Data-residentie: vergelijking van bestandsoverdrachtdiensten

Data-residentie verschilt enorm per bestandsoverdrachtdienst. WeTransfer slaat bestanden op in Ierland en de VS, Smash host in Frankrijk, SwissTransfer bewaart alles in Zwitserland, en Dropbox Transfer verdeelt over VS- en EU-regio's. Voor AVG-artikel 44-naleving (overdrachten buiten de EER) kies je bij persoonsgegevens het beste voor EU-only diensten. HexaTransfer host uitsluitend op Franse servers, zodat je bestanden de Atlantische Oceaan nooit oversteken. Dit is cruciaal voor zorgteams, juristen en financiële dienstverleners die gebonden zijn aan strenge soevereiniteitsregels na het Schrems II-arrest.

Waarom data-residentie echt telt na Schrems II

Het Schrems II-arrest van juli 2020 vernietigde het EU-VS Privacy Shield en liet de meeste transatlantische gegevensoverdrachten op wankele juridische grond achter. Standaardcontractbepalingen (SCC's) werken nog steeds, maar alleen in combinatie met aanvullende maatregelen die bewijzen dat Amerikaanse surveillancewetten (FISA 702, Executive Order 12333) de gegevens niet aantasten. Een CNIL-beslissing in februari 2022 maakte dit concreet: EU-bedrijven werden beboet voor het doorsturen van bezoekerdata naar Amerikaanse servers, zelfs met SCC's van kracht.

Voor bestandsoverdrachten zijn de gevolgen direct. Stuur je een klantcontract via een Amerikaanse dienst, dan heb je mogelijk een grensoverschrijdende overdracht getriggerd die een gegevensoverdracht-impactbeoordeling vereist. Gebruik je een Franse of Zwitserse dienst, dan blijf je binnen jurisdicties met een adequaatheidsbesluit of sterkere privacykaders.

WeTransfer: Ierland plus Amerikaanse edge-servers

WeTransfer's primaire opslag staat in Ierland (AWS eu-west-1), wat de gegevens binnen de juridische grens van de EU houdt. Maar hun CDN-edges beslaan de hele wereld en metadata-routing loopt via de infrastructuur van het moederbedrijf. Sinds 2023 is WeTransfer eigendom van het Italiaanse Bending Spoons, dat een deel van de activiteiten naar Milaan verplaatste. Bestanden blijven voor EU-gebruikers in Ierland, maar logs, authenticatietokens en miniatuurweergaven kunnen tijdens het transport Amerikaanse knooppunten raken.

Voor een Frans advocatenkantoor dat getuigenverklaringen verstuurt, creëert dit onduidelijkheid. De bestanden zijn technisch gezien EU-resident, maar de operationele metadata niet. AVG-artikel 30-verwerkingsregisters moeten deze nuance documenteren.

Smash: 100% Franse hosting via OVH

Smash, de Parijse concurrent, host uitsluitend bij OVH in Roubaix en Gravelines, Frankrijk. Geen AWS, geen Azure, geen Google Cloud. Dit geeft hen een sterker verhaal voor overheidsklanten die gebonden zijn aan de Franse SecNumCloud-vereisten, die elke aanbieder uitsluiten die valt onder Amerikaanse extraterritoriale wetgeving zoals de CLOUD Act. Smash publiceerde in 2024 een gedetailleerde infrastructuurpagina die nul Amerikaanse betrokkenheid in hun datapad bevestigt.

De afweging is prestaties. Gebruikers in Singapore of Sydney ervaren hogere latentie dan bij een geografisch gedistribueerde dienst. Voor Europese gebruikers is dit echter eerder een voordeel dan een nadeel.

SwissTransfer: groene Zwitserse datacenters van Infomaniak

SwissTransfer draait op Infomaniak-infrastructuur in Genève en de Zwitserse Jura. Zwitserland maakt geen deel uit van de EU, maar heeft een adequaatheidsbesluit onder de AVG, zodat EU-Zwitserse overdrachten als intra-EER worden behandeld. De Zwitserse federale wet inzake gegevensbescherming (DSG), in september 2023 bijgewerkt om de AVG te spiegelen, voegt nog een extra laag juridische symmetrie toe.

Infomaniak publiceert zijn CO₂-voetafdruk en draait volledig op hernieuwbare waterkrachtenergie. Voor duurzaamheidsgerichte organisaties is dat een extra pluspunt naast het residentieverhaal. Bestanden verlopen na 30 dagen, met AES-256-versleuteling in rust.

Dropbox Transfer: VS-standaard, EU optioneel

Dropbox Transfer, meegeleverd met betaalde Dropbox-abonnementen, slaat standaard op in de VS. Enterprise-klanten kunnen tegen meerprijs kiezen voor EU-residentie, waarbij data naar Duitse AWS-regio's wordt gerouteerd. Maar het control plane (accountmetadata, facturering, auditlogs) blijft in de VS gehost. Dit is het patroon dat de meeste hyperscalers volgen: regionale dataplanes, gecentraliseerde control planes.

Onder het EU-VS Data Privacy Framework (juli 2023) is Dropbox gecertificeerd, wat een juridische basis voor overdrachten biedt. Maar het DPF wordt al aangevochten voor de rechter en een Schrems III-uitspraak zou het binnen twee jaar ongeldig kunnen verklaren. Langlopende contracten moeten dit risico meewegen.

HexaTransfer: één jurisdictie, maximale eenvoud

HexaTransfer slaat alles op op Franse servers zonder replicatie buiten de EU. Bestanden worden client-side versleuteld met AES-256-GCM vóór upload, waardoor zelfs de Franse infrastructuur alleen cijfertekst bevat. De sleutelafleiding gebruikt PBKDF2 met 600.000 iteraties, en de download-URL bevat de decryptiesleutel als URL-fragment (nooit verzonden naar de server).

Voor AVG-artikel 32 (beveiliging van verwerking) combineert deze architectuur dataminimalisatie, versleuteling en hosting in één jurisdictie in één pakket. Een gegevensoverdracht-impactbeoordeling wordt triviaal: er is geen internationale overdracht.

Vergelijkingstabel

| Dienst | Primaire locatie | Secundaire locaties | AVG-status | Zero-knowledge | |--------|-----------------|---------------------|------------|----------------| | WeTransfer | Ierland (AWS) | VS CDN-edges | EU-resident | Nee | | Smash | Frankrijk (OVH) | Geen | EU-resident | Nee | | SwissTransfer | Zwitserland | Geen | Adequaatheid | Gedeeltelijk | | Dropbox Transfer | VS standaard, EU optie | Wereldwijd | DPF-gecertificeerd | Nee | | HexaTransfer | Frankrijk | Geen | EU-resident | Ja | | Tresorit | Ierland, Zwitserland | VS (enterprise opt-out) | EU-resident | Ja |

Sectorspecifieke overwegingen

Zorgorganisaties die patiëntdossiers verwerken onder HIPAA krijgen de extra complicatie dat het HHS Office for Civil Rights niets geeft om EU-residentie, maar wel om Business Associate Agreements. Een Frans-only dienst tekent mogelijk geen BAA als ze niet actief zijn op de Amerikaanse markt. Voor Europese zorg onder EHDS (European Health Data Space-verordening, van kracht in 2026) draait de logica om: EU-residentie wordt een vereiste.

Juridische teams die .pdf- en .docx-zaakbestanden naar externe co-counsel sturen, doen er goed aan lokale balie-regels te raadplegen. De New York State Bar heeft gesteld dat het opslaan van klantbestanden bij buitenlandse diensten uitdrukkelijke toestemming vereist. Franse advocaten onder de AVG staan juist tegenovergesteld: hosting in de VS is de uitzondering die een rechtvaardiging vereist.

Financiële diensten onder DORA (Digital Operational Resilience Act, van toepassing vanaf januari 2025) moeten alle ICT-derde-aanbieders en hun onderaannemerketens in kaart brengen. Een dienst die host in één land bij één leverancier is aanzienlijk eenvoudiger te documenteren dan een multi-regio hyperscaler-opzet met vijf subverwerkers.

Wat je je huidige aanbieder moet vragen

Vraag vóór het verlengen van een bestandsoverdrachtcontract de verwerkersovereenkomst op en controleer drie zaken. Ten eerste de lijst van subverwerkers en hun landen. Ten tweede het datastroomdiagram dat aangeeft waar inhoud en metadata naartoe gaan. Ten derde de versleutelingsaanpak — met name of de aanbieder sleutels beheert waarmee je bestanden onder dagvaarding ontsleuteld kunnen worden.

Als de antwoorden verrassingen opleveren, is overstappen eenvoudig voor tijdelijke bestandsoverdracht (anders dan het migreren van een cloudopslagarchief). Je hoeft geen historische data te verplaatsen; je wijzigt simpelweg het upload-eindpunt.

Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.