Portabilité des données personnelles : définition et fonctionnement

Le droit à la portabilité des données personnelles transforme en profondeur la relation entre les individus et les organisations qui traitent leurs informations. Inscrit à l’article 20 du Règlement Général sur la Protection des Données (RGPD), entré en application en mai 2018, ce droit permet à toute personne de récupérer ses données dans un format exploitable et de les transmettre à un autre prestataire. Loin d’être une simple formalité administrative, il repose sur une mécanique juridique précise, avec des conditions d’application strictes, des formats imposés et des délais réglementés. Comprendre son fonctionnement réel — quelles données sont concernées, qui peut l’invoquer, et quelles obligations en découlent pour les organisations — est une nécessité autant pour les particuliers que pour les responsables de traitement.

1. Ce que signifie concrètement la portabilité des données personnelles
2. Les deux conditions cumulatives qui déclenchent le droit à la portabilité
3. Quelles données personnelles sont effectivement portables ?
4. Format et délai : ce que le RGPD impose techniquement
5. Comment fonctionne concrètement la transmission directe entre responsables de traitement ?
6. Les obligations procédurales pour les organisations qui reçoivent une demande
7. Les risques de non-conformité et les sanctions applicables
8. Portabilité des données et protection de la vie privée : un droit au service de l’autonomie numérique

Ce que signifie concrètement la portabilité des données personnelles

La portabilité des données personnelles désigne la faculté accordée à une personne physique d’obtenir, auprès d’un responsable de traitement, les données à caractère personnel qu’elle lui a fournies, dans un format structuré, couramment utilisé et lisible par machine. Elle peut ensuite transmettre ces données à un autre responsable de traitement, sans que le premier puisse s’y opposer.

Ce droit se distingue fondamentalement du droit d’accès prévu à l’article 15 du RGPD. Le droit d’accès permet à une personne de consulter les données qu’une organisation détient sur elle. La portabilité va plus loin : elle permet de les récupérer dans un format directement réutilisable, pensé pour être importé dans un autre système. L’objectif du législateur européen était explicitement de lutter contre les effets de verrouillage — le phénomène dit de lock-in — par lequel les grandes plateformes numériques retiennent leurs utilisateurs en rendant la migration de leurs données difficile ou impossible.

Pour illustrer ce mécanisme, imaginons une utilisatrice, Léa, abonnée depuis plusieurs années à un service de streaming musical. Elle souhaite migrer vers une autre plateforme. Sans droit à la portabilité, elle perdrait l’intégralité de ses playlists, de son historique d’écoute et de ses préférences musicales. Grâce à l’article 20 du RGPD, elle peut demander un export de ces données dans un fichier JSON ou CSV, puis les importer sur la nouvelle plateforme — à condition que celle-ci accepte ce format. Ce scénario illustre à la fois la portée et les limites pratiques du mécanisme.

Pour aller plus loin sur la définition juridique et les implications de l’article 20 du RGPD, il est utile de consulter les ressources spécialisées qui détaillent chaque condition d’application. La portabilité ne constitue pas un droit absolu : ses contours sont précisément délimités par le texte européen, ce qui en fait un mécanisme plus technique qu’il n’y paraît.

Les deux conditions cumulatives qui déclenchent le droit à la portabilité

Le droit à la portabilité ne s’applique pas à tous les traitements de données. L’article 20 du RGPD pose deux conditions qui doivent être simultanément réunies. Si l’une fait défaut, le droit à la portabilité ne peut pas être invoqué — même si d’autres droits, comme le droit d’accès, continuent de s’appliquer.

Première condition : la base légale du traitement

Le traitement doit reposer sur l’une des deux bases juridiques suivantes : le consentement de la personne (article 6(1)(a) du RGPD, ou article 9(2)(a) pour les données sensibles) ou l’exécution d’un contrat auquel la personne est partie (article 6(1)(b)). Ces deux fondements représentent deux des six bases légales prévues par le RGPD.

Les traitements fondés sur l’intérêt légitime de l’organisation, sur une obligation légale ou sur une mission d’intérêt public sont explicitement exclus du champ de la portabilité, comme le précise l’article 20(3) du RGPD. Une administration fiscale, un tribunal ou un organisme de sécurité sociale ne sont donc pas soumis à cette obligation, même s’ils traitent d’importantes quantités de données personnelles. Ce point est régulièrement méconnu par les organisations qui appliquent la portabilité de manière indifférenciée à tous leurs traitements.

Seconde condition : un traitement automatisé

Le traitement concerné doit être effectué à l’aide de procédés automatisés. Les traitements entièrement manuels, comme des dossiers papier non numérisés, sont exclus du champ d’application. En pratique, cette condition est presque systématiquement remplie dans les environnements numériques actuels, où la quasi-totalité des opérations sur les données s’effectue via des systèmes informatisés.

Cette double condition crée des situations de traitement mixte qu’il faut analyser avec soin. Un employeur, par exemple, traite les données de ses salariés sur des bases légales multiples : l’exécution du contrat de travail (paie, congés), mais aussi des obligations légales (déclarations sociales, registre du personnel). La portabilité s’applique aux premières, pas aux secondes. Une analyse traitement par traitement est donc nécessaire avant de répondre à toute demande.

La CNIL détaille les modalités d’exercice de ce droit et précise dans ses lignes directrices que la qualification de la base légale est un préalable indispensable au traitement de toute demande de portabilité.

Quelles données personnelles sont effectivement portables ?

L’un des points les plus mal compris du droit à la portabilité concerne son périmètre exact. L’article 20 ne rend pas portables toutes les données qu’une organisation détient sur une personne. Il se limite aux données fournies par la personne concernée.

Les données incluses dans le périmètre de la portabilité

Sont portables les données que la personne a activement communiquées au responsable de traitement, ainsi que celles générées par son activité sur le service. Concrètement, cela inclut les informations de formulaires d’inscription (nom, prénom, adresse, date de naissance), les contenus produits par l’utilisateur (messages, publications, photos, commentaires), et les données comportementales résultant de l’utilisation du service, comme l’historique d’achats, l’historique d’écoute sur une plateforme musicale ou les itinéraires enregistrés dans une application de navigation.

Les lignes directrices 06/2020 du Comité Européen de la Protection des Données (CEPD) confirment que cette dernière catégorie — les données d’activité — est bien incluse dans le périmètre de la portabilité, à condition qu’elles résultent d’une interaction directe de la personne avec le service. Pour en savoir plus sur la définition des données personnelles et leur classification, une lecture approfondie des critères du RGPD s’impose.

Les données exclues : inférées et dérivées

Ne sont pas portables les données inférées ou déduites par l’organisation à partir des données brutes. Un score de crédit calculé par une banque à partir de l’historique des transactions d’un client, un profil comportemental généré par un algorithme de recommandation, ou une segmentation marketing établie par l’entreprise : ces données résultent d’un traitement analytique propre à l’organisation et ne sont pas la propriété de la personne au sens de l’article 20.

Cette distinction a des conséquences pratiques significatives. L’historique des transactions bancaires d’un client est portable. La notation de risque que la banque a calculée à partir de cet historique ne l’est pas. Cette frontière entre donnée brute et donnée traitée est au cœur des débats d’interprétation entre autorités de contrôle et responsables de traitement dans plusieurs États membres.

Format et délai : ce que le RGPD impose techniquement

La portabilité des données n’est pas seulement un droit sur le principe — elle impose des contraintes techniques et temporelles précises aux responsables de traitement. Ces contraintes sont souvent sous-estimées lors de la mise en conformité.

Le format : structuré, lisible par machine, interopérable

Le RGPD n’impose pas un format unique, mais le format retenu doit respecter trois critères cumulatifs. Il doit être structuré : les données doivent être organisées de manière à pouvoir être traitées automatiquement, ce qui exclut d’emblée les documents Word ou les impressions papier. Il doit être couramment utilisé : un format propriétaire ou peu répandu ne satisfait pas cette exigence. Il doit être lisible par machine : le fichier doit pouvoir être ingéré directement par un logiciel sans intervention manuelle.

Dans la pratique, trois formats répondent à ces critères :

• JSON (JavaScript Object Notation) : format de référence pour les échanges via API, recommandé pour les données complexes et structurées en hiérarchies.
• CSV (Comma-Separated Values) : adapté aux données tabulaires simples, comme des listes de transactions ou des contacts.
• XML (Extensible Markup Language) : utilisé dans certains secteurs réglementés, notamment la banque et la santé.

Le PDF, même bien mis en forme, ne satisfait pas l’exigence de portabilité. Il peut être fourni à titre informatif en supplément d’un export technique, mais il ne se substitue pas au format lisible par machine.

Le délai légal d’un mois et ses conditions de prorogation

Le responsable de traitement dispose d’un mois à compter de la réception de la demande pour y répondre. Ce délai est identique à celui du droit d’accès et du droit à l’effacement. En cas de demandes nombreuses ou particulièrement complexes, ce délai peut être prorogé de deux mois supplémentaires, à condition d’en informer le demandeur dans le délai initial d’un mois, en précisant les raisons du retard.

La CNIL a précisé que la complexité doit être réelle et documentée, et ne peut pas être invoquée de façon systématique pour repousser toutes les demandes. Une organisation qui prorogerait automatiquement l’ensemble de ses délais de réponse sans justification s’exposerait à un risque de manquement caractérisé.

Comment fonctionne concrètement la transmission directe entre responsables de traitement ?

L’article 20(2) du RGPD prévoit une faculté qui va au-delà du simple export : la personne peut demander que ses données soient transmises directement d’un responsable de traitement à un autre, sans passer par elle-même, si cela est techniquement possible. C’est la disposition la plus innovante — et la moins bien appliquée — de ce droit.

Concrètement, cela signifie qu’une personne peut demander à son service de streaming actuel de transférer directement ses données vers un concurrent désigné, sans avoir à télécharger un fichier puis le réimporter manuellement. Le premier prestataire est alors tenu d’effectuer ce transfert si son infrastructure le permet — notamment via une API ou un système d’export automatisé.

La notion de « techniquement possible » laisse une marge d’appréciation, mais elle ne constitue pas une clause de style permettant de refuser systématiquement. Si une organisation dispose d’interfaces techniques permettant des échanges de données automatisés, la transmission directe est généralement considérée comme réalisable. Plusieurs secteurs ont développé des standards de portabilité directe qui illustrent cette logique à grande échelle : la banque avec la DSP2 (Directive sur les Services de Paiement), la santé avec Mon Espace Santé et l’Identifiant National de Santé (INS), ou encore l’énergie avec les données de consommation d’Enedis.

Ces exemples sectoriels montrent que la portabilité directe n’est pas théorique. Elle suppose néanmoins une standardisation des formats d’échange entre acteurs, ce qui reste un défi technique dans des secteurs moins structurés. L’European Data Protection Board a publié des lignes directrices sur ce point, précisant les critères d’évaluation de la faisabilité technique d’une telle transmission.

Les obligations procédurales pour les organisations qui reçoivent une demande

Recevoir une demande de portabilité n’est pas une démarche informelle. Elle déclenche une procédure structurée que le responsable de traitement doit suivre avec rigueur, à la fois pour respecter les droits de la personne et pour se protéger en cas de contrôle.

Vérification de l’identité et qualification de la demande

La première étape consiste à s’assurer de l’identité du demandeur. En cas de doute raisonnable, il est possible de demander un justificatif. La CNIL précise toutefois que cette vérification doit rester proportionnée : exiger une pièce d’identité pour une demande formulée depuis un compte authentifié et sécurisé serait excessif. Une demande reçue par email depuis une adresse non reconnue justifie davantage une vérification complémentaire.

La qualification de la demande est l’étape suivante. Il s’agit d’identifier le traitement concerné, de confirmer sa base légale (consentement ou contrat ?), de déterminer si les données demandées ont bien été fournies par la personne, et de préciser si la personne souhaite un export personnel ou une transmission directe à un tiers. Cette analyse conditionne la suite de la procédure.

Préparation de l’export et transmission sécurisée

L’export doit couvrir l’intégralité du périmètre éligible à la portabilité, sans tri arbitraire. Un responsable de traitement ne peut pas décider unilatéralement de ne transmettre qu’une partie des données concernées. La transmission doit s’effectuer de manière sécurisée : un fichier contenant des données personnelles ne doit pas être envoyé par email non chiffré. Les pratiques recommandées incluent un lien de téléchargement sécurisé avec expiration courte (48 à 72 heures), un envoi chiffré ou un espace personnel sécurisé au sein de l’interface du service.

La documentation de la demande est enfin obligatoire. Tracer la date de réception, la date de réponse et les données transmises relève du principe d’accountability prévu aux articles 5(2) et 24 du RGPD. En cas de contrôle de la CNIL, cette traçabilité constitue la preuve de conformité. Pour mieux comprendre les responsabilités qui incombent aux organisations, la notion de responsable de traitement mérite d’être bien cernée, notamment dans sa distinction avec le sous-traitant.

Les risques de non-conformité et les sanctions applicables

Le manquement au droit à la portabilité expose les organisations aux sanctions prévues à l’article 83(4) du RGPD : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel de l’exercice précédent, le montant le plus élevé étant retenu. Ces plafonds se situent dans la première catégorie de sanctions du RGPD, en dessous du palier des 20 millions / 4 % applicable aux infractions les plus graves.

La CNIL a déjà infligé des sanctions significatives pour non-respect des droits des personnes. En 2021, elle a prononcé une amende de 150 000 euros à l’encontre de Google et de 60 000 euros à l’encontre de Facebook pour manquements au droit d’accès. Un refus systématique de répondre aux demandes de portabilité s’inscrirait dans une logique similaire et pourrait déclencher une procédure de sanction de même nature.

Les personnes dont les demandes restent sans réponse peuvent saisir la CNIL directement via son formulaire de plainte en ligne. L’autorité dispose alors d’un pouvoir d’injonction lui permettant de contraindre l’organisation à se mettre en conformité, indépendamment de toute sanction financière. Cette double voie — injonction et amende — rend le dispositif particulièrement contraignant pour les organisations récalcitrantes.

Il faut par ailleurs distinguer clairement la portabilité du RGPD de celle introduite par le Data Act européen, entré en application en septembre 2025. Le Data Act organise la portabilité des données générées par les objets connectés (IoT) au profit des utilisateurs professionnels et des administrations. Ce sont deux régimes distincts qui peuvent se chevaucher pour les équipements connectés collectant des données personnelles. Les organisations actives dans l’industrie connectée — véhicules, appareils domestiques intelligents, équipements médicaux — sont donc potentiellement soumises aux deux textes de façon cumulative.

Portabilité des données et protection de la vie privée : un droit au service de l’autonomie numérique

Le droit à la portabilité des données personnelles s’inscrit dans une logique plus large de renforcement de l’autonomie des individus face aux acteurs numériques. En permettant aux personnes de reprendre possession de leurs données dans un format exploitable, il réduit mécaniquement l’asymétrie d’information et de pouvoir qui caractérise les relations entre utilisateurs et grandes plateformes.

Cette logique est directement liée aux enjeux de vie privée sur internet, qui dépassent la simple protection des informations personnelles pour toucher à la capacité de chacun à choisir librement ses prestataires numériques. Un utilisateur qui sait qu’il peut récupérer ses données à tout moment est moins captif d’un service. Cette liberté de migration stimule la concurrence et incite les opérateurs à améliorer la qualité de leurs services.

Sur le plan technique, la portabilité suppose que les organisations investissent dans des infrastructures d’export fiables et sécurisées. Cela représente un coût réel, notamment pour les entreprises dont les données sont stockées dans des systèmes anciens ou des formats propriétaires. L’interopérabilité entre systèmes reste un défi persistant : pour que la transmission directe entre deux responsables de traitement soit véritablement fluide, les deux parties doivent s’accorder sur des standards communs, ce qui n’est pas toujours le cas en dehors des secteurs fortement régulés.

La portabilité contribue néanmoins à faire évoluer les pratiques en matière de protection des données dans le cadre du RGPD. Elle pousse les organisations à mieux structurer leurs bases de données, à distinguer clairement les données fournies par les utilisateurs de celles qu’elles génèrent en interne, et à documenter rigoureusement leurs traitements. Ces bonnes pratiques débordent largement le seul cadre de la portabilité pour renforcer la qualité globale de la gouvernance des données.

Avant tout transfert, le droit d’accès permet d’obtenir copie de ses données ; le droit à l’oubli numérique et le signalement d’une violation complètent cette panoplie de droits.