RGPD et transfert de fichiers : ce que la CNIL exige vraiment en 2026

Par Simon Thémiot, consultant cybersécurité. Article publié le 27 avril 2026. Cet article ne constitue pas un avis juridique. En cas de doute, consultez votre DPO ou un avocat spécialisé.

1. Le cadre juridique applicable au partage de fichiers

Le RGPD s'applique dès qu'on traite des données personnelles, c'est à dire toute information se rapportant à une personne physique identifiée ou identifiable. Le seuil est très bas : un nom dans un document Word, une adresse email dans un fichier Excel, une photo d'identité dans un PDF. Tous tombent sous le règlement.

Quand vous envoyez un fichier via WeTransfer ou un service équivalent, vous réalisez un traitement (au sens de l'article 4) : transmission, stockage temporaire, accès. Vous êtes responsable de traitement, et le service utilisé devient sous-traitant. Cette chaîne de responsabilité est la base de toute analyse RGPD du partage de fichiers.

En complément du RGPD, certains secteurs ont des obligations supplémentaires : certification HDS dans son périmètre légal pour les données de santé, règles sectorielles financières, secret professionnel pour les avocats et notaires. Ces régimes ne remplacent pas le RGPD, ils s'ajoutent.

2. L'article 32 RGPD et la notion de mesure appropriée

L'article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en place des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le texte cite explicitement :

• La pseudonymisation et le chiffrement des données personnelles.
• La capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes.
• La capacité à rétablir la disponibilité après incident.
• Une procédure de test régulier des mesures.

La CNIL a publié plusieurs guides précisant ce qu'elle attend concrètement. Le "Guide de la sécurité des données personnelles" (édition 2024) recommande pour le partage de fichiers : chiffrement en transit (TLS 1.2+), chiffrement au repos (AES-128 ou supérieur), authentification forte, et limitation de la durée de conservation. Pour les données sensibles, le chiffrement de bout en bout est mentionné comme bonne pratique.

Le mot clé est "approprié". Un envoi de la liste des présents à une réunion publique n'a pas le même niveau d'exigence qu'un transfert de bulletins de salaire. La proportionnalité fait partie de l'analyse. En cas de contrôle, vous devez pouvoir justifier vos choix.

Comment chiffrer et partager des fichiers concrètement ?

Chiffrer ses fichiers avant de les partager ne nécessite pas toujours de compétences techniques avancées. Il existe plusieurs méthodes selon le niveau de protection souhaité et le profil des utilisateurs. Un service de partage peut proposer une option E2E qui chiffre le contenu côté client avant l'envoi. Le destinataire le déchiffre alors dans son navigateur via le lien reçu, sans installation nécessaire.

Pour les fichiers volumineux ou les dossiers complets, des outils comme 7-Zip (chiffrement AES-256 avec mot de passe), Cryptomator (chiffrement de dossiers sur stockage cloud) ou VeraCrypt (volumes chiffrés) permettent de chiffrer avant stockage ou partage. La clé de chiffrement - en pratique le mot de passe - doit être transmise au destinataire via un canal séparé (e-mail distinct, SMS, appel téléphonique). Ne jamais envoyer le mot de passe dans le même e-mail que le lien vers les fichiers chiffrés.

• Service E2E en ligne par chiffrement symétrique (ex. : PrivCloud) : lorsque l'E2E est activé, une clé AES-256-GCM est générée côté client et partagée avec le destinataire via le fragment d'URL (#key=...) pour les partages par lien. Cette partie de l'URL n'est pas envoyée au serveur dans la requête HTTP. Le serveur reçoit le contenu chiffré, ainsi que les métadonnées nécessaires au service.
• 7-Zip + mot de passe : utilisez le format 7z avec AES-256 et un mot de passe robuste ; évitez le chiffrement ZipCrypto historique. Le mot de passe doit être communiqué au destinataire via un canal séparé.
• Cryptomator : chiffrement symétrique AES des fichiers et des noms de fichiers dans les dossiers stockés dans le cloud (Dropbox, OneDrive, etc.). La clé principale reste locale. Permet de protéger ses fichiers sur un service de stockage cloud sans chiffrement E2E natif.
• PGP/GPG : chiffrement hybride, asymétrique pour protéger la clé de session et symétrique pour le contenu. L'expéditeur chiffre la clé de session avec la clé publique du destinataire ; seule la clé privée correspondante permet de la récupérer. Cette méthode convient aux utilisateurs avancés, mais exige une gestion fiable des clés publiques et de leur authenticité.

Quel que soit l'outil choisi pour partager des fichiers, l'important est de définir une politique interne claire : quels fichiers doivent être chiffrés, comment transmettre les clés ou mots de passe aux destinataires, et quelle durée de conservation appliquer aux liens de partage. Sans politique écrite, les utilisateurs feront des choix inconsistants et les risques resteront élevés.

3. Le statut de sous-traitant et l'obligation de DPA

Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens de l'article 28. Cela inclut les services de partage de fichiers, les fournisseurs de messagerie, les hébergeurs cloud. Avec chacun, vous devez signer un accord de traitement (Data Processing Agreement, DPA) qui précise notamment :

• L'objet, la durée, la nature et la finalité du traitement.
• Les types de données et les catégories de personnes concernées.
• Les obligations du sous-traitant (confidentialité, sécurité, sous-traitance ultérieure, assistance, suppression en fin de contrat).
• La possibilité d'audit par le responsable de traitement.

En pratique, les grands services en ligne publient leur DPA standard. WeTransfer, Dropbox, Google et consorts en proposent un, signable en ligne. Pour une PME française, lire et archiver ce document est le minimum. Si le DPA ne convient pas, il faut négocier ou changer de prestataire. Beaucoup de RSSI découvrent en contrôle CNIL qu'ils n'ont jamais signé le DPA de leur outil principal.

4. Les transferts hors UE depuis Schrems II

L'arrêt Schrems II (juillet 2020) a invalidé le Privacy Shield qui encadrait les transferts UE - États-Unis. Le Data Privacy Framework de juillet 2023 a partiellement rétabli un cadre, mais il fait toujours l'objet de recours. La position prudente reste d'éviter les transferts hors UE quand c'est possible, et de les documenter strictement quand ils sont inévitables.

Concrètement, un stockage dans une région hors EEE ou un accès depuis un pays tiers peut constituer un transfert. Selon le pays et l'entité, il faut vérifier une décision d'adéquation ou mettre en place des garanties appropriées, puis évaluer les mesures supplémentaires nécessaires.

Un service hébergé en France ou dans l'EEE avec une chaîne de sous-traitance documentée simplifie l'analyse. SwissTransfer est hébergé en Suisse, pays couvert par une décision d'adéquation. Dans tous les cas, vérifiez le DPA, les accès distants, les sous-traitants et les lieux réels de traitement.

5. Le registre des activités et la documentation

L'article 30 oblige toute structure de plus de 250 personnes, et toute structure plus petite traitant des données sensibles ou de manière non occasionnelle, à tenir un registre des activités de traitement. Pour le partage de fichiers, ce registre doit mentionner :

• La finalité (transmission de documents commerciaux, RH, juridiques, etc.).
• Les catégories de personnes concernées et de données.
• Les destinataires ou catégories de destinataires.
• Les transferts hors UE éventuels et les garanties associées.
• La durée de conservation prévue.
• Une description générale des mesures de sécurité.

La CNIL met à disposition un modèle gratuit. Le piège classique consiste à le remplir une fois puis à l'oublier. Le registre doit être à jour. Si vous changez d'outil de partagé en cours d'année, il faut tracer le changement.

6. Notification des violations en 72 heures

En cas de violation de données (un lien WeTransfer fuité par email, un fichier laissé accessible publiquement, un compte compromis), l'article 33 impose une notification à la CNIL dans les 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes concernées. C'est ici que le chiffrement de bout en bout devient stratégique.

Si les fichiers exposés étaient protégés par un chiffrement robuste et que la clé n'est pas compromise, cette mesure pèse fortement dans l'analyse du risque. La notification à la CNIL n'est requise que si la violation est susceptible d'engendrer un risque ; l'information individuelle relève de l'article 34 en cas de risque élevé, avec notamment une exception lorsque les données ont été rendues incompréhensibles aux personnes non autorisées.

Le chiffrement n'en fait donc pas automatiquement un non-événement juridique : il faut documenter le périmètre, les algorithmes, la gestion des clés, les métadonnées exposées et les autres conséquences. Il peut néanmoins réduire nettement le risque lié au contenu.

Un lien partagé sans contrôle d'accès, un compte compromis ou un stockage mal configuré peuvent exposer aussi bien une PME qu'une grande entreprise. Pour les informations RH, juridiques ou financières, combinez un outil adapté au risque, une expiration courte, des destinataires maîtrisés, une authentification forte et, lorsque le modèle de menace le justifie, un chiffrement E2E.

7. Checklist conformité pour PME

Voici une liste de contrôle pour structurer un audit flash chez une PME. Cocher ces points ne prouve pas à lui seul la conformité, mais donne une base solide pour la dimension « partage de fichiers ».

• Le service utilisé pour partager des fichiers est identifié, documenté et inscrit au registre des activités de traitement.
• Le DPA (accord de traitement) du prestataire est lu, signé et archivé. Le prestataire est confirmé sous-traitant au sens de l'article 28 RGPD.
• L'hébergement des fichiers est en UE, ou un cadre de transfert documenté (clauses contractuelles types, décision d'adéquation) existe pour les serveurs hors UE.
• Les liens de partage ont une date d'expiration configurée. Aucun lien de partage permanent n'existe pour des fichiers sensibles ou des données personnelles.
• Les fichiers sensibles (documents RH, contrats, données médicales, informations bancaires) sont chiffrés avant envoi, et protégés par mot de passe ou chiffrement de bout en bout.
• Les mots de passe des liens de partage de fichiers sont transmis au destinataire via un canal séparé - jamais dans le même e-mail que le lien.
• Les utilisateurs ont reçu une consigne écrite claire : quels outils utiliser, pour quels types de fichiers et données, et comment accéder aux fichiers partagés de manière sécurisée.
• L'accès aux dossiers et fichiers partagés est limité aux destinataires identifiés. Les liens génériques accessibles à toute personne disposant du lien sont réservés aux fichiers non sensibles.
• Une authentification forte (double facteur) est activée sur tous les comptes d'accès aux outils de partage et de stockage de fichiers.
• Un inventaire des types de fichiers partagés est à jour. Les données sensibles (données de santé, informations personnelles, fichiers confidentiels) sont identifiées et leur partage est soumis à des règles strictes.
• Une procédure de notification de violation de données existe, est documentée et a été testée (simulation d'un scénario de fuite de fichiers sensibles).
• Un point de revue annuel des outils de partage, des politiques d'accès et des risques associés est programmé.

Aucun de ces points ne demande un budget important. La plupart sont des décisions organisationnelles. Le budget sert ensuite à choisir le bon outil, mais sans cette base documentaire, le meilleur outil du monde ne vous protège pas en contrôle.

8. Partage de fichiers chiffrés : bonnes pratiques concrètes

Au-delà du cadre réglementaire, le partage de fichiers sécurisé en entreprise repose sur des pratiques simples et systématiques. Voici les fonctionnalités et méthodes à privilégier pour protéger vos fichiers et les données de vos utilisateurs.

9. FAQ - Partage de fichiers sécurisé et chiffrement

Dernière mise à jour : 14 juillet 2026. La réglementation évolue régulièrement. Vérifiez les sources officielles avant toute décision structurante. Cet article a une vocation informative et ne remplace pas un conseil juridique personnalisé.