プライバシー重視の欧州発ファイル転送サービス

2026年にプライバシーを重視するなら、欧州発ファイル転送サービスのベストはこの5つです。 HexaTransfer （フランス、EUホスティング、E2EE AES-256-GCM、10GB無料）、 SwissTransfer （ジュネーブ、50GB無料、TLS＋保存時AES-256）、 Tresorit Send （スイス・ハンガリー、E2EE XChaCha20-Poly1305）、 Proton Drive （ジュネーブ、OpenPGP E2EE）、そして Internxt Send （バレンシア、Storj上でlibsodium）です。欧州ホスティングが重要な理由は三つあります。GDPRの執行力、EUデータ主権へのコミットメント、米国CLOUD法からの隔離です。「.eu」ドメインだけを持つサービスがすべて同等とは限りません。実際には米国インフラを使っているケースも多く、その場合は欧州ホスティングの意味を失います。

欧州ホスティングが本当に重要な理由

GDPR（規則2016/679）はEU居住者に対し、アクセス、削除、可搬性、処理制限の執行可能な権利を与えます。第44〜50条は、受信国が「十分な」保護を提供しない限り、EU・EEA外への個人データ移転を制限しています。米国のCLOUD法（2018年）は米国に本社を置く企業に対し、世界中で保有するデータの提出を強制できるため、GDPRと根本的な矛盾が生じます。真の欧州サービスとは、EU・スイスに本社を置き、EU・スイスでホスティングし、EU管轄での紛争処理を明記した契約を備えることを意味します。

HexaTransfer：フランス本社、EUホスティング

HexaTransfer はフランスで運営され、EUデータセンターを使用しています。AES-256-GCM暗号化はブラウザ内でWeb Crypto APIを通じて行われ、サーバーが見るのは暗号文のみです。アカウント不要、メール不要、トラッキングクッキーなし。GDPRはEUの管理者として自動的に適用されます。10GBの上限、7日間の保持期間、任意のPBKDF2パスワード保護（60万回のイテレーション）を備えています。「アカウント不要＋E2EE＋EU」の組み合わせとして最もシンプルな選択肢です。

SwissTransfer：ジュネーブホスティングとスイス法

InfomaniakはジュネーブのデータセンターからSwissTransferを運営しています。スイス連邦データ保護法（改正FADP、2023年9月施行）はGDPRと整合しており、スイスがEUの情報共有枠組みに参加していないことが追加の保護となります。暗号化はTLS 1.3＋保存時AES-256であり、エンドツーエンドではなくサーバー側で行われます。機密性の低い大容量ファイルについては、50GBの上限と30日間の保持期間、アカウント不要という条件がこのカテゴリーで最強です。機密データを送る場合は、アップロード前に VeraCrypt または 7-Zip AES-256 で事前暗号化することをお勧めします。

Tresorit：スイス親会社、ハンガリー発祥

Tresorit は2011年にブダペストで設立され、2021年にスイスポストに買収されました。ゼロ知識アーキテクチャを維持したまま、スイスとドイツから運営されています。XChaCha20-Poly1305ストリーム暗号化、HKDF-SHA-256鍵導出、定期的なサードパーティ監査（Cure53、NCC Group）を採用。ビジネスティアにはSAML SSO（ Okta 、 Microsoft Entra 、 Google Workspace ）、SCIMプロビジョニング、データ所在地保証を含むGDPR固有の管理者コントロールが追加されます。E2EEとコンプライアンス文書の両方が必要な規制産業には価格に見合う選択肢です。

Proton Drive：ジュネーブ拠点のPGPスタック

Proton AG はジュネーブに拠点を置き、スイス、ドイツ、ノルウェーにサーバーを持ちます。 Proton Drive はOpenPGP（Curve25519 ECC鍵＋AES-256-CFBセッション鍵）でエンドツーエンド暗号化を行います。ゼロ知識のためいかなる当局にもファイルを提出したことがないことを示す透明性レポートを定期公開しており、オープンソースクライアントはSEC Consultによる監査済みです。メール、カレンダー、Passとのバンドルにより、 Google Workspace に代わるEU中心の生産性スイートとして強力な選択肢になります。

Internxt：スペイン発、分散ストレージ

Internxt はバレンシア（スペイン）に拠点を置き、GDPRが適用されます。Sendプロダクトはlibsodium secretbox（XSalsa20-Poly1305）でクライアント側でファイルを暗号化し、イレイジャーコーディングされたチャンクをStorj分散ストレージノードに分散させます。単一のノードが完全なファイルを見ることはありません。スペインの法的管轄とGDPRが適用され、分散モデルは強制開示を求める当局に対して法的複雑さをさらに加えます。無料のSend上限は5GBです。

サービス比較表

| サービス | 本社 | ホスティング | 暗号化 | 規制 | |---|---|---|---|---| | HexaTransfer | フランス | EU | E2EE AES-256-GCM | GDPR | | SwissTransfer | ジュネーブ | スイス | TLS＋保存時 | スイスFADP＋GDPR適正 | | Tresorit | スイス（ブダペスト創設） | CH＋DE | E2EE XChaCha20-Poly1305 | スイスFADP＋GDPR | | Proton Drive | ジュネーブ | CH＋DE＋NO | E2EE OpenPGP | スイスFADP＋GDPR適正 | | Internxt | スペイン | Storj（分散） | E2EE libsodium | GDPR |

欧州に見えて実は違うサービス

WeTransfer はオランダで創設されましたが、2024年にイタリアの Bending Spoons に買収されました。インフラはAWS（米国本社）で稼働しており、CLOUD法の適用範囲に入ります。 Dropbox Business のEUティアはAWSアイルランドとフランクフルトを使用していますが、依然として米国企業です。 Box は企業向けプランでEUデータ所在地を提供していますが、やはりAWS上です。EUドメイン名があっても、欧州の法人構造とEU管理のホスティングがなければデータ主権とは言えません。

GDPRの権利を実際に行使する

第15条によりコントローラーが保持するすべての個人データへのアクセス権が、第17条により消去権（「忘れられる権利」）が、第20条により可搬性の権利が認められています。ファイル転送サービスの場合、DPO宛のメールでIPやメールに紐づく全データのダンプ要求や即時削除要求が可能で、30日以内の回答が義務付けられています。真にEU拠点のサービスはこれを日常的に遵守しています。

Schrems IIとその余波

Schrems II判決（EU司法裁判所、2020年7月）はEU・米国プライバシーシールドを無効化し、EU・米国データプライバシーフレームワーク（2023年）もすでに法的挑戦を受けています。米国プロセッサーに個人データを転送するEU管理者にとって、法的根拠は永続的に不確実です。EU専用スタックを使用すれば、この問題を完全に回避できます。GDPRの第9条特別カテゴリーデータ（健康、生体認証、政治的見解）を含むワークフローでは、米国インフラの回避は過剰反応ではなく適切なデューデリジェンスです。

スイスがEUより優れる場合

スイスはEUに加盟していませんが、GDPRの十分性決定を取得済みです。スイスの法的枠組みはファイブアイズへの非参加、および実効力のある連邦監督機関（FDPIC）という追加の保護を提供します。フランスの情報法やドイツのBND権限を懸念するクライアントには、スイスホスティングが追加の緩衝材となります。一方、EUのみのデータを義務付ける公共調達案件には、 HexaTransfer のようなEUホスティングサービスが適しています。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。