Microsoft au secours des transferts de données transatlantiques

26.06.2026

Par une ordonnance du 4 juin 2026, le président de la Cour de justice de l’Union européenne admet la recevabilité de la demande en intervention de Microsoft dans le cadre de la procédure d’appel relative au rejet de la demande d’annulation du Data Privacy Framework.

Contestations récurrentes du transfert transatlantique des données personnelles. L’ordonnance rendue le 4 juin 2026 par le président de la Cour de justice de l’Union européenne invite à faire le point sur le recours en annulation du Data Privacy Framework déposé par Philippe Latombe. Pour mémoire, le RGPD autorise la Commission européenne à décider qu’un pays tiers offre un niveau de protection des données à caractère personnel équivalent à celui qu’assurent les normes européennes. Sa décision permet alors aux entreprises de transférer des données de l’Union européenne vers ce pays tiers sans autre formalité. Concernant les États-Unis, nous en sommes à la troisième décision d’adéquation. Le Data Privacy Framework est le nom donné à la nouvelle décision d’adéquation (Comm. UE, décis. d’exécution (UE) 2023/1795, 10 juill. 2023, constatant le niveau de protection adéquat assuré par le cadre de protection des données UE – États-Unis). Son contenu est en grande partie similaire à celui des décisions Safe Harbor et Privacy Shield que la Cour de justice a annulées dans les retentissants arrêts Schrems (CJUE 6 oct. 2015, Schrems I, aff. C-362/14, AJDA 2015. 2257, chron. E. Broussy, H. Cassagnabère et C. Gänser ; D. 2016. 111 , note B. Haftel ; ibid. 88, point de vue C. Castets-Renard ; ibid. 2025, obs. L. d’Avout et S. Bollée ; AJ pénal 2015. 601, obs. E. Daoud ; Dalloz IP/IT 2016. 26, étude C. Théard-Jallu, J.-M. Job et S. Mintz ; JAC 2015, n° 29, p. 11, obs. E. Scaramozzino ; JT 2015, n° 180, p. 14, obs. E. Scaramozzino ; Rev. crit. DIP 2022. 287, étude U. Kohl ; RTD eur. 2015. 786, obs. M. Benlolo Carabot ; ibid. 2017. 361, obs. F. Benoît-Rohmer ; ibid. 365, obs. F. Benoît-Rohmer ; CJUE, gr. ch., 16 juill. 2020, aff. C-311/18, Schrems II, Dalloz actualité, 22 juill. 2020, obs. C. Crichton ; D. 2020. 2432 , note C. Castets-Renard ; ibid. 2022. 2002, obs. W. Maxwell et C. Zolynski ; AJ contrat 2020. 436 , obs. T. Douville ; Dalloz IP/IT 2020. 640, obs. B. Bertrand et J. Sirinelli ; Rev. crit. DIP 2020. 874, Eclairages A. d’Ornano ; ibid. 2022. 287, étude U. Kohl ; RTD eur. 2021. 175, obs. B. Bertrand ; ibid. 973, obs. F. Benoît-Rohmer ).

Une action portée devant le Tribunal de l’Union européenne. Philippe Latombe est un député français mais c’est en son nom propre qu’il a sollicité, dans le cadre d’un référé, qu’il soit sursis à l’exécution du Data Privacy Framework. Sa demande a été rejetée, aucun préjudice grave n’étant prouvé (Trib. UE, ord. réf., 12 oct. 2023, aff. T-553/23 R). Il a parallèlement formé un recours en annulation devant le Tribunal. Ainsi, à la différence des précédentes décisions d’adéquation, le Data Privacy Framework a été contesté directement devant le Tribunal et non devant une juridiction nationale amenée à interroger la Cour de justice par voie de question préjudicielle. Le Tribunal était donc pour la première fois invité à statuer sur la validité d’une décision d’adéquation. Il s’est dans l’ensemble révélé moins exigeant que la Cour de justice dans les différentes affaires Schrems et a rejeté le recours en annulation (Trib. UE, 3 sept. 2025, aff. T-553/23, Dalloz actualité, 11 sept. 2025, obs. B. Bertrand ; pour une présentation synthétique de la décision, v. P. Bruyas, Europe 2025. Comm. 358). S’agit-il d’une redéfinition du standard d’équivalence substantielle « à la lumière de considérations institutionnelles et géopolitiques » comme le suggère Brunessen Bertrand (RTD eur. 2026. 136 ) ou d’une position propre au Tribunal ? La réponse sera donnée par la Cour de justice, M. Latombe ayant fait appel de la décision du Tribunal.

L’appel et la demande en intervention. L’appel a été formé en application de l’article 56 du statut de la Cour de justice et l’affaire est enregistrée sous le n° C-703/25 P. C’est dans le cadre de cet appel qu’intervient l’ordonnance du 4 juin 2026 relative à une demande d’intervention d’une tierce partie, en l’occurrence Microsoft, souhaitant soutenir les conclusions de la Commission européenne. L’intervention d’un tiers est prévue par l’article 40, alinéa 2, du statut de la Cour de justice de l’Union européenne qui précise que ce tiers doit justifier d’un intérêt à la solution du litige. En l’espèce, le président de la Cour reconnaît que Microsoft a un intérêt direct et actuel dans la procédure initiée par Philippe Latombe. L’ordonnance s’appuie sur une jurisprudence constante pour définir l’« intérêt à la solution du litige » comme « un intérêt direct et actuel au sort réservé aux conclusions elles-mêmes, et non comme un intérêt par rapport aux moyens ou aux arguments soulevés » et il est rappelé qu’un opérateur économique n’a un intérêt direct que si la solution à intervenir est susceptible de modifier sa position juridique. Or, Microsoft a fait valoir qu’elle fondait les nombreux transferts de données de l’Union vers les États-Unis, effectués tant pour ses besoins opérationnels propres que pour ceux de ses clients, sur le Data Privacy Framework et que ces transferts étaient une composante essentielle des services qu’elle offre dans l’Union. Elle démontre ainsi que l’annulation de la décision litigieuse l’obligerait à recourir à une autre base légale pour effectuer ces transferts, ce qui aurait des conséquences sur sa situation économique. Le mécanisme de clauses contractuelles types, qui serait la base légale de secours, oblige en effet les entreprises à évaluer les risques du transfert et représente une importante charge administrative. En conséquence, la demande en intervention de Microsoft est jugée recevable.

L’égalité des armes en question. La recevabilité de la demande d’intervention de Microsoft n’est pas anodine. Elle permet à Microsoft d’avoir accès à tous les documents de procédure, de soumettre ses propres déclarations écrites et de participer aux audiences orales. En somme, l’un des GAFAM va utiliser une armée de conseils afin de démontrer point par point que les exigences énoncées par la Cour de justice dans les deux arrêts Schrems pour assurer le droit fondamental à la protection des données personnelles sont bien satisfaites. La force de frappe du défendeur va s’en trouver décuplée.

Retour sur la recevabilité du recours en annulation ? Bien qu’elle soit dépourvue de lien avec la demande d’intervention de Microsoft, le président de la Cour de justice évoque dans l’ordonnance la question de la recevabilité du recours en annulation. Il indique qu’elle n’a pas été tranchée par le Tribunal. Celui-ci avait en effet choisi de ne pas examiner la recevabilité du recours pourtant contestée par le défendeur, la Commission, pour trancher directement au fond en invoquant la bonne administration de la justice. Cette méthode n’est pas nouvelle. Elle a aussi été utilisée par la Cour à plusieurs reprises (v. par ex., CJCE 26 févr. 2002, Conseil c/ Boehringer, aff. C-23/00 P ; v. aussi, Trib. UE, 9 sept. 2010, Suisse c/ Commission, aff. T-319/05). En l’occurrence, le Tribunal indiqua dans une formule quelque peu alambiquée que le recours étant mal fondé, il n’était pas nécessaire de statuer préalablement sur sa recevabilité. Une façon de botter en touche sur une question passablement épineuse, celle de l’intérêt à agir des personnes privées, appréciée restrictivement depuis l’arrêt Plaumann selon lequel « les sujets autres que les destinataires d’une décision ne sauraient prétendre être concernés individuellement que si cette décision les atteint en raison de certaines qualités qui leur sont particulières ou d’une situation de fait qui les caractérise par rapport à toute autre personne et de ce fait les individualise d’une manière analogue à celle du destinataire » (CJCE 15 juill. 1963, Plaumann c/ Commission, aff. 25/62). Cette question fait partie de celles sur laquelle les positions du Tribunal et de la Cour divergent (Rép. eur., v° Recours en annulation, par O Speltdoorn, spéc. n° 58), et il n’est pas à exclure que le Tribunal n’ait pas souhaité ouvrir ce qui s’apparente, depuis la modification de l’article 263, alinéa 4, du Traité sur le fonctionnement de l’Union européenne par le Traité de Lisbonne, à une boîte de Pandore (v. O Speltdoorn, art. préc., spéc. n° 62). C’était aussi une façon de dire, à propos du controversé Privacy Data Framework, « Circulez, il n’y a rien à voir ! ». Il n’empêche que la décision du Tribunal a été comprise par certains comme une invitation faite aux personnes privées (et notamment aux associations) à se saisir plus largement du recours en annulation. L’incise du président de la Cour de justice pourrait refroidir leurs ardeurs. En tout état de cause, on ne voit pas ce qui permettrait à la Cour de déclarer en appel le recours en annulation irrecevable. Elle ne devrait donc pas pouvoir se dispenser d’examiner au fond la validité de la décision d’adéquation et notamment d’interroger l’indépendance de la Data Protection Review Court, l’autorité américaine permettant aux data subjects de faire valoir leur droit à la protection des données personnelles.

par Fabienne Jault-Seseke, Professeur à l’Université de Paris-Saclay (UVSQ), Dante, IUF

CJUE, ord., 4 juin 2026, aff. C-703/25 P

Source