Portabilité des données : tout savoir sur ce nouveau droit révolutionnaire du RGPD

Une PME industrielle qui gère des centaines de fiches clients, de contrats de maintenance ou de données RH se retrouve de plus en plus souvent confrontée à une demande inattendue : un client, un salarié ou un partenaire réclame la récupération de ses données personnelles dans un format qu’il peut réutiliser ailleurs. Ce mécanisme, prévu par l’article 20 du RGPD, s’appelle le droit à la portabilité des données et il concerne directement les entreprises qui traitent des données personnelles, qu’elles soient responsables de traitement ou sous-traitantes. Longtemps perçu comme une problématique réservée aux géants du numérique, ce droit touche désormais toutes les structures, y compris les PME de production ou de services qui pensaient être à l’abri de ce type d’obligation.

Comprendre ce que recouvre ce droit, quelles données il englobe et selon quel format elles doivent être transmises devient une nécessité opérationnelle. Une réponse mal préparée expose l’entreprise à une réclamation auprès de la CNIL, avec des conséquences financières et réputationnelles bien réelles. Ce guide détaille, étape par étape, ce que la loi exige réellement en 2026 et comment structurer une réponse conforme sans mobiliser des semaines de travail juridique.

• Le droit à la portabilité permet à une personne de récupérer les données qu’elle a fournies, dans un format structuré et réutilisable.
• Seules les données issues d’un consentement ou d’un contrat sont concernées, pas les données déduites ou calculées.
• Le format attendu doit être lisible par machine : CSV, JSON ou XML le plus souvent.
• Une entreprise dispose en principe d’un délai d’un mois pour répondre, prolongeable à deux mois supplémentaires si la demande est complexe.
• Un refus injustifié ou une absence de réponse expose à une réclamation devant la CNIL.

Le droit à la portabilité, qu’est-ce que ça change concrètement pour votre PME ?

Avant le RGPD, une personne pouvait demander l’accès à ses données mais rarement les récupérer dans un format exploitable ailleurs. Le droit à la portabilité change cette logique en obligeant les organismes à fournir une copie structurée, prête à être réinjectée dans un autre système. Pour une PME industrielle, cela signifie qu’un client qui change de fournisseur de maintenance peut exiger la transmission de son historique d’interventions vers un nouveau prestataire.

Prenez l’exemple d’une entreprise de logistique qui gère un portail client avec suivi de commandes et préférences de livraison. Si un client souhaite migrer vers un concurrent, il peut demander que ses données de compte soient transférées directement, sans ressaisie manuelle. Ce transfert doit être réalisé sans entrave technique injustifiée dès lors qu’il est possible.

Ce droit ne s’applique pas à toutes les données ni à tous les contextes de traitement. Il concerne uniquement les traitements fondés sur le consentement de la personne ou sur l’exécution d’un contrat, et exclut les traitements réalisés dans l’intérêt légitime de l’entreprise ou pour respecter une obligation légale.

Action concrète : identifiez, parmi vos traitements de données personnelles, ceux qui reposent sur un contrat ou un consentement explicite, car ce sont eux qui seront concernés en priorité par une demande de portabilité.

Quelles données de vos clients ou salariés sont concernées par la portabilité ?

La distinction entre données concernées et données exclues constitue le point le plus mal compris par les entreprises. Sont concernées les données que la personne a elle-même fournies, comme ses coordonnées, ses préférences ou ses informations de compte. Sont également concernées les données générées par son activité, comme un historique d’achat ou des relevés issus d’un objet connecté.

En revanche, les données déduites, calculées ou inférées par l’entreprise à partir de ces informations sortent du champ de la portabilité. Un score de solvabilité, une note attribuée par d’autres utilisateurs ou une segmentation marketing interne ne relèvent pas de ce droit. De même, des données purement internes comme les relevés de badgeuse ou une déclaration fiscale ne sont pas concernées.

Pour une PME industrielle disposant d’un ERP couplé à un CRM, cette distinction demande un travail de cartographie. Il faut identifier précisément quels champs correspondent à des données fournies ou générées par l’activité de la personne, et lesquels résultent d’un traitement analytique interne.

Un exemple concret pour clarifier la frontière

Imaginez une entreprise de services qui propose un abonnement de maintenance avec application mobile. Les coordonnées du client, l’historique des tickets de maintenance et les données de géolocalisation des interventions sont concernées. En revanche, le score de fidélité calculé par un algorithme interne ou la probabilité de résiliation estimée par le service commercial ne le sont pas.

Action concrète : dressez un tableau de vos champs de données en distinguant celles fournies par l’utilisateur, celles générées par son usage, et celles calculées en interne, pour anticiper toute demande.

Type de donnée	Concernée par la portabilité	Exemple concret
Données déclarées par l’utilisateur	Oui	Coordonnées, adresse, préférences de contact
Données issues de l’activité	Oui	Historique d’achats, données d’un capteur connecté
Données calculées ou inférées	Non	Score de risque, segmentation marketing
Données réglementaires internes	Non	Relevés de badgeuse, données fiscales

Sous quel format devez-vous fournir les données portables ?

Le RGPD impose un format « structuré, couramment utilisé et lisible par machine ». Cette formulation exclut de fait les formats propriétaires nécessitant une licence payante, ainsi que les documents figés comme une image scannée ou un PDF non structuré. Pour la plupart des données textuelles ou numériques, le CSV et le JSON répondent parfaitement à ces critères.

Certains types de données bénéficient de formats spécifiques déjà standardisés. Un carnet de contacts sera par exemple exporté en format vCard, tandis que des données de géolocalisation seront plus naturellement transmises en JSON. L’objectif reste l’interopérabilité : la personne doit pouvoir réutiliser ses données ailleurs sans conversion complexe.

Pour une PME qui ne dispose pas d’un service informatique dédié, cette exigence peut sembler technique. En réalité, la plupart des logiciels de gestion commerciale ou des ERP modernes intègrent déjà des fonctions d’export en CSV, ce qui simplifie grandement la mise en conformité. Un export brut suffit généralement, à condition d’y joindre une légende expliquant la signification des champs.

Les erreurs de format les plus fréquentes

Certaines entreprises pensent, à tort, qu’un export PDF de la fiche client répond à l’obligation. Ce format n’est pas considéré comme structuré ni lisible par machine, il ne satisfait donc pas l’exigence légale. Un tableur Excel non structuré, avec des colonnes fusionnées ou des mises en forme complexes, pose également problème.

Action concrète : testez dès maintenant un export CSV depuis votre logiciel de gestion client pour vérifier qu’il produit un fichier propre, exploitable et sans données superflues.

Comment traiter une demande de portabilité étape par étape ?

Recevoir une demande de portabilité ne doit jamais générer de panique dans une PME organisée. La première étape consiste à authentifier la demande, c’est-à-dire vérifier que la personne qui la formule est bien celle dont les données sont concernées. Une simple vérification d’identité par email professionnel ou par un code envoyé au numéro enregistré suffit dans la plupart des cas.

La seconde étape consiste à identifier précisément les données concernées, en s’appuyant sur la cartographie évoquée plus haut. Il ne s’agit pas de transmettre l’intégralité du dossier client, mais uniquement les données fournies ou générées par l’activité de la personne. Cette sélection évite de divulguer par erreur des données internes ou des informations sur des tiers.

La troisième étape correspond à la génération du fichier dans un format adapté, suivie de sa transmission sécurisée. Certaines entreprises choisissent d’envoyer le fichier par un lien de téléchargement temporaire plutôt que par email, pour limiter les risques de fuite en cas d’erreur de destinataire.

1. Vérifier l’identité du demandeur avant tout traitement
2. Identifier les données concernées via la cartographie interne
3. Exclure les données calculées ou relatives à des tiers
4. Générer le fichier dans un format structuré et lisible par machine
5. Transmettre le fichier de manière sécurisée et tracée

Le site de la CNIL propose un rappel détaillé des étapes attendues côté organisme, ce qui peut servir de base à une procédure interne écrite. Action concrète : rédigez une procédure interne d’une page décrivant ces cinq étapes, pour que n’importe quel collaborateur du service client puisse la suivre sans erreur.

Quel délai avez-vous pour répondre à une demande de portabilité ?

Le délai légal de réponse est fixé à un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires si la demande présente une complexité particulière ou si le nombre de demandes reçues est élevé, mais cette prolongation doit être notifiée à la personne concernée dans le premier mois. Un silence total au-delà du délai constitue déjà un manquement.

Pour une PME qui reçoit rarement ce type de demande, un mois peut sembler confortable. Mais si la demande arrive pendant une période de forte activité, comme un pic de production ou une clôture comptable, ce délai peut être vite rattrapé par d’autres priorités opérationnelles. D’où l’intérêt d’un processus préétabli plutôt que d’une improvisation au coup par coup.

Le non-respect du délai n’entraîne pas automatiquement une sanction financière, mais il ouvre la voie à une réclamation auprès de la CNIL. Cette dernière peut alors mettre en demeure l’entreprise de répondre, avec un risque d’image non négligeable si l’affaire devient publique.

Anticiper les pics de demandes

Certaines entreprises, notamment dans le secteur des services à abonnement, ont constaté une hausse des demandes de portabilité lors des périodes de renégociation contractuelle ou de changement de prestataire dans leur propre secteur. Un salarié qui change d’employeur peut aussi solliciter la portabilité de ses données de formation ou de badge d’accès aux locaux, selon la nature du traitement.

Action concrète : intégrez dans votre agenda de conformité une règle simple, à savoir traiter toute demande de portabilité sous quinze jours pour garder une marge de sécurité avant l’échéance légale.

Pouvez-vous refuser une demande de portabilité ?

Un refus n’est jamais discrétionnaire, il doit reposer sur un motif précis et documenté. Le refus le plus fréquent concerne les données qui ne relèvent pas du champ de la portabilité, comme des données calculées en interne ou des informations concernant des tiers non consentants. Un autre motif légitime concerne l’impossibilité technique avérée de réaliser un transfert direct entre deux organismes.

Dans ce dernier cas, l’entreprise ne peut pas se contenter d’un refus vague. Elle doit expliquer précisément en quoi le transfert direct est techniquement impossible, par exemple en raison d’une incompatibilité totale entre les systèmes ou d’une absence d’interface de communication. Cette exigence de motivation protège la personne concernée contre des refus de complaisance.

Un refus fondé sur la charge de travail, le coût de la mise en conformité ou la crainte de perdre un client n’est jamais recevable juridiquement. Ce type de motif expose directement l’entreprise à une réclamation, car il ne correspond à aucune des exceptions prévues par le règlement.

Pour bien cerner les limites de ce droit, la documentation de référence sur la portabilité des données détaille les cas où un refus motivé reste possible. Action concrète : avant tout refus, formalisez par écrit le motif exact et conservez cette justification, car elle constituera votre principale preuve en cas de contrôle.

Que risquez-vous si vous ignorez une demande de portabilité ?

Ignorer une demande de portabilité, volontairement ou par négligence, expose l’entreprise à une réclamation devant la CNIL. La personne concernée doit alors identifier l’organisme responsable, consulter la page dédiée à l’exercice des droits sur son site, puis saisir l’autorité en joignant les preuves de sa démarche, comme un email resté sans réponse.

La CNIL dispose d’un pouvoir de mise en demeure et, en cas de manquement persistant, peut prononcer des sanctions financières proportionnées à la gravité du manquement et à la taille de l’entreprise. Pour une PME, même une sanction modérée peut représenter un montant significatif rapporté à son chiffre d’affaires, sans compter l’impact sur la relation commerciale avec le client concerné.

Le risque réputationnel mérite également d’être pris au sérieux. Un client mécontent de ne pas avoir obtenu ses données peut relayer son expérience publiquement, ce qui nuit à la crédibilité de l’entreprise en matière de protection des données et de sérieux administratif.

Pour aller plus loin sur les obligations concrètes qui pèsent sur les sous-traitants au sens du RGPD, le guide consacré au droit à la portabilité des données détaille les responsabilités partagées entre responsable de traitement et sous-traitant. Action concrète : conservez systématiquement une trace écrite de chaque demande reçue et de la réponse apportée, ne serait-ce que par email, pour vous constituer une preuve en cas de contrôle.

Comment sécuriser le processus de portabilité au sein de votre entreprise ?

La sécurité du fichier transmis constitue un enjeu à part entière. Un export de données personnelles envoyé par email non chiffré, ou stocké sur un espace partagé accessible à tous les collaborateurs, crée un risque de fuite qui peut à lui seul constituer une violation de données au sens du RGPD. Il convient donc de choisir un canal de transmission sécurisé, comme un lien de téléchargement à durée limitée protégé par mot de passe.

La formation des équipes qui traitent ces demandes reste un levier souvent sous-estimé. Un salarié du service client mal informé peut transmettre trop de données, oublier de vérifier l’identité du demandeur, ou au contraire refuser une demande légitime par méconnaissance des règles. Une session de sensibilisation courte, intégrée à un parcours plus large de formation sur le RGPD, permet d’éviter ces écueils.

La désignation d’un référent interne, même à temps partiel, facilite grandement le traitement des demandes complexes. Ce référent peut s’appuyer sur un délégué à la protection des données externe lorsque l’entreprise ne dispose pas des ressources internes suffisantes pour couvrir l’ensemble des obligations liées au droit des données.

Le rôle d’un accompagnement externe

De nombreuses PME industrielles font appel à un délégué à la protection des données externe pour structurer leur réponse aux demandes de portabilité sans mobiliser un poste à temps plein. Ce choix permet de bénéficier d’une expertise juridique et technique tout en maîtrisant le coût de la mise en conformité, un point souvent décisif pour une direction administrative et financière soucieuse de son budget.

Un logiciel dédié à la gestion des demandes RGPD peut également automatiser une partie du processus, depuis la réception de la demande jusqu’à la génération du fichier exportable. Ces outils réduisent le risque d’erreur humaine et garantissent une traçabilité complète, un argument de poids en cas de contrôle de la CNIL.

Action concrète : évaluez, sur les douze prochains mois, si le volume de demandes justifie l’investissement dans un outil dédié ou si un accompagnement ponctuel par un expert externe suffit à couvrir le besoin.

Quels formats et outils facilitent concrètement la portabilité au quotidien ?

Au-delà de la théorie juridique, la question technique reste centrale pour les équipes opérationnelles. Les logiciels de gestion de la relation client intègrent désormais, pour la plupart, une fonction d’export standardisée qui répond directement aux exigences de transfert de données imposées par le règlement. Il s’agit souvent d’une simple case à cocher dans les paramètres d’administration.

Pour les entreprises qui utilisent des solutions plus anciennes ou développées sur mesure, un travail avec le prestataire informatique s’impose pour ajouter cette fonctionnalité. Ce chantier, bien que technique, reste généralement limité dans le temps et représente un investissement raisonnable au regard du risque encouru en cas de non-conformité.

La vigilance sur la confidentialité des données transmises doit rester constante, y compris lors de tests internes du dispositif d’export. Utiliser des jeux de données fictifs pour valider le bon fonctionnement du processus évite d’exposer inutilement de véritables informations personnelles pendant la phase de mise au point.

Enfin, la documentation destinée à l’utilisateur mérite d’être simple et accessible, sans jargon juridique excessif. Une page claire expliquant comment exercer ce droit, accessible depuis l’espace client, réduit le nombre de demandes mal formulées et facilite le travail des équipes internes. Action concrète : ajoutez dès maintenant un lien visible vers la procédure de demande de portabilité sur votre espace client, pour anticiper les demandes plutôt que les subir.

Une PME est-elle vraiment concernée par le droit à la portabilité ?

Oui, dès lors qu’elle traite des données personnelles de clients, prospects ou salariés dans le cadre d’un contrat ou avec leur consentement. La taille de l’entreprise n’exonère d’aucune obligation prévue par le RGPD.

Faut-il répondre à une demande de portabilité envoyée par simple email ?

Oui, toute demande écrite, y compris par email, doit être traitée. Il convient toutefois de vérifier l’identité du demandeur avant de transmettre des données personnelles.

Peut-on facturer le traitement d’une demande de portabilité ?

Non, la première demande doit être traitée gratuitement. Des frais raisonnables peuvent être demandés uniquement en cas de demandes répétitives ou manifestement excessives.

Que faire si le transfert direct vers un autre organisme est impossible techniquement ?

L’entreprise doit fournir une explication précise et documentée de cette impossibilité technique, et proposer à défaut une transmission de la copie des données directement à la personne concernée.

Une donnée calculée par un algorithme interne doit-elle être transmise ?

Non, les données déduites, inférées ou calculées à partir des informations fournies par la personne ne relèvent pas du droit à la portabilité et peuvent légitimement être exclues de l’export.