La FISA Section 702, l’article de la loi américaine sur la surveillance du renseignement étranger (Foreign Intelligence Surveillance Act), expire le 20 avril 2026. Le Congrès l’avait prorogée pour deux ans en 2024. Elle autorise les agences de renseignement des États-Unis à collecter, sans mandat judiciaire individuel, les communications de personnes non américaines situées hors du territoire. Les fournisseurs américains de services de communication doivent y prêter leur concours.
Le Congrès débat aujourd’hui de son renouvellement. Or, pour une entreprise française qui confie ses courriels, ses fichiers ou ses données clients à un fournisseur américain, l’issue de ce vote touche directement la légalité de ses transferts.
Pourquoi la FISA Section 702 vise aussi les Européens
La Section 702 cible par définition des ressortissants étrangers. Selon le Brennan Center for Justice, la personne visée n’a pas besoin d’être soupçonnée d’une activité illicite. Un Européen qui confie ses communications à un fournisseur américain entre donc dans son champ.
D’ailleurs, cette surveillance a déjà fait tomber un cadre de transfert. En 2020, dans l’arrêt « Schrems II », la Cour de justice de l’Union européenne (CJUE) a invalidé le Privacy Shield, notamment en raison de ce dispositif.
Depuis 2023, le cadre actuel, le Data Privacy Framework, repose sur des engagements américains : limiter la surveillance à ce qui est nécessaire et proportionné. Vérifier vos transferts sous le Data Privacy Framework reste la première étape pour tout organisme qui s’appuie sur ce cadre.
Le débat au Congrès sur la surveillance américaine
Deux voies s’opposent. D’un côté, des élus des deux partis ont déposé en mars 2026 le Government Surveillance Reform Act. Ce texte exige un mandat judiciaire pour consulter les communications d’Américains recueillies au titre de la Section 702. Il interdit aussi au gouvernement fédéral d’acheter sans mandat des données d’Américains auprès de courtiers en données. L’Electronic Privacy Information Center (EPIC) soutient ainsi ce texte.
De l’autre côté, la direction républicaine de la Chambre des représentants a annoncé en mars 2026 vouloir soumettre au vote une prolongation de 18 mois, sans réforme. Pourtant, l’institution Brookings relève que le chemin vers une réautorisation reste incertain et embarrasse les deux partis.
Pour un responsable de traitement européen, un constat domine : même les propositions de réforme protègent d’abord les Américains. Selon le Brennan Center, les principales visent les communications d’Américains. Elles ne renforcent pas la protection des non-Américains. Quelle que soit l’issue du vote, vos données restent donc exposées de la même manière.
Transferts de données vers les États-Unis : vos obligations
Le chapitre V du RGPD (articles 44 et suivants) encadre les transferts vers des pays tiers. Un renouvellement de la Section 702 sans réforme fragilise donc le fondement de ces transferts. En effet, le Data Privacy Framework repose sur des garanties de proportionnalité que le Congrès n’aura pas renforcées.
De plus, les articles 28 et 32 du RGPD vous imposent de choisir des sous-traitants qui présentent des garanties suffisantes, y compris aux États-Unis. Ils vous imposent aussi d’évaluer la sécurité des données que vous leur confiez.
Autrement dit, la question ne se règle pas dans le contrat seul.
D’abord, dressez l’inventaire des transferts vers les États-Unis et des sous-traitants concernés. Ensuite, réévaluez vos analyses d’impact des transferts (Transfer Impact Assessment) à la lumière du vote : la méthode post-Schrems II donne la marche à suivre. Pour les données sensibles, étudiez les hébergements qualifiés SecNumCloud par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
Documentez chaque décision. En cas de contrôle, la Commission nationale de l’informatique et des libertés (CNIL) vous demandera de justifier la légalité de vos transferts. Surveillez enfin les décisions de la Commission européenne sur l’adéquation du Data Privacy Framework.
Notre analyse : si le Congrès renouvelle la Section 702 sans réforme substantielle, une nouvelle contestation du Data Privacy Framework devant la CJUE devient probable, avec à la clé un éventuel arrêt « Schrems III ». Préparez dès maintenant le plan de repli de vos traitements les plus sensibles.
Sources
Le calendrier du vote et la proposition de prolongation de 18 mois figurent dans la note du cabinet Holland & Knight Congress Poised to Consider FISA Extension in April.
Le fonctionnement de la Section 702 et la portée des réformes font l’objet de l’analyse du Brennan Center for Justice Section 702 of the Foreign Intelligence Surveillance Act, Explained.
L’analyse de Brookings se trouve dans A key intelligence law expires in April and the path for reauthorization is unclear.
Le contenu du Government Surveillance Reform Act et le soutien de l’EPIC figurent dans le communiqué de la Chambre des représentants Lofgren, Davidson, Wyden, and Lee Introduce Bipartisan FISA Reform Bill to Protect Americans’ Constitutional Rights.
Questions fréquentes
Qu’est-ce que la FISA Section 702 ?
La FISA Section 702 est une disposition de la loi américaine sur le renseignement étranger qui autorise la collecte, sans mandat judiciaire individuel, des communications de personnes non américaines situées hors des États-Unis. Les fournisseurs américains de services de communication doivent y prêter leur concours.
Quand la Section 702 expire-t-elle ?
La Section 702 expire le 20 avril 2026, après une prorogation de deux ans votée en 2024. Le Congrès débat d’une prolongation de 18 mois sans réforme ou d’un texte de réforme.
La Section 702 concerne-t-elle les citoyens européens ?
Oui, la Section 702 vise précisément les personnes non américaines situées hors des États-Unis. Un Européen qui confie ses communications à un fournisseur américain entre dans son champ, même sans soupçon d’activité illicite.
Le Data Privacy Framework est-il menacé par le renouvellement de la Section 702 ?
Il est fragilisé, car il repose sur des engagements américains de surveillance nécessaire et proportionnée que les réformes débattues ne renforcent pas pour les non-Américains. Une nouvelle contestation devant la CJUE reste possible, comme en 2020 avec l’arrêt Schrems II qui a invalidé le Privacy Shield.
Que doit faire une entreprise qui utilise un cloud américain ?
Elle doit recenser ses transferts vers les États-Unis, réévaluer ses analyses d’impact des transferts et documenter ses choix. Pour les données sensibles, elle peut étudier un hébergement qualifié SecNumCloud. Elle doit enfin suivre les décisions de la Commission européenne sur le Data Privacy Framework.
