Dropbox will die Anwenderdaten an US-Behörden nur herausgeben, wenn dazu die richtigen rechtlichen Schritte eingeleitet wurden. Das kann zum Beispiel eine richterliche Verfügung sein. Unter welchen anderen Umständen sich Dropbox den Behörden beugen will, geht aus den Nutzungsbedingungen nicht hervor. Der Passus umschreibt vage, dass Dropbox die Daten herausgibt, wenn "die korrekten Verfahren eingeleitet werden".

Dropbox verschlüsselt die Daten seines Onlinespeicherdienstes nach eigenen Angaben selbst ohne Zutun des Anwenders. Der kann jedoch darüber hinaus auch eigene Verschlüsselungen einsetzen - etwa Truecrypt oder Boxcryptor. Das letztere Programm läuft unter Windows und sorgt für eine Verschlüsselung einzelner Daten, während Truecrypt einen kompletten Datencontainer erstellt.

Jüngst wurde Dropbox vom Sicherheitsexperten Derek Newton als unsicher eingestuft, da eine vom Anwendersystem entwendete Datenbank es ermöglicht, ohne erneute Authentifizierung Zugriff auf die Daten zu erhalten. Bislang hat Dropbox sich dieses Problems noch nicht angenommen.