En quoi consiste le droit à la portabilité des données ?

Introduction

La portabilité est le droit le moins bien compris et le plus souvent confondu avec l’accès. Son champ est nettement plus étroit, mais ses conséquences concurrentielles sont réelles.

Les conditions cumulatives

Trois conditions doivent être réunies.

Le traitement est fondé sur le consentement ou sur l’exécution d’un contrat. Un traitement fondé sur l’intérêt légitime ou sur une obligation légale n’ouvre pas droit à la portabilité.

Le traitement est effectué à l’aide de procédés automatisés. Les dossiers papier en sont exclus.

Les données ont été fournies par la personne concernée.

Le périmètre des données fournies

La notion couvre les données déclarées activement : formulaire d’inscription, profil, contenus déposés.

Elle couvre également les données observées du fait de l’utilisation du service : historique de navigation sur le compte, historique d’achats, données d’usage.

Elle exclut en revanche les données déduites ou créées par le responsable : score de solvabilité, segmentation marketing, évaluation, catégorisation.

Cette distinction est la clé du droit : la personne récupère ce qu’elle a apporté, non le travail d’analyse du responsable.

Le format

Les données sont fournies dans un format structuré, couramment utilisé et lisible par machine.

Un export CSV, JSON ou XML répond à cette exigence.

Un PDF de mise en forme, une capture d’écran ou une impression ne la satisfont pas : la finalité du droit est de permettre la réutilisation dans un autre système.

La transmission directe

La personne peut demander que les données soient transmises directement d’un responsable à un autre, lorsque c’est techniquement possible.

La réserve tenant à la faisabilité technique ne permet pas d’écarter le droit par principe : elle vise l’absence d’interopérabilité, non l’absence de volonté.

Le responsable de départ n’est pas responsable du traitement ultérieur par le destinataire.

Les limites

Le droit ne doit pas porter atteinte aux droits et libertés de tiers.

Cette réserve se pose lorsque les données portées comportent des informations sur d’autres personnes : carnet d’adresses, échanges, historique de conversations.

La solution consiste généralement à porter les données en identifiant leur caractère mixte, le destinataire ne pouvant les traiter que pour un usage strictement personnel de la personne concernée.

L’articulation avec l’effacement

La portabilité n’emporte pas l’effacement.

Une personne qui récupère ses données peut ensuite demander leur effacement, mais il s’agit de deux demandes distinctes, soumises à des conditions différentes.

Le responsable qui efface spontanément après un export commet une erreur : il peut avoir besoin de conserver certaines données au titre d’obligations légales.

L’enjeu concurrentiel

La portabilité facilite le changement de prestataire.

Elle est particulièrement sensible dans les services en ligne, les plateformes et les outils professionnels.

Anticiper la demande, en prévoyant une fonction d’export dans le produit, transforme une contrainte en argument commercial et évite le traitement manuel de chaque demande.

Prévoir l’export dès la conception

Une fonction d’export intégrée coûte moins cher que le traitement manuel des demandes. Notre expertise RGPD et protection des données personnelles accompagne cette conception.

En résumé

• Trois conditions cumulatives : consentement ou contrat, traitement automatisé, données fournies par la personne.
• Les données déduites ou créées par le responsable sont exclues.
• Format structuré, couramment utilisé et lisible par machine.
• La transmission directe à un autre responsable peut être demandée.
• Portabilité et effacement sont deux demandes distinctes.