Meilleurs services européens de transfert de fichiers privés
Découvrez les meilleurs services européens de transfert de fichiers qui privilégient la conformité RGPD, la souveraineté des données et la confidentialité.
Les meilleurs services européens de transfert de fichiers pour la confidentialité en 2026 sont HexaTransfer (France, hébergement UE, E2EE AES-256-GCM, 10 Go gratuit), SwissTransfer (Genève, 50 Go gratuit, TLS + AES-256 au repos), Tresorit Send (Suisse/Hongrie, E2EE XChaCha20-Poly1305), Proton Drive (Genève, OpenPGP E2EE) et Internxt Send (Valence, libsodium sur Storj). L'hébergement européen compte pour trois raisons : l'opposabilité du RGPD, les engagements de souveraineté des données UE, et l'isolation face au CLOUD Act américain. Tous les outils « européens » ne se valent pas ; certains utilisent une infrastructure hébergée aux États-Unis derrière un domaine .eu, ce qui annule l'intérêt.
Pourquoi l'hébergement européen compte vraiment
Le RGPD (Règlement 2016/679) donne aux résidents de l'UE des droits opposables d'accès, de suppression, de portabilité et de limitation du traitement. Les articles 44 à 50 restreignent les transferts de données personnelles hors UE/EEE sauf si le pays destinataire offre une protection « adéquate ». Le CLOUD Act américain (Clarifying Lawful Overseas Use of Data, 2018) contraint les entreprises dont le siège est aux États-Unis à produire des données détenues partout dans le monde, créant un conflit avec le RGPD. Un service véritablement européen implique un siège social en UE ou en Suisse, un hébergement en UE ou en Suisse, et des contrats qui désignent la juridiction européenne pour les litiges. Le domaine .eu seul ne signifie rien.
HexaTransfer : siège en France, hébergement UE
HexaTransfer opère en France avec des centres de données UE. Le chiffrement AES-256-GCM s'effectue dans votre navigateur via l'API Web Crypto ; le serveur ne voit que du texte chiffré. Pas de compte, pas d'e-mail, pas de cookies de traçage. Le RGPD s'applique nativement car l'entreprise est un responsable de traitement UE. Plafond de dix gigaoctets, rétention de 7 jours, protection par mot de passe optionnelle via PBKDF2 (600 000 itérations). La combinaison « sans compte + E2EE + UE » la plus simple disponible.
SwissTransfer : hébergement genevois sous droit suisse
Infomaniak héberge SwissTransfer depuis ses datacenters genevois. La Loi fédérale suisse sur la protection des données (LPD révisée, en vigueur depuis septembre 2023) s'aligne désormais sur le RGPD et ajoute la non-appartenance de la Suisse aux cadres de partage du renseignement de l'UE. Le chiffrement est TLS 1.3 en transit et AES-256 au repos, donc côté serveur plutôt que bout en bout. Pour les gros fichiers non sensibles, le plafond de 50 Go avec rétention de 30 jours et sans compte est le plus généreux de la catégorie. Pour le contenu sensible, préchiffrez avec VeraCrypt ou 7-Zip AES-256 avant l'envoi.
Tresorit : parent suisse, racines hongroises
Tresorit a été fondé à Budapest en 2011 et acquis par Swiss Post en 2021. Il opère depuis la Suisse et l'Allemagne avec son architecture zero-knowledge intacte. Chiffrement de flux XChaCha20-Poly1305, dérivation de clés HKDF-SHA-256, audits tiers réguliers (Cure53, NCC Group). Le niveau Business ajoute le SSO SAML (Okta, Microsoft Entra, Google Workspace), le provisionnement SCIM et des contrôles admin spécifiques au RGPD incluant des garanties de résidence des données. Vaut le prix pour les secteurs réglementés qui ont besoin à la fois de l'E2EE et d'une piste de conformité.
Proton Drive : pile PGP basée à Genève
Proton AG opère depuis Genève avec des serveurs en Suisse, en Allemagne et en Norvège. Proton Drive utilise OpenPGP (clés ECC Curve25519 + clés de session AES-256-CFB) de bout en bout. L'entreprise publie des rapports de transparence réguliers indiquant zéro fichier transmis à une autorité (parce que le zero-knowledge rend cela impossible). Clients open source, audités par SEC Consult. Le bundle avec Mail, Calendar et Pass en fait une alternative européenne solide à Google Workspace.
Internxt : Espagne, stockage décentralisé
Internxt est basé à Valence en Espagne, soumis au RGPD. Leur produit Send chiffre les fichiers avec secretbox de libsodium (XSalsa20-Poly1305) côté client, puis distribue les fragments via erasure coding sur les nœuds de stockage décentralisé Storj. Aucun nœud ne voit un fichier complet. La juridiction espagnole s'applique, le RGPD s'applique, et le modèle décentralisé ajoute une couche supplémentaire de complexité juridique pour toute partie cherchant une divulgation contrainte. Plafond gratuit Send de 5 Go.
Matrice de comparaison
| Service | Siège | Hébergement | Chiffrement | Réglementation | |---|---|---|---|---| | HexaTransfer | France | UE | E2EE AES-256-GCM | RGPD | | SwissTransfer | Genève | Suisse | TLS + au repos | LPD suisse + adéquation RGPD | | Tresorit | Suisse (fondé Budapest) | CH + DE | E2EE XChaCha20-Poly1305 | LPD suisse + RGPD | | Proton Drive | Genève | CH + DE + NO | E2EE OpenPGP | LPD suisse + adéquation RGPD | | Internxt | Espagne | Storj (distribué) | E2EE libsodium | RGPD |
Les services qui semblent européens mais ne le sont pas
WeTransfer a été fondé aux Pays-Bas, ce qui semble idéal, mais il a été acquis par la société italienne Bending Spoons en 2024. Son infrastructure tourne sur AWS (siège américain), ce qui expose les données au CLOUD Act. Le niveau Business UE de Dropbox utilise AWS Irlande et Francfort mais reste une entreprise américaine. Box propose la résidence des données UE pour les plans enterprise, toujours sur AWS. Un nom de domaine européen sans structure sociale européenne et hébergement contrôlé par des entités EU ne vaut pas une souveraineté des données.
Les droits RGPD en pratique
L'article 15 vous donne le droit d'accéder à toutes les données personnelles détenues par un responsable de traitement. L'article 17 vous donne le droit à l'effacement (« droit à l'oubli »). L'article 20 vous donne la portabilité. Pour un service de transfert de fichiers, cela signifie que vous pouvez demander (par e-mail au DPO) un export de tout ce qui est lié à votre IP ou e-mail, demander la suppression immédiate, et attendre une réponse dans les 30 jours. Les services véritablement basés en UE le font de façon routinière. Les services à siège américain avec résidence des données UE y sont techniquement tenus aussi, mais l'application est plus complexe.
Schrems II et ses suites
La décision Schrems II (CJUE, juillet 2020) a invalidé le Privacy Shield UE-États-Unis, et le Cadre de confidentialité des données UE-États-Unis (2023) est déjà contesté en justice. Pour les responsables de traitement UE transférant des données personnelles à des sous-traitants américains, le fondement juridique est perpétuellement incertain. Utiliser une pile exclusivement européenne contourne entièrement ce problème. Si votre flux de travail implique des données de catégorie spéciale RGPD Article 9 (santé, biométrie, opinions politiques), éviter l'infrastructure américaine n'est pas de la paranoïa ; c'est de la diligence raisonnable.
Tarifs pour des stacks prioritairement européennes
HexaTransfer est gratuit. SwissTransfer est gratuit avec support Infomaniak volontaire. Tresorit Business commence à environ 14 € par utilisateur et par mois pour 1 To. Proton for Business coûte 7,99 € par utilisateur et par mois pour Business (500 Go par utilisateur) et 12,99 € pour Business Plus (illimité). Internxt Essentials est à 2,99 € par utilisateur et par mois pour 1 To. Pour les petites équipes souhaitant une stack européenne sans dépendances américaines, Proton associé à HexaTransfer pour les envois ponctuels externes est difficilement battable.
Quand la Suisse l'emporte sur l'UE
La Suisse n'est pas dans l'UE, donc elle échappe au RGPD direct mais a obtenu l'adéquation européenne. Le cadre juridique suisse ajoute la non-appartenance aux Five Eyes et un superviseur fédéral (PFPDT) disposant de réels pouvoirs. Pour les clients préoccupés par les backdoors d'un État membre (lois françaises sur le renseignement, pouvoirs du BND allemand), l'hébergement suisse offre un tampon supplémentaire. Pour les marchés publics strictement nationaux UE (appels d'offres du secteur public exigeant des données UE uniquement), un service hébergé en UE comme HexaTransfer convient mieux.
Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.
Envoyez vos fichiers volumineux en toute sécurité avec le chiffrement de bout en bout
Transférez des fichiers jusqu'à 10 Go gratuitement avec le chiffrement de bout en bout. Aucun compte requis. Vos fichiers sont chiffrés dans votre navigateur avant l'envoi — personne d'autre ne peut les lire.
Envoyer un fichier