Transfert de fichiers et RGPD : le guide pratique

Un transfert de fichiers conforme au RGPD repose sur quelques choix : un service qui chiffre les fichiers, un hébergement dont vous connaissez la localisation (idéalement dans l’Union européenne), une durée de conservation courte, et un prestataire avec lequel vos obligations sont claires. Dès qu’un fichier contient des données personnelles (CV, fiches de paie, dossiers clients, photos de personnes identifiables), son envoi est un traitement au sens du règlement. Ce guide résume ce qu’il faut vérifier, sans jargon.

Quand le RGPD s’applique-t-il à un envoi de fichiers ?

Dès que le fichier contient une donnée personnelle, c’est-à-dire une information se rapportant à une personne identifiée ou identifiable : un nom, une adresse e-mail, une photo, un numéro de sécurité sociale, un bulletin de salaire. Certaines catégories sont dites sensibles (santé, opinions, origine, données biométriques…) et appellent des précautions renforcées. Un fichier de photos de produits sans personne, un plan technique ou une maquette graphique ne relèvent en général pas du RGPD.

Les principes du RGPD appliqués au transfert de fichiers

Les 6 points à vérifier chez votre service de transfert

1. Le lieu d’hébergement. Où les fichiers sont-ils stockés ? Un stockage dans l’UE évite les questions de transfert hors de l’Union.
2. Le chiffrement. En transit (HTTPS) et au repos, au minimum ; le chiffrement de bout en bout réduit encore l’exposition, puisque le prestataire ne peut pas lire le contenu.
3. La durée de conservation. Les fichiers doivent être supprimés automatiquement après une durée que vous choisissez.
4. Le contrôle d’accès. Mot de passe, limite de téléchargements, possibilité de modifier ou de couper l’accès après l’envoi.
5. Le cadre contractuel. Le prestataire agit comme sous-traitant au sens de l’article 28 : ses engagements doivent être formalisés (conditions, accord de traitement des données). Demandez-les.
6. La traçabilité. Savoir quand et par qui les fichiers ont été téléchargés aide à démontrer votre maîtrise et à réagir en cas d’incident.

Hébergement en Europe et transferts hors UE

Le chapitre V du RGPD encadre les transferts de données personnelles vers des pays situés hors de l’Espace économique européen : ils ne sont possibles qu’avec des garanties, par exemple une décision d’adéquation de la Commission européenne ou des clauses contractuelles types. Pour les États-Unis, la Commission a adopté en juillet 2023 une décision d’adéquation pour les entreprises certifiées au Data Privacy Framework. Le plus simple, pour des envois courants, reste de choisir un stockage dans l’UE.

Sur Transfr, les fichiers sont stockés en Europe de l’Ouest par défaut. Vous pouvez choisir une autre région pour rapprocher les fichiers de destinataires lointains (Amérique du Nord, Asie-Pacifique, Océanie) : pour des fichiers contenant des données personnelles, gardez de préférence une région européenne, sauf si vous avez analysé le transfert.

Mail, cloud ou service de transfert : quel canal pour des données personnelles ?

Pour un envoi ponctuel de données personnelles à un tiers, un lien qui expire est généralement plus facile à justifier qu’une pièce jointe qui vivra des années. Voir Google Drive ou service de transfert ?.

Envoyer un fichier contenant des données personnelles, pas à pas

1. 1

   Étape 1

   Réduisez le contenu

   Retirez les colonnes, pages ou personnes qui ne sont pas utiles au destinataire.

2. 2

   Étape 2

   Déposez le fichier

   Sur Transfr, en laissant la région de stockage en Europe de l’Ouest.

3. 3

   Étape 3

   Activez le chiffrement de bout en bout

   Pour des données sensibles, les fichiers sont chiffrés dans votre navigateur avant l’envoi.

4. 4

   Étape 4

   Ajoutez mot de passe, expiration courte et limite

   Par exemple un mot de passe, 1 jour et 1 téléchargement.

5. 5

   Étape 5

   Envoyez le lien et le mot de passe séparément

   Le lien par e-mail, le mot de passe par SMS.

6. 6

   Étape 6

   Vérifiez la réception

   Avec un compte, vous êtes prévenu du téléchargement ; gardez une trace de l’envoi.

Documenter vos échanges de fichiers

Le principe de responsabilité demande de pouvoir montrer ce que vous faites. Pour les organisations concernées, l’article 30 prévoit un registre des activités de traitement. Pour les échanges de fichiers, quelques éléments suffisent souvent :

Informer les personnes concernées

Les personnes dont vous transmettez les données doivent savoir à qui elles sont communiquées. Pour un salarié dont la fiche de paie part chez l’expert-comptable, c’est en général prévu dans l’information générale de l’entreprise. Pour un suivi plus fin, comme les statistiques de consultation d’un lien, pensez à mentionner ce suivi si l’envoi concerne des personnes physiques ; sur Transfr, la localisation des visiteurs n’est d’ailleurs enregistrée que s’ils acceptent les cookies de mesure.

Et en cas d’erreur d’envoi ?

Envoyer un fichier de données personnelles au mauvais destinataire peut constituer une violation de données. L’article 33 du RGPD impose alors au responsable de traitement de la notifier à l’autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. Avec un lien, vous pouvez réagir : couper l’accès en raccourcissant l’expiration, changer le mot de passe, vérifier si le fichier a été téléchargé. Avec une pièce jointe, c’est impossible.

Les cas fréquents

Pour les réflexes de sécurité au quotidien, gardez notre checklist du transfert de fichiers sécurisé, et pour le fonctionnement technique, la page transfert de fichier sécurisé.