société mère américaine peut encore être atteinte par le droit américain. Avoir une entreprise européenne comme fournisseur principal est la version la plus solide de la réponse, avec des fournisseurs ayant leur siège aux États-Unis conservés uniquement comme capacité de bascule basée dans l’UE.

Deux réserves honnêtes. Quelques services opérationnels, dont la connexion au compte, la facturation et le rapport d’erreurs, passent encore par une infrastructure américaine pour tout le monde, et aucun ne transporte le contenu de vos conversations. Les e-mails de récapitulation de session sont l’exception : ils incluent vos résumés et notes de session, et ils sont envoyés via une infrastructure e-mail basée aux États-Unis. Si cela compte pour vous, vous pouvez les désactiver et lire vos récapitulatifs directement dans l’application. Et les utilisateurs existants en région US y restent jusqu’à ce qu’ils migrent ; la configuration européenne s’applique à la région UE.

Ce que les entreprises de l’UE doivent faire maintenant

La recommandation de Carsten, qui correspond au consensus des juristes spécialisés en protection des données, consiste à traiter la chute du cadre comme un scénario à préparer plutôt qu’un risque à espérer voir disparaître.

1. Inventoriez vos transferts. Listez les fournisseurs qui détiennent des données personnelles aux États-Unis, pour quelle finalité et sur quelle base juridique.
2. Mettez à jour vos Analyses d’Impact du Transfert. Reflétez le fait que la surveillance américaine n’est plus indépendante, et documentez votre raisonnement.
3. Commencez par les données sensibles. Données de santé, financières, relatives aux employés et aux mineurs en premier.
4. Évaluez les alternatives basées dans l’UE à chaque renouvellement. Vous n’avez pas à tout arracher aujourd’hui, mais chaque nouveau contrat est une occasion de réduire l’exposition.

Pour une vue côté acheteur de l’évaluation des outils de réunion en particulier, notre checklist RGPD pour les outils de réunion IA et notre comparatif des outils de réunion IA conformes au RGPD détaillent les points à examiner.

Ce qui reste incertain

Deux résultats pourraient changer la situation. La Commission européenne pourrait interpréter l’exigence d’« autorité indépendante » moins strictement, même si ce serait un revirement délicat de son propre standard. Ou la position américaine pourrait évoluer avec le temps. Aucun des deux n’est probable à court terme, et les deux prendraient des années à se concrétiser. D’ici là, la description honnête est l’incertitude, pas la résolution, ce qui explique précisément pourquoi une architecture qui évite le transfert vaut aujourd’hui plus qu’un contrat qui le couvre par la documentation.

L’essentiel

La décision n’a rien coupé, mais elle a déplacé le terrain sous les transferts de données UE-US, et la direction est claire. Les protections durables sont celles qui n’envoient jamais vos données de l’autre côté de l’Atlantique dès le départ. Avec Hedy, la reconnaissance vocale reste sur votre appareil, et les utilisateurs en région UE conservent à la fois le stockage et le traitement IA en Europe.

Mettez à jour vers la dernière version et choisissez la région UE lors de l’inscription, ou appuyez-vous sur le traitement sur l’appareil où que vous soyez. La documentation complète de conformité est dans notre Trust Center à trust.hedy.ai.

Foire aux questions

La décision de la Cour suprême rend-elle les transferts de données UE-US illégaux ?

Non. Le Cadre de protection des données UE-US reste juridiquement valide jusqu’à ce que la Commission européenne le retire ou que la Cour de justice de l’UE l’annule. La décision affaiblit la base juridique sur laquelle le cadre a été construit, mais rien ne change du jour au lendemain. Les entreprises qui s’appuient sur les Clauses Contractuelles Types doivent mettre à jour leurs Analyses d’Impact du Transfert dès maintenant plutôt que d’attendre qu’un tribunal les y oblige.

Le Cadre de protection des données UE-US est-il mort ?

Pas encore. Le cadre reste en vigueur. noyb, dirigée par Max Schrems, a demandé à la Commission européenne de le retirer de manière ordonnée et prévoit de le contester devant les tribunaux, ce qui pourrait prendre deux à trois ans. C’est le même chemin qui a mis fin à Safe Harbor en 2015 et au Privacy Shield en 2020, donc une troisième invalidation est un scénario à intégrer dans votre planification.

Les Clauses Contractuelles Types fonctionnent-elles encore après cette décision ?

Les CCT restent un mécanisme de transfert valide, mais elles ne tiennent que si votre Analyse d’Impact du Transfert montre que le pays de destination protège les données en pratique. Comme la FTC n’est plus indépendante, cette évaluation est plus difficile à mener honnêtement pour les transferts vers les États-Unis. Mettez à jour vos TIA pour refléter le changement et donnez la priorité aux données sensibles.

Cette décision affecte-t-elle mes données Hedy ?

Les parties les plus importantes de Hedy évitent entièrement un transfert vers les États-Unis. La reconnaissance vocale s’exécute sur votre propre appareil, donc votre audio n’est jamais envoyé nulle part pour être transcrit. Si vous choisissez la région UE, vos données de conversation sont stockées en Europe et le traitement IA s’exécute sur une infrastructure située dans l’UE. Le parcours de Hedy en région US utilise des CCT et une Analyse d’Impact du Transfert comme la plupart des outils, il est donc affecté comme le reste du secteur.

Que doivent faire les entreprises de l’UE maintenant ?

Adoptez une approche progressive : inventoriez où vont vos données, mettez à jour vos Analyses d’Impact du Transfert, commencez par vos traitements les plus sensibles et évaluez les alternatives basées dans l’UE à chaque renouvellement de contrat. Traitez la chute du cadre comme un scénario à préparer, pas comme un risque marginal. Les entreprises qui ont attendu après Schrems II ont fini par improviser sous contrainte de délai.