L’article 20 du RGPD, ou droit à la portabilité, permet à une personne de récupérer les données qu’elle a fournies à une entreprise dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable, directement lorsque c’est techniquement possible. Il ne s’applique qu’aux traitements fondés sur le consentement ou sur le contrat, et qu’aux traitements automatisés ; il ne couvre ni les données déduites par l’entreprise ni les fichiers papier.
L’essentiel
- Trois conditions cumulatives : base légale consentement ou contrat, traitement automatisé, données fournies par la personne (y compris les données d’usage observées, pas les données déduites).
- Format : CSV, JSON ou XML suffisent pour une PME ; un PDF ne répond pas à l’obligation.
- Transmission directe à un autre responsable sur demande, si techniquement possible.
- Un droit peu exercé hors des plateformes, mais structurant pour les éditeurs SaaS, les banques, les opérateurs et les services en ligne.
Ce que dit l’article 20
| Paragraphe | Ce que dit le texte |
|---|---|
| 20.1 – Droit | La personne a le droit de recevoir les données qu’elle a fournies, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable sans que le premier y fasse obstacle, lorsque le traitement est fondé sur le consentement ou un contrat et effectué à l’aide de procédés automatisés. |
| 20.2 – Transmission directe | La personne a le droit d’obtenir que les données soient transmises directement d’un responsable à un autre, lorsque c’est techniquement possible. |
| 20.3 – Articulation | L’exercice de ce droit s’entend sans préjudice de l’article 17 ; il ne s’applique pas aux traitements nécessaires à une mission d’intérêt public. |
| 20.4 – Tiers | Le droit ne porte pas atteinte aux droits et libertés de tiers. |
Ce que cela change pour une PME
Identifier les traitements concernés
Compte client, abonnement, espace personnel, application : dès que la personne a saisi des données dans un service fondé sur un contrat ou un consentement, le droit s’applique. La paie et la facturation, fondées sur une obligation légale, en sont exclues, de même que les fichiers prospects fondés sur l’intérêt légitime.
Prévoir un export
Pour un éditeur SaaS ou un site e-commerce, une fonction d’export au format CSV ou JSON règle la question une fois pour toutes ; pour une PME classique, un export manuel depuis le CRM ou le logiciel métier suffit, à condition de savoir le produire dans le mois.
Séparer fourni, observé et déduit
Les lignes directrices européennes distinguent les données fournies activement (formulaire), les données observées par l’usage du service (historique, journaux) qui sont portables, et les données déduites ou créées par l’entreprise (score, segment, appréciation) qui ne le sont pas.
Ne pas confondre avec l’effacement
Récupérer ses données ne les supprime pas : la personne peut demander ensuite l’effacement, et l’entreprise peut conserver ce qu’une obligation légale impose.
Ce que les textes et les autorités précisent
| Texte | Nature | Ce qu’il faut retenir |
|---|---|---|
| Lignes directrices du G29 sur le droit à la portabilité (WP 242, 2017), reprises par le CEPD | Doctrine | Précisent le périmètre (données fournies et observées, pas déduites), les formats attendus et l’obligation de fournir un export sans frais. |
| CNIL – Fiche pratique sur la portabilité | Doctrine | Recommande un format interopérable et une procédure d’export accessible depuis le compte de l’utilisateur. |
| Décisions CNIL | Contrôle | La portabilité apparaît dans les contrôles des plateformes et des services en ligne ; aucune sanction publique majeure ne repose sur ce seul article à ce jour. |
Les questions que je pose en audit
- Quels services proposez-vous où la personne crée un compte ou saisit ses propres données ?
- Pouvez-vous exporter ces données dans un format réutilisable (CSV, JSON) sans développement ?
- L’export contient-il uniquement les données de la personne, sans celles de tiers ?
- Avez-vous déjà reçu une demande de portabilité, et comment l’avez-vous traitée ?
- Votre éditeur de logiciel métier fournit-il une fonction d’export individuel ?
Prêt à l’emploi : la réponse à une demande de portabilité
« Suite à votre demande du [date], vous trouverez ci-joint l’export des données que vous nous avez fournies dans le cadre de [service], au format [CSV/JSON], couvrant la période du [date] au [date]. Cet export comprend [catégories]. Les données que nous avons produites à partir de votre usage du service (par exemple [exemple]) ne relèvent pas de la portabilité. Si vous souhaitez que nous transmettions ces données directement à un autre prestataire, indiquez-nous ses coordonnées techniques ; nous le ferons si c’est possible. Vos données restent conservées chez nous selon notre politique ; vous pouvez en demander l’effacement séparément. »
Et en Suisse ?
La nLPD a introduit un droit équivalent à son article 28 : le droit à la remise ou à la transmission des données personnelles, dans un format électronique courant, pour les données fournies par la personne et traitées de manière automatisée sur la base du consentement ou d’un contrat. Notre fiche sur le droit à la remise des données sous la nLPD en donne le détail.
Ce que je constate en mission. Dans les PME, la portabilité se présente rarement comme une demande RGPD : elle arrive sous la forme d’un client qui change de prestataire et veut « récupérer son historique ». Les éditeurs qui ont prévu l’export le vivent comme un argument commercial ; ceux qui ne l’ont pas prévu découvrent que leur logiciel ne sait pas sortir un seul client sans sortir toute la base, et c’est là que le droit devient un chantier technique.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Un PDF suffit-il ?
Non. Le format doit être lisible par machine et réutilisable : CSV, JSON ou XML. Le PDF peut accompagner l’export pour la lisibilité, pas le remplacer.
La portabilité s’applique-t-elle aux données des salariés ?
Rarement : la gestion RH repose sur le contrat de travail, mais une large part des données (paie, déclarations) relève d’obligations légales exclues du périmètre. Le bulletin de paie dématérialisé répond déjà à un besoin similaire.
Peut-on facturer l’export ?
Non, sauf demande manifestement excessive ou répétitive, auquel cas des frais raisonnables sont admis.
Préparer vos exports
Pour les éditeurs et les services en ligne, l’export de portabilité fait partie de notre accompagnement privacy by design ; pour les autres entreprises, il entre dans la procédure de réponse aux droits livrée par l’audit RGPD.
📦 Cette demande de portabilité est-elle recevable ?
Sources
- Règlement (UE) 2016/679
- CNIL – Le droit à la portabilité
- CEPD – Lignes directrices sur le droit à la portabilité (WP 242)
