RGPD – Droit à la portabilité des données

Depuis le 25 mai 2018, le RGPD renforce les droits des personnes. Parmi eux, le droit à la portabilité permet à chacun de récupérer les données personnelles qu’il a fournies à un service, dans un format structuré, couramment utilisé et lisible par machine, pour les réutiliser ou les transférer vers un autre service.

⚠️ La portée peut surprendre : visualiser ce que conservent les grandes plateformes sur votre activité peut être… impressionnant. C’est pourtant normal et encadré.

1) Ce que dit l’article 20 du RGPD (en bref)

Une personne peut :

• Recevoir ses données personnelles qu’elle a fournies (formulaires, profils, contenus envoyés, etc.),
• Dans un format portable (ex. CSV, JSON),
• Et les transmettre à un autre responsable de traitement, sans obstacle de l’organisation d’origine,
• À condition que le traitement repose sur le consentement ou le contrat, et soit automatisé.

Exclus de la portabilité :

• Les données déduites ou déductions/analyses internes (scores, segments, profils inférés).
• Les traitements non automatisés (archives papier, par ex.).

2) Exemples pratiques côté « utilisateurs »

Voici où demander vos données (procédures publiques) :

• Facebook : Centre d’aide > Télécharger vos informations.
• Google : Google Takeout.
• Amazon : via le support (« Télécharger vos données »).
• Uber : rubrique confidentialité / support.

3) Entreprises : ce qu’il faut mettre en place

Pour être prêtes en cas de demande, les organisations doivent :

A. Process interne

• Un point de contact (adresse dédiée DPO/Privacy).
• Une procédure de vérification d’identité (proportionnée).
• Un registre des demandes (date, périmètre, réponse).

B. Périmètre & extraction

• Définir ce qui est portable (ce que la personne a fourni directement ou par son activité : coordonnées, commandes, messages, documents déposés…).
• Exclure vos analyses internes (scores, notes, inférences).
• Extraire au bon format (CSV/JSON) et avec métadonnées utiles.

C. Délais & gratuité

• Répondre sous un mois (prolongeable de deux mois pour complexité/volume, avec information de la personne).
• Gratuit par principe (frais possibles seulement si demandes manifestement infondées/répétitives).

D. Sécurité & transmission

• Transmettre par un canal sécurisé (lien chiffré, portail, ou support chiffré).
• Proposer, si demandé et techniquement possible, un transfert direct au nouveau prestataire.
• Fournir une notice simple pour réimporter les données.

E. Transparence

• Mettre à jour la politique de confidentialité (comment exercer ses droits, délais, formats).
• Prévoir un formulaire de demande de portabilité (pratique et traçable).

4) Portabilité ≠ Droit d’accès : la différence

• Droit d’accès : obtenir toutes les données personnelles (y compris certaines dérivées) + informations sur le traitement.
• Portabilité : seulement les données fournies par la personne et réutilisables chez un tiers, dans un format portable.

5) Modèle de réponse (court) à copier-coller

Bonjour,
Nous confirmons la réception de votre demande de portabilité. Merci de nous fournir un justificatif d’identité (…).
Nous vous transmettrons vos données fournies et liées à votre utilisation de nos services dans un format CSV/JSON, sous 30 jours.
Vous pourrez télécharger ces données via un lien sécurisé que nous vous enverrons.
Si vous souhaitez un transfert direct vers un autre prestataire, indiquez-nous ses coordonnées techniques.
Cordialement,
(Nom – DPO/Privacy)

6) Comment nous pouvons vous aider

• Audit : cartographier où se trouvent les données « portables » (SI, SaaS, CRM, e-commerce…).
• Procédure : créer vos modèles (accusé, réponse, transfert direct), vos formats d’export et votre canal de remise sécurisé.
• Industrialisation : automatiser les exports (scripts/API), documenter et former vos équipes.
• Conformité : aligner politique de confidentialité, mentions d’information, et registres.