Portabilité des données RGPD : conditions, délais et obligations de l'entreprise

Sommaire

Qu'est-ce que le droit à la portabilité des données ?

Quelles données et quels traitements sont concernés ?

Portabilité et droit d'accès : quelles différences ?

Format, délai et gratuité : répondre à une demande

Transfert direct vers un autre responsable de traitement

Limites, refus et sanctions en cas de manquement

FAQ

Pour aller plus loin

Qu'est-ce que le droit à la portabilité des données ?

Le droit à la portabilité des données RGPD permet à une personne de recevoir les données personnelles qu'elle a fournies à une entreprise, puis de les réutiliser chez un autre prestataire. Il est prévu par l'article 20 du RGPD (règlement (UE) 2016/679), que la CNIL présente dans son chapitre consacré aux droits des personnes.

Le principe de la portabilité des données RGPD

Le texte vise le responsable du traitement, c'est-à-dire l'entité qui décide des finalités et des moyens du traitement. Celui-ci ne doit pas faire obstacle au transfert des données. Pour une DSI, la demande type prend 2 formes : un client qui quitte un service en ligne avec son historique, ou un salarié qui récupère des données fournies dans le cadre de son contrat.

L'obligation est donc autant technique que juridique : l'entreprise doit localiser les données concernées, les extraire et les livrer dans un format réutilisable.

Répondre à une demande de portabilité suppose une cartographie des traitements et de leurs bases légales, construite avec le DPO.
Échanger avec un avocat en protection des données

Quelles données et quels traitements sont concernés ?

Le droit à la portabilité s'applique uniquement si 2 conditions cumulatives sont réunies : le traitement repose sur le consentement ou sur un contrat, et il est effectué à l'aide de procédés automatisés. Un traitement fondé sur une obligation légale sort donc du champ.

Le périmètre dépend ensuite de l'origine des données. Les données fournies comprennent celles que la personne a déclarées activement, comme son identité ou ses préférences, et celles générées par l'utilisation du service, comme un historique ou des traces de connexion. En revanche, les données déduites ou dérivées, produites par l'entreprise à partir de ces informations, sont en pratique exclues : un score ou une analyse interne n'a pas à être transmis.

Portabilité et droit d'accès : quelles différences ?

La portabilité vise la réutilisation des données, alors que le droit d'accès vise leur connaissance. Le droit d'accès, prévu par l'article 15 du RGPD, porte sur toutes les données traitées et sur des informations relatives au traitement.

Cette distinction a une conséquence pratique. Une demande mal qualifiée conduit soit à transmettre trop de données, soit à répondre de manière incomplète. Le premier réflexe consiste donc à identifier le droit exercé, puis à vérifier ses conditions.

Qualifier correctement une demande d'exercice de droits limite le risque de réponse incomplète ou excessive.
Consulter un avocat spécialisé en protection des données

Format, délai et gratuité : répondre à une demande

L'entreprise répond dans les meilleurs délais et au plus tard dans un délai de 1 mois à compter de la réception de la demande (article 12, paragraphe 3 du RGPD). Ce délai peut être prolongé de 2 mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois.

La réponse est gratuite. Des frais raisonnables, ou un refus motivé, ne sont possibles que si la demande est manifestement infondée ou excessive. En cas de doute raisonnable sur l'identité du demandeur, l'entreprise peut demander des informations complémentaires.

Le format doit être structuré, couramment utilisé et lisible par machine. Une DSI privilégiera ainsi un format ouvert, comme le CSV ou le JSON, plutôt qu'un document scanné.

Le traitement d'une demande de portabilité des données RGPD suit 5 étapes :

1. Enregistrer la demande et sa date de réception, point de départ du délai.
2. Vérifier l'identité du demandeur en cas de doute.
3. Qualifier la base légale de chaque traitement.
4. Extraire les données fournies, sans données de tiers ni données déduites.
5. Transmettre le fichier à la personne ou au nouveau responsable de traitement.

Transfert direct vers un autre responsable de traitement

La personne peut demander que ses données soient transmises directement d'un responsable de traitement à un autre, lorsque cela est techniquement possible. Le transfert direct dépend donc des capacités des 2 systèmes ; en revanche, l'entreprise d'origine ne doit pas y faire obstacle.

Pour la DSI, l'enjeu porte sur la sécurité du canal : vérifier le destinataire, chiffrer l'envoi et tracer l'opération.

Ce mécanisme se distingue du règlement (UE) 2023/2854 sur les données, dit Data Act, applicable depuis le 12 septembre 2025. Ce texte organise l'accès et le partage des données des objets connectés ainsi que le changement de fournisseur de services cloud ; il complète le RGPD sans le remplacer.

Le transfert direct et l'articulation avec le Data Act posent des questions de répartition des responsabilités entre prestataires.
Être accompagné par un avocat en protection des données

Limites, refus et sanctions en cas de manquement

Le droit à la portabilité ne doit pas porter atteinte aux droits et libertés de tiers. Un historique de messagerie ou un fichier partagé peut contenir des données d'autres personnes : l'entreprise doit alors les filtrer avant transmission.

La portabilité s'exerce par ailleurs sans préjudice du droit à l'effacement (article 17). Transmettre les données n'emporte pas leur suppression, qui relève d'une demande d'effacement examinée selon ses propres conditions.

Les motifs de refus restent encadrés :

• Hors champ : traitement fondé sur une obligation légale, l'intérêt légitime ou une mission d'intérêt public.
• Demande manifestement infondée ou excessive : refus motivé ou frais raisonnables.
• Atteinte aux droits de tiers : exclusion des données concernées.

En cas de manquement, la personne peut saisir la CNIL d'une réclamation. La violation des droits des personnes est passible d'une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 5). La CNIL détaille ces obligations dans sa présentation du RGPD pour les professionnels.

FAQ

La portabilité des données s'applique-t-elle aux salariés ?

Oui, lorsque le traitement repose sur le contrat de travail ou sur le consentement et qu'il est automatisé. Les données traitées pour respecter une obligation légale sont exclues.

Quel est le délai pour répondre à une demande de portabilité ?

L'entreprise dispose de 1 mois à compter de la réception de la demande. Ce délai peut être prolongé de 2 mois pour les demandes complexes ou nombreuses, la personne étant informée dans le premier mois.

L'entreprise peut-elle facturer la transmission des données ?

Non, la réponse est gratuite. Des frais raisonnables ne sont possibles que si la demande est manifestement infondée ou excessive.

Quel format utiliser pour transmettre les données ?

Le RGPD exige un format structuré, couramment utilisé et lisible par machine. Un format ouvert, comme le CSV ou le JSON, permet au nouveau prestataire de réimporter les données.

Faut-il transmettre les analyses et scores produits par l'entreprise ?

Non, en pratique les données déduites ou dérivées ne sont pas couvertes. Seules les données fournies par la personne, déclarées ou générées par l'usage du service, entrent dans le périmètre.

Pour aller plus loin

Chapitre III - Droits de la personne concernée (RGPD) - CNIL

Les droits des personnes sur leurs données - CNIL

Règlement général sur la protection des données : ce qui change pour les professionnels - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.