Dans l'arrêt Schrems II de l'été passé, la CJUE a invalidé le soi-disant Privacy Shield (une mécanisme d'auto-certification de conformité avec les principes de la protection des données) qui permettait à un nombre important d'organisations de transférer des données vers les Etats-Unis, et ce en raison de la surveillance en masse de la part des autorités américaines et de l'absence d'un recours effectif pour les personnes concernées. Pour la même raison la CJUE a également rendu plus strictes les conditions de recourir aux clauses contractuelles-type dont la conclusion avec le récipient des données aux Etats-Unis pouvait aussi justifier le transfert de données en dehors hors de l'UE.