WeTransfer et le RGPD : que dit vraiment le règlement ?
La question revient dans presque tous les audits : peut-on utiliser WeTransfer au travail ? La réponse n’est ni oui ni non. Elle dépend de ce que contient le fichier, et de trois points du règlement que l’on regarde rarement.
En bref
Ce que le RGPD exige réellement
Trois articles concernent directement l’envoi d’un fichier contenant des données personnelles.
- Article 28 — la sous-traitance. Dès qu’un prestataire traite des données personnelles pour votre compte, un contrat doit encadrer ce traitement. Un service utilisé sans compte d’entreprise, sur simple acceptation de conditions générales, ne remplit pas cette exigence.
- Article 32 — la sécurité du traitement. Vous devez mettre en œuvre des mesures adaptées au risque. Chiffrer le transport ne suffit pas si un lien reste accessible six semaines à quiconque le reçoit.
- Chapitre V — les transferts hors Union européenne. Un transfert vers un pays tiers suppose un mécanisme juridique valide : décision d’adéquation, clauses contractuelles types, ou dérogation.
À ces trois points s’ajoute le registre des traitements de l’article 30 : si vos équipes utilisent un outil que vous n’avez pas recensé, votre registre est incomplet, ce qui constitue en soi un manquement.
Les trois points de friction concrets
1. La localisation des données et le cadre juridique
WeTransfer est une société néerlandaise, donc européenne, ce qui est souvent mal connu. Son infrastructure s’appuie toutefois sur des fournisseurs de cloud américains. Une entreprise soumise au droit américain peut se voir demander l’accès à des données qu’elle détient, quel que soit le pays où les serveurs se trouvent.
Le cadre de protection des données UE–États-Unis, adopté en 2023, sécurise juridiquement ces transferts. Il fait néanmoins l’objet de recours, comme les deux mécanismes qui l’ont précédé et qui ont été invalidés. Une organisation prudente ne bâtit pas sa conformité sur ce seul fondement.
2. La durée de conservation
Le principe de limitation de la conservation impose de ne pas garder les données plus longtemps que nécessaire. En version gratuite, la durée de vie du lien est fixée par le service, pas par vous, et vous ne pouvez pas la réduire ni supprimer le fichier avant l’échéance.
Autrement dit, vous ne maîtrisez pas un paramètre que le règlement vous demande de maîtriser.
3. La traçabilité et la preuve
En cas de violation de données, l’article 33 impose une notification à la CNIL sous 72 heures, avec la nature de la violation et les catégories de personnes concernées. Sans journal consolidé des envois, vous ne pouvez pas établir ce qui est sorti de l’organisation.
C’est le point qui pose le plus de difficultés en pratique, bien avant la question du transfert hors Union européenne.
Ce que vous pouvez faire dès maintenant
- Cartographier l’usage réel. Interrogez les équipes plutôt que les journaux du pare-feu : l’usage passe souvent par des comptes personnels.
- Classer les documents envoyés. Un visuel marketing et un dossier d’agent n’appellent pas la même règle.
- Écrire une règle simple. Par exemple : service gratuit autorisé pour les documents publics ou internes non sensibles, solution maîtrisée pour tout le reste.
- Fournir l’alternative avant d’interdire. Une interdiction sans outil de remplacement déplace l’usage vers un autre service grand public.
- Mettre à jour le registre des traitements et les mentions d’information.
Ce que change une solution maîtrisée
| Exigence | Service gratuit | Solution professionnelle |
|---|---|---|
| Contrat de sous-traitance (art. 28) | Conditions générales, non négociées | Contrat et annexe de traitement |
| Durée de conservation | Fixée par le service | Fixée par vous, purge à l’échéance |
| Traçabilité (art. 33) | Aucun journal consolidé | Journal complet et exportable |
| Localisation | Variable selon les sous-traitants | France, hébergeur qualifié SecNumCloud |
| Droit applicable | Chaîne à vérifier | Droit français |
| Données de santé | Non adapté | Hébergeur certifié HDS |
Nous ne prétendons pas que WeTransfer est un mauvais service : il fait très bien ce pour quoi il a été conçu. Nous disons que ce n’est pas un outil de conformité, et qu’il ne prétend d’ailleurs pas l’être.
Questions fréquentes
WeTransfer est-il conforme au RGPD ?
La question est mal posée : le RGPD n’homologue pas les outils, il impose des obligations au responsable de traitement. WeTransfer fournit les éléments attendus d’un sous-traitant, mais un usage non encadré, sans contrat ni registre, place votre organisation en défaut, quel que soit le service utilisé.
Les données de WeTransfer sont-elles hébergées en Europe ?
WeTransfer est une société néerlandaise et propose un hébergement européen, mais son infrastructure s’appuie sur des fournisseurs de cloud américains. La chaîne de sous-traitance doit donc être vérifiée pour chaque offre.
Peut-on envoyer des données de santé par WeTransfer ?
Non. Dès qu’une donnée de santé à caractère personnel transite ou est stockée chez un prestataire, celui-ci doit être certifié hébergeur de données de santé. C’est une obligation du code de la santé publique, distincte du RGPD.
Quelle est la sanction en cas de manquement ?
Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves. En pratique, la CNIL procède d’abord par mise en demeure, mais l’absence de traçabilité complique fortement la réponse à un contrôle.
Faut-il interdire WeTransfer dans l’entreprise ?
L’interdiction seule ne fonctionne pas : l’usage se déplace vers un autre service. La démarche efficace consiste à classer les documents, autoriser le gratuit pour ce qui n’a pas de sensibilité, et fournir une solution maîtrisée pour le reste.
Une alternative française règle-t-elle le sujet ?
Elle règle la question du droit applicable et de la localisation. Elle ne dispense pas du contrat de sous-traitance, du registre ni de la politique interne : ces obligations pèsent sur vous, pas sur le prestataire.
