La semaine où « conforme au RGPD » n’a plus suffi
Par Zanket GroupPublié le: 7 juillet 2026
En bref
Le 29 juin 2026, la Cour suprême des États-Unis a jugé que la loi limitant le pouvoir du président de révoquer les commissaires de la Federal Trade Commission violait le principe constitutionnel de séparation des pouvoirs. Cette décision dépasse largement la seule FTC : l’Union européenne s’appuie en partie sur l’existence d’un contrôle indépendant aux États-Unis lorsqu’elle évalue la possibilité de transférer des données personnelles européennes vers des entreprises américaines participantes dans le cadre du EU-US Data Privacy Framework.
Le cadre n’a pas disparu du jour au lendemain. Il reste officiellement en vigueur tant qu’il n’est pas retiré ou annulé.
Mais la décision a rouvert une question qui semblait relativement stabilisée :
Dans quelle mesure l’Europe peut-elle compter sur l’indépendance des régulateurs américains lorsqu’elle évalue la protection des données transférées de l’autre côté de l’Atlantique ?
Le 30 juin, l’organisation de protection de la vie privée noyb a demandé à la Commission européenne de préparer une abrogation ordonnée de la décision d’adéquation actuelle, estimant que l’arrêt remet en cause une hypothèse importante sur laquelle elle repose. noyb a également reconnu explicitement que la décision reste juridiquement en vigueur pour le moment.
Cette nuance est importante.
Il ne s’agit pas d’une histoire où les transferts de données entre l’UE et les États-Unis seraient soudainement devenus illégaux.
Il s’agit d’une base juridique qui redevient incertaine.
Pour ExtMoney, cette incertitude concerne beaucoup moins les données financières essentielles, car nous avons volontairement conçu le produit afin que la majorité de ces données n’ait pas besoin de traverser l’Atlantique.
Mais que s’est-il réellement passé ?
Depuis 2023, le EU-US Data Privacy Framework fournit un mécanisme d’adéquation permettant aux données personnelles de circuler de l’UE vers les entreprises américaines participantes sans qu’un mécanisme de transfert distinct soit nécessaire pour chaque opération.
L’application des règles constitue une partie importante de ce système.
Les entreprises américaines participantes prennent des engagements en matière de confidentialité, et des organismes tels que la Federal Trade Commission sont chargés de les faire respecter. L’indépendance compte, car le droit européen de la protection des données accorde une grande importance à un contrôle effectif et indépendant.
Puis est arrivée l’affaire Trump v. Slaughter.
Le 29 juin 2026, la Cour suprême a estimé que la protection légale permettant de révoquer les commissaires de la FTC uniquement pour motif valable était contraire au principe constitutionnel de séparation des pouvoirs. En pratique, cela donne au président beaucoup plus de contrôle sur le maintien en fonction des commissaires de la FTC.
Le lendemain, noyb a écrit à la Commission européenne en affirmant que cela créait un problème sérieux pour le cadre UE–États-Unis et en appelant à préparer une voie ordonnée vers l’abrogation de la décision d’adéquation.
Cela ne signifie pas que la Cour suprême a invalidé le EU-US Data Privacy Framework.
Elle ne l’a pas fait.
Cela ne signifie pas non plus qu’une entreprise européenne ne peut soudainement plus utiliser un fournisseur cloud américain.
Ce qui a changé, c’est le niveau de certitude derrière une phrase devenue presque routinière :
« Nous nous appuyons sur le EU-US Data Privacy Framework. »
Cette phrase paraît aujourd’hui moins stable et définitive qu’il y a un mois.
Et ce n’est pas la première fois.
Safe Harbor a été invalidé en 2015. Privacy Shield l’a été en 2020. Un peu plus d’une décennie après la première de ces décisions, l’architecture juridique soutenant les flux de données transatlantiques se retrouve à nouveau confrontée à une question sérieuse.
Pourquoi nous n’avons pas construit ExtMoney autour de ce pont
L’infrastructure principale d’ExtMoney fonctionne sur des serveurs situés en Allemagne.
Pour les parties du produit où réside réellement votre historique financier — transactions, comptes, soldes, dettes et calculs de valeur nette — notre architecture par défaut conserve les données en Europe.
Nous n’avons donc pas besoin d’un mécanisme de transfert transatlantique simplement pour stocker le solde d’un compte ou calculer votre valeur nette.
C’est ici que deux expressions souvent considérées comme équivalentes révèlent une vraie différence :
Conforme au RGPD
et
Hébergé dans l’UE
La conformité au RGPD concerne la manière dont les données sont traitées au regard des exigences juridiques applicables.
La résidence des données répond à une autre question, beaucoup plus simple :
Où les données se trouvent-elles réellement ?
L’une ne remplace pas l’autre.
Être hébergé dans l’UE ne rend pas automatiquement un service conforme au RGPD, et être conforme au RGPD ne signifie pas nécessairement que chaque octet reste en Europe.
Mais conserver les données financières essentielles en Europe réduit dès le départ le nombre de transferts internationaux nécessitant une justification juridique et technique supplémentaire.
C’est cette différence qui nous importe.
Nous n’avons pas besoin de vos données financières pour gagner de l’argent
L’architecture de confidentialité commence bien avant le chiffrement.
Elle commence par le modèle économique.
ExtMoney gagne de l’argent grâce aux abonnements.
Pas grâce à la publicité.
Pas en vendant l’accès à vos habitudes de dépenses.
Pas en construisant des profils publicitaires à partir de ce que vous achetez.
Pas en créant discrètement un second modèle économique autour de votre comportement financier.
C’est important, car les incitations produit finissent par devenir des décisions d’ingénierie.
Si une catégorie supplémentaire de données n’est pas nécessaire à la fonctionnalité demandée par l’utilisateur — et qu’aucun modèle publicitaire n’attend derrière pour exploiter ces données plus tard — nous avons beaucoup moins de raisons de les collecter.
Notre objectif est donc simple :
Collecter ce dont le produit a besoin. Le protéger correctement. Ne le conserver que tant qu’il existe une raison de le faire.
Derrière ce principe se trouvent volontairement des mesures de sécurité peu spectaculaires :
- TLS 1.3 pour les données en transit ;
- chiffrement AES-256 des sauvegardes ;
- sauvegardes stockées séparément de l’infrastructure principale ;
- authentification à deux facteurs ;
- absence de télémétrie publicitaire cachée construite autour du comportement financier.
Aucune de ces mesures n’est magique.
C’est précisément le but.
Une bonne sécurité est généralement constituée de couches simples, chacune remplissant correctement son rôle.
Certaines données traversent tout de même l’Atlantique
Nous pourrions arrêter l’article ici et laisser entendre que chaque octet traité par ExtMoney reste définitivement en Europe.
Ce serait une histoire marketing plus simple.
Mais ce ne serait pas vrai.
Certaines fonctionnalités d’ExtMoney bénéficient réellement des grands modèles de langage, notamment certaines parties de l’analyse financière assistée par IA. Selon le fournisseur utilisé, une partie du traitement peut donc avoir lieu en dehors de l’UE.
Notre affirmation utile en matière de confidentialité n’est donc pas :
« Vos données ne quittent jamais l’Europe. »
Mais :
« Nous savons exactement quand elles la quittent, pourquoi et ce que nous envoyons. »
Lorsqu’un processeur externe est nécessaire, plusieurs règles s’appliquent.
1. Le fournisseur est divulgué
Les processeurs externes doivent être identifiés comme sous-traitants, avec la raison pour laquelle ils reçoivent les données.
« Partenaires de confiance » n’est pas une réponse suffisante à la question :
Qui peut réellement traiter mes informations ?
2. Nous ne dépendons pas aveuglément d’un seul mécanisme de transfert
Les clauses contractuelles types constituent un outil distinct de transfert prévu par le RGPD et peuvent être utilisées pour certains transferts hors de l’EEE.
Elles ne rendent cependant pas chaque transfert automatiquement sûr et n’éliminent pas la nécessité d’évaluer les circonstances concrètes du transfert et, si nécessaire, d’appliquer des garanties supplémentaires.
C’est une distinction importante.
Le but n’est pas de trouver une formule juridique qui permettrait de ne plus réfléchir au problème.
Le but est d’abord de réduire le transfert au minimum, puis d’appliquer les protections juridiques et techniques appropriées à ce qui doit réellement être transféré.
3. Les données sont minimisées avant leur départ
Un modèle d’IA externe n’a généralement pas besoin de connaître votre identité pour réaliser la tâche demandée.
Les informations identifiantes peuvent donc être remplacées par des jetons opaques avant que la requête ne quitte notre infrastructure.
Par exemple :
Eugene Kononenko → USER_7F21
Le modèle externe voit le jeton.
La correspondance entre ce jeton et la valeur réelle reste sous notre contrôle.
Lorsque la réponse revient, la valeur originale peut être remappée localement si nécessaire.
Il s’agit de tokenisation/pseudonymisation, et non d’une affirmation selon laquelle le processeur externe ne reçoit aucune donnée sensible.
Le principe est plus simple :
Si un processeur n’a pas besoin d’une information pour faire son travail, ne l’envoyez pas.
Le consentement n’est pas une case à cocher. C’est une preuve.
Une politique de confidentialité qui dit :
« Nous demandons votre consentement. »
est une promesse.
Un système capable de répondre :
- à quoi vous avez consenti ;
- quand vous avez consenti ;
- quelle version du texte vous avez vue ;
- à quelle fonctionnalité ce consentement s’appliquait ;
constitue une preuve.
Nous avons conçu ExtMoney selon ce second modèle.
Les événements de consentement pour des fonctionnalités comme :
- le traitement vocal ;
- la numérisation des reçus ;
- les analyses assistées par IA ;
- le marketing ;
sont enregistrés dans un historique append-only des consentements, lié au texte présenté à l’utilisateur au moment de l’acceptation.
C’est important, car les formulations de confidentialité évoluent.
Six mois plus tard, la bonne question n’est pas :
« Que dit notre écran de consentement aujourd’hui ? »
Mais :
« À quoi cet utilisateur a-t-il exactement consenti à cette date ? »
Ce sont deux questions très différentes.
Dire non doit réellement signifier non
Le consentement doit aussi modifier le comportement du produit.
Si un utilisateur désactive une fonctionnalité IA optionnelle, cela ne devrait pas signifier :
« Désactiver le bouton tout en poursuivant pratiquement le même traitement en arrière-plan. »
Cela signifie que le traitement IA optionnel s’arrête.
Cela ne veut pas dire que toutes les fonctionnalités utiles doivent disparaître.
Par exemple, la détection d’anomalies d’ExtMoney peut fonctionner grâce à des méthodes statistiques sans LLM. L’IA peut ajouter une couche d’explication ou d’interaction, mais la fonctionnalité de base n’a pas besoin d’en dépendre.
C’est un principe produit important :
Les choix de confidentialité ne doivent pas être de faux choix.
Un utilisateur doit pouvoir refuser une couche de traitement optionnelle tout en conservant un produit utile.
Quatre questions de confidentialité à poser à n’importe quelle application financière
1. Où les données se trouvent-elles réellement ?
Ne vous arrêtez pas à :
« Êtes-vous conforme au RGPD ? »
Demandez :
« Où mes transactions et mes données de compte sont-elles stockées ? »
Les deux questions sont importantes, mais elles ne répondent pas à la même chose.
2. Comment l’entreprise gagne-t-elle de l’argent ?
Une politique de confidentialité dit ce qu’une entreprise promet de faire.
Le modèle économique révèle ce qu’elle est économiquement incitée à faire.
Demandez si le produit est financé par :
- les abonnements ;
- la publicité ;
- les commissions de recommandation ;
- la vente de produits financiers ;
- les données comportementales ;
- ou une combinaison de ces modèles.
Aucun de ces modèles ne prouve automatiquement de bonnes ou de mauvaises pratiques de confidentialité.
Mais vous devez connaître la réponse.
3. Que se passe-t-il lorsque je refuse une fonctionnalité optionnelle ?
Si vous refusez le traitement par IA, les données cessent-elles d’être envoyées au fournisseur d’IA ?
Si vous retirez votre consentement marketing, le traitement marketing s’arrête-t-il ?
Le comportement du produit après votre « non » en dit plus que le design du bouton de consentement.
4. Qui sont les sous-traitants ?
Demandez des noms.
Demandez ce que chacun fait.
Quelles données il reçoit.
Où le traitement a lieu.
Une réponse concrète est plus utile qu’un paragraphe sur des « partenaires de confiance soigneusement sélectionnés ».
Là où nous limitons volontairement nos propres affirmations
Le marketing de la confidentialité devient dangereux lorsque chaque décision d’architecture est présentée comme une garantie absolue.
Il y a donc plusieurs choses que nous voulons dire clairement.
Nous ne sommes pas avocats
Rien ici ne constitue un conseil juridique.
Le cadre juridique des transferts internationaux de données peut évoluer, et nos pratiques de conformité devront évoluer avec lui.
Nous avons conçu l’architecture pour réduire les dépendances inutiles aux transferts internationaux.
Nous ne prétendons pas que cela rende ExtMoney immunisé contre toute évolution réglementaire future.
Une partie du traitement quitte encore l’UE
C’est vrai aujourd’hui.
L’important est que nous essayions de rendre ces transferts :
- nécessaires ;
- limités ;
- divulgués ;
- minimisés ;
- protégés par le mécanisme de transfert et les garanties appropriés.
Nous préférons expliquer les exceptions plutôt que les masquer derrière un slogan plus élégant.
Héberger dans l’UE ne signifie pas confidentialité parfaite
Conserver les données principales en Allemagne supprime une partie de la complexité transfrontalière inutile.
Cela ne résout pas tous les problèmes de confidentialité ou de sécurité.
Un mauvais contrôle d’accès sur un serveur allemand reste un mauvais contrôle d’accès.
De mauvaises pratiques de conservation des données en Europe restent de mauvaises pratiques de conservation.
La résidence des données est une couche.
Ce n’est pas tout le système.
Un journal de consentement append-only n’impose pas automatiquement les bonnes décisions
Enregistrer correctement le consentement fournit une preuve de ce qui s’est passé.
Mais l’ingénierie doit encore vérifier ce consentement aux bons endroits du système.
Un bon schéma rend le bon comportement possible.
Il ne remplace pas la discipline.
ExtMoney est nouveau
Nous décrivons ici l’architecture que nous avons construite et les principes qui la guident.
Ce n’est pas encore une affirmation fondée sur dix ans d’exploitation ou plusieurs années de contrôle réglementaire à grande échelle.
Cela mérite aussi d’être dit clairement.
« Conforme au RGPD » reste important. Ce n’est simplement pas toute la question.
La leçon de l’actuel débat sur les transferts de données entre l’UE et les États-Unis n’est pas que la conformité au RGPD serait soudain devenue inutile.
Ce n’est pas le cas.
La leçon est que :
les labels de conformité ne suffisent pas à expliquer comment une application financière traite réellement vos données.
Vous devriez également pouvoir demander :
Où sont-elles stockées ?
Quand quittent-elles cet endroit ?
Qui les reçoit ?
Pourquoi en ont-ils besoin ?
Que se passe-t-il lorsque je dis non ?
Comment l’entreprise gagne-t-elle de l’argent ?
Ces réponses décrivent la véritable architecture de confidentialité derrière la politique de confidentialité.
Pour ExtMoney, l’objectif est simple :
Héberger par défaut les données financières essentielles dans l’UE. Être financé par les abonnements plutôt que par les données des utilisateurs. Être explicite sur les situations où un traitement externe reste nécessaire. Et conserver une trace de ce à quoi l’utilisateur a réellement consenti — pas simplement une case indiquant qu’un consentement a existé.
C’est le standard vers lequel nous construisons.
Et si vous voulez comprendre comment l’un de ces éléments fonctionne techniquement, demandez-nous. Nous irons plus loin.