EBSP : l'UE négocie un accord qui donnera aux États-Unis un accès aux bases biométriques européennes en échange de l'exemption de visa

EDRi alerte le 20 juillet 2026 sur l'Enhanced Border Security Partnership (EBSP), un accord-cadre en cours de négociation qui permettrait aux autorités frontalières américaines de sonder les bases de données biométriques nationales des États membres de l'UE. Un choix politique lourd, avec des angles morts sécurité.

Les faits

Le 20 juillet 2026, European Digital Rights (EDRi) publie une analyse critique du projet d'Enhanced Border Security Partnership Framework Agreement (EBSP) actuellement négocié entre la Commission européenne et les États-Unis. L'accord vise à maintenir l'exemption de visa dont bénéficient les voyageurs européens vers les États-Unis - mais au prix d'un mécanisme d'échange de données étendu.

Chronologie confirmée par EDRi :

• 2022 : les États-Unis notifient à leurs partenaires exemptés de visa l'exigence future d'un accès biométrique.
• Décembre 2025 : le Conseil de l'UE mandate officiellement la Commission pour ouvrir la négociation.
• Mai 2026 : Statewatch publie une fuite d'un projet révisé du texte.
• 20 juillet 2026 : EDRi publie son analyse ; aucune date de vote n'est encore fixée.

Ce que le texte prévoit

Deux briques principales, d'après le projet analysé par EDRi :

• Accès aux bases biométriques des États membres pour permettre le screening de voyageurs.
• Partage d'« indications de risque » basées sur les bases de données nationales européennes, avec profilage à finalité sécuritaire.

L'agence américaine destinataire n'est pas nommée dans la note EDRi analysée. Le périmètre exact des données (empreintes, images faciales, casier, données de passeport) n'est pas itemisé publiquement à ce stade.

L'analyse d'EDRi

Trois griefs principaux, dans les mots de l'ONG :

1. Discrimination potentielle : « Le projet de texte ne prévoit rien pour protéger contre la discrimination fondée sur les opinions politiques. » EDRi cite explicitement les risques pour les militants pro-Gaza, LGBTQ+ et les opposants politiques.
2. Dérive par rapport au mandat : le projet « s'écarte significativement du mandat de négociation des États membres ».
3. Conformité insuffisante au droit européen de la protection des données.

EDRi ne propose pas d'amendements : l'ONG appelle au rejet.

L'angle sécurité qu'on doit ajouter

EDRi soulève à raison les enjeux droits fondamentaux. Il faut y ajouter l'angle sécurité opérationnelle que le texte laisse dans le flou :

• Modèle de menace côté récipiendaire : quelle politique de rétention, de purge, de journalisation d'accès ? Un accès en pull-mode contre les bases nationales crée un point d'exfiltration massif si l'infrastructure US est compromise (rappel du breach OPM de 2015 : 21,5 millions de dossiers de personnels fédéraux exfiltrés, dont les empreintes de 5,6 millions).
• Réciprocité et gouvernance : quels sont les canaux d'audit européens sur l'usage effectif ? Sur les requêtes ?
• Ancrage juridique : depuis l'invalidation du Privacy Shield (Schrems II, CJUE, juillet 2020), transférer des données personnelles européennes vers les États-Unis exige des garanties spécifiques. Le successeur (Data Privacy Framework, 2023) tient à un fil et fait l'objet de recours.

À suivre

Pas de date de vote fixée. Le texte reste au niveau de la négociation. Il faudra surveiller :

• la publication d'un texte consolidé,
• la position du contrôleur européen de la protection des données (CEPD) et du Comité européen de la protection des données (CEPD/EDPB),
• la position du Parlement européen (co-décideur pour un accord international).

Sources primaires à privilégier : Statewatch (pour les fuites) et EDRi (edri.org) pour l'analyse société civile.