Droit à la portabilité des données : Guide complet pour tout comprendre – Mon Expert RGPD

Le droit à la portabilité des données bouleverse discrètement mais profondément la relation entre les entreprises et les individus qui leur confient leurs informations personnelles. Consacré par l’article 20 du RGPD, ce droit accorde à chaque personne concernée le pouvoir concret de récupérer ses données dans un format exploitable, puis de les transmettre librement à un autre organisme. Pour un dirigeant de PME ou un directeur administratif, comprendre ce mécanisme n’est pas une option : c’est une obligation opérationnelle, car votre entreprise sera tôt ou tard destinataire ou émettrice de telles demandes. Entre les délais stricts, les formats techniques attendus, les exclusions souvent méconnues et les sanctions qui peuvent atteindre vingt millions d’euros, le sujet mérite une lecture attentive. Ce guide détaille chaque aspect du droit à la portabilité, des fondements juridiques aux recours en cas de litige, en passant par la procédure concrète à mettre en place dans votre organisation.

• Fondement légal : article 20 du RGPD (règlement UE 2016/679)
• Qui peut l’exercer : toute personne physique dont les données sont traitées
• Données concernées : uniquement celles fournies directement ou générées par l’activité de la personne
• Conditions : traitement fondé sur le consentement ou l’exécution d’un contrat
• Délai de réponse : 1 mois, prolongeable de 2 mois si la demande est complexe
• Coût pour la personne : gratuit, sauf demande manifestement abusive
• Sanction maximale : 20 millions d’euros ou 4 % du chiffre d’affaires mondial
• Recours possible : réclamation gratuite auprès de la CNIL en cas de refus injustifié

Ce que dit réellement l’article 20 du RGPD sur la portabilité des données

L’article 20 du RGPD est souvent cité mais rarement lu dans son intégralité. Il dispose que toute personne a le droit de recevoir ses données personnelles dans un format structuré, couramment utilisé et lisible par machine, sans que le responsable de traitement puisse y faire obstacle. Ce droit comporte également une dimension active : la personne peut exiger que ses données soient transmises directement d’un responsable de traitement à un autre, dès lors que cela est techniquement possible.

Concrètement, cela signifie qu’un client de votre entreprise peut vous demander de lui fournir l’ensemble des données qu’il vous a communiquées, ou de les transmettre directement à un concurrent si tel est son souhait. Cette disposition vise à rompre les situations de dépendance numérique et à favoriser la mobilité des personnes entre les prestataires. Pour une PME industrielle qui gère des comptes clients avec des historiques d’achats, des données de livraison ou des coordonnées de contacts, ce droit est tout à fait applicable.

La portabilité se distingue du simple droit d’accès prévu à l’article 15 du RGPD. Le droit d’accès vous oblige à communiquer une copie des données, mais sans contrainte de format. La portabilité, elle, impose un format exploitable techniquement, ce qui suppose une organisation interne capable de produire des exports structurés. Toute entreprise qui collecte des données personnelles doit anticiper cette exigence dans ses systèmes d’information. Pour aller plus loin sur les fondements du règlement, le texte du règlement européen de protection des données reste la référence indispensable.

Action à mettre en place : vérifiez dès maintenant que votre système de gestion des données clients permet d’exporter des fichiers dans un format standard (JSON, CSV, XML). Si ce n’est pas le cas, inscrivez ce chantier à votre feuille de route informatique.

Quelles données personnelles sont réellement couvertes par ce droit ?

Toutes les données ne sont pas portables, et cette distinction est source de nombreuses erreurs d’interprétation. Seules deux catégories de données entrent dans le champ de l’article 20 : les données directement fournies par la personne (nom, adresse, numéro de téléphone, préférences déclarées) et les données générées par son activité (historique de commandes, données de connexion, géolocalisation enregistrée).

En revanche, les données dites dérivées ou inférées sont expressément exclues. Un score de fidélité calculé par votre algorithme de CRM, une segmentation marketing automatisée, une prédiction de comportement d’achat : aucune de ces informations n’est portable. Votre entreprise produit ces analyses, elle en reste propriétaire au sens opérationnel du terme. La personne ne peut pas réclamer le résultat de votre traitement analytique, seulement la matière première qu’elle vous a fournie.

Prenons un exemple concret dans une PME de distribution industrielle. Un client professionnel a renseigné ses coordonnées, validé un contrat-cadre et passé cinquante commandes sur deux ans. Les données portables incluent ses coordonnées, l’historique de ses commandes, les adresses de livraison et ses préférences de contact. En revanche, la note de risque crédit calculée en interne ou le segment de clientèle attribué par votre équipe commerciale restent exclus. Pour une définition claire de ce que recouvrent les données personnelles et leurs exemples pratiques, plusieurs ressources permettent d’aller plus loin.

Action à mettre en place : cartographiez les données collectées dans votre CRM ou ERP et identifiez celles qui relèvent de la fourniture directe par le client versus celles que vous avez construites en interne. Cette distinction doit figurer dans votre registre de traitements.

Quand le droit à la portabilité s’applique-t-il réellement dans votre entreprise ?

Le droit à la portabilité ne s’applique pas à tous les traitements de données sans distinction. Deux conditions cumulatives doivent être réunies : le traitement doit reposer soit sur le consentement explicite de la personne (article 6, paragraphe 1, point a du RGPD), soit sur l’exécution d’un contrat auquel elle est partie (article 6, paragraphe 1, point b). Tous les autres fondements juridiques — intérêt légitime, obligation légale, mission de service public — excluent automatiquement la portabilité.

Dans le quotidien d’une PME, cela se traduit de manière assez claire. Si vous traitez les données d’un client dans le cadre d’un contrat de vente ou de prestation de services, la portabilité s’applique. Si vous traitez les données d’un prospect sur la base de votre intérêt légitime à des fins de prospection commerciale, la portabilité ne s’applique pas. Cette nuance change radicalement le périmètre des demandes que vous êtes susceptible de recevoir.

Un cas pratique : un salarié peut-il exercer son droit à la portabilité sur ses données RH ? En principe, le contrat de travail constitue un fondement contractuel, mais les données traitées dans le cadre d’obligations légales (déclarations sociales, gestion des congés imposés par la loi) en sont exclues. La frontière n’est pas toujours évidente, et il est recommandé de consulter votre délégué à la protection des données pour trancher au cas par cas.

Action à mettre en place : pour chaque traitement figurant dans votre registre, annotez le fondement juridique et cochez ou non la case « portabilité applicable ». Cette vérification vous évitera de traiter à tort des demandes hors périmètre ou, à l’inverse, d’ignorer des demandes légitimes.

Comment traiter concrètement une demande de portabilité reçue par votre entreprise ?

Quand une demande de portabilité arrive dans votre boîte mail ou via votre formulaire de contact, le compteur tourne immédiatement. Le délai légal est d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe, mais cette prolongation doit être notifiée à la personne avant l’expiration du premier mois, avec une explication motivée.

La procédure à suivre se décompose en étapes précises. Vous devez d’abord vérifier l’identité du demandeur, puis contrôler que la demande entre bien dans le champ de la portabilité (fondement juridique, données fournies directement). Ensuite, vous préparez l’export dans un format structuré lisible par machine : JSON, CSV ou XML sont les formats les plus adaptés. Le PDF est à proscrire, car il n’est pas exploitable par un autre système informatique. Enfin, vous transmettez les données de manière sécurisée, de préférence via un lien de téléchargement chiffré ou un portail sécurisé.

Si la personne demande une transmission directe vers un autre organisme, vous devez y donner suite dans la mesure du possible techniquement. Ce n’est pas une obligation absolue lorsque des obstacles techniques sérieux existent, mais vous devez en justifier le motif par écrit. Avant d’engager toute cette procédure, vérifiez si votre logiciel ou votre plateforme propose déjà une fonction d’export native dans les paramètres du compte client : cela simplifie considérablement le traitement. Pour un guide détaillé avec modèle de réponse, ce guide juridique complet sur la portabilité des données personnelles propose une procédure en cinq étapes adaptable.

Action à mettre en place : rédigez une procédure interne de traitement des demandes de droits, en désignant un responsable et en fixant un circuit de validation. Un formulaire standardisé de réponse vous fera gagner un temps précieux à chaque demande.

Quels formats de fichiers sont acceptables pour répondre à une demande de portabilité ?

La question du format est technique mais non négociable. Le RGPD exige que les données soient fournies dans un format structuré, couramment utilisé et lisible par machine. Cette formule exclut immédiatement le PDF, le format Word ou tout fichier propriétaire qui nécessiterait un logiciel spécifique pour être exploité. L’objectif est que la personne puisse réutiliser ses données sans friction chez un autre prestataire.

Les formats recommandés varient selon la nature des données. Pour un carnet d’adresses ou des contacts, le format vCard (.vcf) est la norme internationale. Pour des données tabulaires (historique de commandes, transactions), le CSV est le format le plus universellement compatible. Pour des données plus complexes avec des structures imbriquées, le JSON est privilégié. Certaines plateformes spécialisées utilisent des formats sectoriels standardisés, comme le GPX pour les données de géolocalisation.

Un tableau récapitulatif peut aider à orienter vos choix techniques :

Type de données	Format recommandé	Format à éviter
Contacts / carnet d’adresses	vCard (.vcf)	PDF, Word
Historique de commandes	CSV, XML	Excel propriétaire (.xls)
Données de géolocalisation	JSON, GPX	Image, capture d’écran
Messages / échanges	JSON, XML	PDF, format propriétaire
Données de navigation / connexion	JSON, CSV	Rapport HTML figé

Action à mettre en place : demandez à votre prestataire informatique ou à votre éditeur de logiciel de documenter les formats d’export disponibles dans chacun de vos outils métiers. Cette information doit être accessible rapidement lorsqu’une demande arrive.

Quelles sont les limites et les exclusions du droit à la portabilité ?

Le droit à la portabilité n’est pas un droit absolu, et plusieurs exclusions importantes s’appliquent. La plus significative concerne les données détenues par les administrations publiques : les traitements relevant d’une mission d’intérêt public ou de l’exercice de l’autorité publique sont expressément hors champ. Cela vise les données fiscales, les informations de sécurité sociale, les dossiers judiciaires. Un citoyen ne peut pas demander à l’administration fiscale de lui transférer ses données vers un cabinet comptable via une demande de portabilité RGPD.

Autre limite à connaître : lorsque les données d’une personne contiennent des informations relatives à des tiers, le transfert de ces données ne crée pas de droits nouveaux pour ces tiers. Par exemple, si vous gérez une liste de contacts clients qui inclut les numéros de téléphone de leurs propres collaborateurs, le destinataire des données portées ne peut pas utiliser ces numéros à d’autres fins que celles initialement prévues. C’est une protection indirecte des tiers mentionnés dans les données transférées.

Depuis le règlement européen Data Act (UE 2023/2854), une extension significative de la portabilité a été introduite pour les objets connectés. Les fabricants de produits connectés sont désormais tenus de rendre accessibles en temps réel les données générées par l’utilisation de leurs produits, dans un format structuré. Pour une PME industrielle qui utilise des équipements connectés — machines de production avec capteurs, véhicules de livraison géolocalisés — cette évolution réglementaire crée de nouvelles obligations à anticiper. Pour comprendre les enjeux de conformité liés à votre position de sous-traitant ou de responsable de traitement, il est utile de faire le point sur vos obligations respectives.

Action à mettre en place : si votre entreprise exploite des équipements connectés ou développe des objets IoT, faites réaliser une analyse d’impact spécifique au regard du Data Act européen. Les obligations de portabilité en temps réel représentent un chantier technique à part entière.

Quelles sanctions risque-t-on en cas de non-respect du droit à la portabilité ?

Le non-respect des droits des personnes concernées est l’une des infractions les plus lourdement sanctionnées par le RGPD. L’article 83, paragraphe 5, point b, prévoit des amendes administratives pouvant atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour une PME dont le chiffre d’affaires est de cinq millions d’euros, cela représente deux cent mille euros d’amende potentielle, ce qui n’est pas anodin.

Ces sanctions ne sont pas théoriques. La CNIL a prononcé plusieurs décisions significatives ces dernières années concernant le non-respect des droits d’accès et de portabilité. Les manquements les plus fréquemment sanctionnés sont : l’absence de réponse dans le délai d’un mois, le refus non motivé de donner suite à une demande légitime, et la fourniture de données dans un format non exploitable. La CNIL vérifie non seulement que vous répondez, mais aussi que vous répondez correctement.

La procédure de plainte auprès de la CNIL est accessible à tout individu dont la demande est restée sans réponse ou a été rejetée sans justification valable. La démarche est entièrement gratuite, réalisable en ligne sur le site de la CNIL, et ne nécessite pas l’assistance d’un avocat. Pour votre entreprise, chaque plainte déclenche une instruction qui peut mener à un contrôle plus large de votre conformité RGPD globale. Une demande de portabilité mal traitée peut donc devenir le point d’entrée d’un audit complet. La page officielle de la CNIL sur le droit à la portabilité détaille les conditions dans lesquelles une réclamation peut être déposée.

Action à mettre en place : mettez en place un accusé de réception automatique pour toute demande de droit reçue, avec mention du délai légal de réponse. Cet accusé de réception vous protège en cas de contestation sur la date de réception de la demande.

Comment votre entreprise doit-elle s’organiser pour gérer les demandes de portabilité ?

La gestion des demandes de droits des personnes concernées est un processus qui doit être formalisé, pas géré au cas par cas. Cela suppose d’abord de désigner un référent interne chargé de centraliser et traiter ces demandes. Dans les PME qui n’ont pas encore nommé de DPO (délégué à la protection des données), ce rôle revient souvent au directeur administratif ou au responsable juridique. Si votre structure ne dispose pas de ces ressources en interne, le recours à un DPO externe avec ses tarifs et missions peut être une solution adaptée à la taille de votre organisation.

La formalisation passe ensuite par la rédaction d’une procédure écrite. Ce document doit préciser : le canal de réception des demandes (email dédié, formulaire en ligne), le circuit de validation interne, le délai de traitement cible, les formats d’export disponibles par type de données, et les motifs de refus éventuels. Cette procédure doit être connue de toutes les personnes susceptibles de recevoir une demande, y compris les assistantes, les commerciaux et les responsables de site.

La communication externe est également à ne pas négliger. Votre politique de confidentialité doit mentionner explicitement l’existence du droit à la portabilité, les modalités pour l’exercer et le délai de réponse. Cette information doit être facilement accessible, pas enfouie dans vingt pages de conditions générales. Si vous avez mis en place un outil de téléchargement direct dans l’espace client, mentionnez-le clairement : cela réduit le volume de demandes formelles que vous avez à traiter manuellement. Votre registre des activités de traitement prévu à l’article 30 doit également refléter ces mécanismes de gestion des droits.

Action à mettre en place : testez dès aujourd’hui votre propre procédure en simulant une demande de portabilité interne. Combien de temps faut-il pour produire un export propre des données d’un client fictif ? Ce test révèle immédiatement les failles opérationnelles à corriger.

Quelles données peut-on récupérer grâce au droit à la portabilité ?

Le droit à la portabilité couvre les données directement fournies par la personne (nom, adresse, préférences) ainsi que celles générées par son activité (historique de commandes, données de connexion, géolocalisation). Les données dérivées ou inférées par l’organisme, comme les scores algorithmiques ou les segments marketing, sont exclues du périmètre.

Le droit à la portabilité est-il gratuit pour la personne qui le demande ?

Oui, l’exercice du droit à la portabilité est entièrement gratuit. Le responsable de traitement ne peut facturer des frais que dans le cas de demandes manifestement infondées ou excessives par leur caractère répétitif, conformément à l’article 12, paragraphe 5, du RGPD. En pratique, cette exception reste rarissime.

Quel est le délai légal pour répondre à une demande de portabilité ?

Le responsable de traitement dispose d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe, à condition d’informer le demandeur de cette prolongation et d’en motiver les raisons avant l’expiration du premier mois. Passé ce délai sans réponse, la personne peut déposer une plainte auprès de la CNIL.

La portabilité s’applique-t-elle aux données traitées sur la base de l’intérêt légitime ?

Non. Seuls les traitements fondés sur le consentement de la personne ou sur l’exécution d’un contrat ouvrent droit à la portabilité. Les traitements reposant sur l’intérêt légitime, l’obligation légale ou la mission de service public en sont expressément exclus par l’article 20 du RGPD.

Que faire si un client demande que ses données soient transmises directement à un concurrent ?

Vous avez l’obligation de donner suite à cette demande de transmission directe lorsque cela est techniquement possible. Si des obstacles techniques sérieux s’y opposent, vous devez en informer la personne par écrit et en motiver les raisons. Un refus non justifié expose votre entreprise à une plainte auprès de la CNIL et à des sanctions pouvant atteindre 20 millions d’euros.