Partage de fichiers conforme au RGPD : 7 outils comparés (2026)

Image d'en-tête des outils de partage de fichiers conformes au RGPD

Partage de fichiers conforme au RGPD : 7 outils comparés (2026)

Dernière mise à jour le 24 octobre 2026. Qu'est-ce qui a changé : tous les prix vérifiés sur les sites des fournisseurs, une réponse claire sur les outils hébergés aux États-Unis après le jugement Latombe de 2025, un tableau "quelle règle de transfert s'applique", une liste de contrôle DPA, notes corrigées en allemand et en français, et une FAQ construite à partir des questions posées par les gens sur le subreddit r/gdpr.

Outils de partage de fichiers conformes au RGPD en un coup d'œil

Sources : Tarification de SendNow, Tresorit et critique de Office Software Marketplace, Proton, Limite de données de l'UE de Microsoft, Nextcloud, Oodrive, ShareFile.

Quel outil convient à quelle situation

Qu'est-ce qui rend le partage de fichiers conforme au RGPD ?

Cinq éléments, chacun lié au texte du Règlement :

Source : Texte intégral du RGPD, EUR-Lex.

Puis-je utiliser un outil hébergé aux États-Unis sous le RGPD en 2026 ?

Oui, si vous avez une base de transfert valide. Les principales options :

Le 3 septembre 2025, le Tribunal général de l'UE a rejeté le recours de Philippe Latombe et a confirmé le cadre de protection des données. Source : EUR-Lex, Affaire T-553/23 Il a fait appel devant la Cour de justice le 31 octobre 2025 (Affaire C-703/25 P), et cet appel est toujours en attente. Source : EUR-Lex, Affaire C-703/25 P Le DPF est en vigueur aujourd'hui, mais ses deux prédécesseurs (Safe Harbor et Privacy Shield) ont tous deux été annulés, donc de nombreux DPO conservent les CCT dans le contrat comme solution de secours.

Position de SendNow : SendNow est hébergé sur AWS aux États-Unis, avec AES-256 au repos et TLS 1.3 en transit. Si votre DPO exige que les données restent dans l'UE, utilisez un outil hébergé dans l'UE de cette liste pour ces données.

Les 7 outils de partage de fichiers conformes au RGPD, classés

1. SendNow

Meilleur pour : fondateurs, équipes financières et conseillers envoyant des fichiers sensibles à des personnes extérieures à l'entreprise.

SendNow donne à chaque destinataire un lien traqué et montre quelles pages ils ont lues et pendant combien de temps. Vous pouvez exiger un e-mail avant de visualiser (Lite), ajouter un NDA obligatoire et un bloqueur de captures d'écran (Pro), et ajouter des filigranes dynamiques, une liste autorisée et un domaine personnalisé (Business). Chaque plan a des visualisateurs illimités.

• Prix : Lite $6.25/mois en facturation annuelle ($9 par mois), 5 documents. Pro $9/mois en facturation annuelle ($17 par mois), 100 documents. Business $20/mois en facturation annuelle ($43 par mois), 300 documents. Microsites Pro $12.40/mois en facturation annuelle ($19 par mois). Un siège par plan. Source
• Angle RGPD : vous ne collectez qu'un e-mail, définissez une date d'expiration, révoquez tout lien et conservez un journal par personne pour l'article 33.
• Attention : hébergé sur AWS aux États-Unis. Pas un disque de stockage d'équipe.

Video: How to Share a PDF Securely and Track Who Reads It1:16 video

2. Tresorit

Meilleur pour : équipes souhaitant un stockage et un partage chiffrés en Europe.

Tresorit est sans connaissance : "Tresorit ne peut pas accéder à vos fichiers et clés." Il affiche la certification ISO 27001 et la conformité RGPD, TISAX et FINRA, et propose un DPA personnalisé sur demande. Les liens peuvent avoir un mot de passe, une date d'expiration, une limite d'ouverture et "exiger un e-mail pour visualiser". Business Pro ajoute des filigranes dynamiques, un domaine personnalisé et des analyses de documents. Source : Tresorit

• Prix : Business nécessite au moins 3 utilisateurs. La page de Tresorit charge les prix par région ; un examen de 2026 indique €16/utilisateur/mois en facturation annuelle. Source Essai de 14 jours, carte requise.
• Attention : pas de NDA obligatoire ; analyses au niveau de la page uniquement sur le plan supérieur.

3. Proton Drive Professional

Meilleur pour : petites équipes souhaitant un stockage simple, suisse et chiffré de bout en bout.

Proton dit "même Proton ne peut pas accéder à vos données." Les liens partagés peuvent avoir des mots de passe, des dates d'expiration et peuvent être révoqués à tout moment. Source : Proton

• Prix : Drive Professional $9.99/utilisateur/mois en facturation mensuelle, 1 To par utilisateur.
• Attention : pas d'analyses des destinataires, pas de NDA obligatoire, pas de filigrane.

4. SharePoint (Limite de données UE)

Meilleur pour : entreprises déjà sur Microsoft 365.

Microsoft a complété la limite de données UE le 26 février 2025. La phase finale a déplacé les données de support, y compris les journaux et les notes de cas de support, dans l'UE/AELE. Source : Microsoft

• Prix : inclus dans les plans d'affaires Microsoft 365.
• Attention : la configuration du partage externe est complexe, et les invités ont souvent besoin d'un compte Microsoft ou d'un code. Pas d'analyses au niveau de la page.

5. Nextcloud

Meilleur pour : organisations souhaitant un contrôle total et disposant de personnel informatique.

L'édition communautaire est gratuite à auto-héberger. Nextcloud Enterprise commence à €71.29/utilisateur/an pour 100 utilisateurs. Pour moins de 100 utilisateurs, Nextcloud One est un service géré "hébergé en Allemagne." Source : Nextcloud

• Attention : vous êtes responsable des mises à jour et de la sécurité. Si le serveur est compromis, les fichiers sont exposés à moins que vous n'ajoutiez un chiffrement.

6. Oodrive

Meilleur pour : secteur public français et industries réglementées.

Oodrive est "certifié SecNumCloud par l'ANSSI depuis 2019" et propose un cloud public ou un cloud privé SecNumCloud. Source : Oodrive

• Prix : devis uniquement.
• Attention : processus de vente pour les entreprises ; analyses de documents limitées.

7. ShareFile

Meilleur pour : cabinets comptables et services professionnels qui collectent des fichiers de clients.

• Prix : Avancé $16.50/utilisateur/mois en facturation annuelle ($18.15 par mois), minimum 3 utilisateurs. Premium $26. Salle de données virtuelle $69.30/utilisateur/mois, minimum 5 utilisateurs. Source : ShareFile
• Attention : une entreprise basée aux États-Unis, donc vérifiez les conditions de transfert même si vous choisissez une zone de stockage dans l'UE.

Que vérifier dans le DPA d'un fournisseur

1. Sous-traitants : y a-t-il une liste publique, et vous informeront-ils avant d'en ajouter un ?
2. Emplacement : où les données sont-elles stockées, et d'où le personnel de support peut-il y accéder ?
3. Base de transfert : certification DPF, SCC, ou les deux ?
4. Notification de violation : à quelle vitesse vous informeront-ils ? Vous avez 72 heures pour informer votre régulateur.
5. Suppression : combien de temps avant que les fichiers supprimés ne soient vraiment partis, y compris les sauvegardes ?
6. Audits : pouvez-vous voir un rapport SOC 2 ou ISO 27001 ?

Liste de contrôle de conformité au RGPD pour le partage de fichiers

• Un DPA signé (en Allemagne souvent appelé un AV-Vertrag) avec des SCC si les données quittent l'UE/EEE
• Vous savez où les données sont stockées, ou vous avez une base de transfert
• AES-256 au repos et TLS 1.2+ en transit
• Vous pouvez révoquer un lien instantanément s'il a été envoyé à la mauvaise personne
• Journal d'accès par personne avec date et heure
• Pas de liens publics ouverts pour les données personnelles : vérification par e-mail, mot de passe ou liste blanche
• Liste publique des sous-traitants
• Dates d'expiration, pour que les fichiers ne restent pas en ligne indéfiniment
• Filigranes dynamiques sur les fichiers les plus sensibles
• Une politique de confidentialité qui explique les droits d'accès, de suppression et de portabilité

Remarques spécifiques à l'Allemagne (DSGVO)

La DSGVO (Datenschutz-Grundverordnung) est simplement le nom allemand du RGPD. L'Allemagne ajoute sa propre loi fédérale sur la protection des données (BDSG). La protection des données est appliquée par le commissaire fédéral (BfDI) et par les autorités des États, qui supervisent la plupart des entreprises privées.

1. Un DPA signé (AV-Vertrag) est requis chaque fois qu'un fournisseur traite des données personnelles pour vous.
2. Les acheteurs allemands préfèrent souvent des fournisseurs avec une attestation BSI C5 ou un hébergement allemand.
3. Si vous utilisez un outil hébergé aux États-Unis tel que SendNow, enregistrez la base de transfert (DPF ou SCC) dans vos dossiers de traitement. Voir la page de sécurité de SendNow.

Remarques spécifiques à la France (RGPD)

En France, le RGPD est appelé le RGPD et est appliqué par la CNIL. Pour de nombreux organismes publics et opérateurs d'importance vitale, les règles françaises poussent vers un hébergement qualifié SecNumCloud de l'ANSSI, conçu pour protéger contre les lois non-UE telles que le CLOUD Act américain. Oodrive est un choix courant là-bas. Pour la plupart des entreprises privées, un fournisseur avec un hébergement dans l'UE et un DPA solide suffit.

Exemple : partager un rapport client avec un client de l'UE

1. Téléchargez le rapport et activez "exiger un e-mail", afin de ne collecter que l'e-mail du visualiseur.
2. Définissez une date d'expiration qui correspond à la durée pendant laquelle le client en a besoin.
3. Désactivez les téléchargements si le rapport ne doit pas quitter le visualiseur.
4. Lorsque le travail est terminé, révoquez le lien.

Collecter uniquement ce dont vous avez besoin et désactiver l'accès lorsque vous avez terminé sont les habitudes que le RGPD demande en pratique.

Video: How to Create a Virtual Data Room in Minutes1:52 video

Comparez les outils de partage de fichiers avec SendNow

• SendNow vs Google Drive
• SendNow vs Dropbox
• SendNow vs OneDrive
• SendNow vs Box
• SendNow vs Tresorit
• SendNow vs WeTransfer

FAQ : RGPD et partage de documents

Ces questions reviennent sans cesse sur le subreddit r/gdpr, par exemple dans les fils "Solutions de partage de fichiers sécurisées" et "Service de partage de données tiers basé dans l'UE et conforme au RGPD ?".

Un outil de partage de fichiers est-il "certifié RGPD" ?

Aucun certificat RGPD officiel n'est largement utilisé pour les outils de partage de fichiers. Considérez les badges "conforme au RGPD" comme du marketing. Vérifiez plutôt le DPA, le lieu d'hébergement, la base de transfert et les rapports de sécurité.

Est-il légal d'utiliser un outil cloud américain pour des données personnelles de l'UE ?

Oui, avec une base de transfert. Le Cadre de protection des données UE-États-Unis a été confirmé par le Tribunal général en septembre 2025, et un appel est en cours. Si le fournisseur n'est pas certifié DPF, utilisez les SCC plus une évaluation de l'impact sur le transfert.

Dropbox est-il conforme au RGPD pour les entreprises européennes ?

Il peut être utilisé de manière conforme si vous signez son DPA et vérifiez où vos données sont stockées. Vérifiez les options d'hébergement actuelles sur votre plan avec Dropbox. Il n'a pas de NDA obligatoire ni d'analyses au niveau de la page.

WeTransfer est-il acceptable pour les données personnelles des clients ?

Pour des fichiers à faible risque, peut-être. Pour des données personnelles sensibles, les utilisateurs de r/gdpr suggèrent régulièrement des outils avec contrôle d'accès et journaux d'audit au lieu de liens de transfert ouverts. Quiconque ayant un lien public peut l'ouvrir.

Quelle est l'amende RGPD pour un partage de fichiers imprudent ?

En vertu de l'article 83, le niveau supérieur est jusqu'à €20 millions ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Les défaillances de sécurité en vertu de l'article 32 relèvent du niveau inférieur : jusqu'à €10 millions ou 2 %.

Ai-je besoin d'un DPA pour partager des fichiers avec un fournisseur ?

Oui, si le fournisseur traite des données personnelles pour vous (article 28). En Allemagne, cela s'appelle généralement un AV-Vertrag.

Quel outil est le meilleur pour partager des documents sensibles avec des parties externes ?

Pour un partage externe suivi avec un NDA obligatoire et des filigranes, SendNow. Pour un stockage crypté hébergé dans l'UE, Tresorit ou Proton. SendNow est notre produit et est hébergé aux États-Unis, vérifiez donc le tableau par rapport aux règles de votre DPO.

SendNow stocke-t-il des données dans l'UE ?

Non. SendNow est hébergé sur AWS aux États-Unis. Il utilise AES-256 au repos et TLS 1.3 en transit.

Sources

• Texte intégral du RGPD (EUR-Lex)
• Tribunal général, Latombe c. Commission, T-553/23
• Appel C-703/25 P
• Liste du Cadre de protection des données
• Microsoft : Limite de données de l'UE complète
• Pages de tarification des fournisseurs : Tresorit, Proton, Nextcloud, Oodrive, ShareFile

Continuer à lire

• RGPD et partage de documents : Guide complet
• Comment partager des documents financiers en toute sécurité
• Normes de sécurité des VDR : Ce qu'il faut rechercher
• Partage conforme au RGPD : Guide de la piste d'audit
• Article 32 du RGPD et partage de documents sécurisé
• Comment établir une politique de partage de documents conforme au RGPD
• NDA obligatoire et Filigranes dynamiques
• Aperçu de l'architecture de sécurité de SendNow