Comment récupérer ses données grâce au droit à la portabilité ?

Un droit pensé pour changer de service

Le droit à la portabilité, créé par l'article 20 du RGPD, permet à une personne de recevoir les données qu'elle a fournies à un organisme, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre organisme sans que le premier puisse y faire obstacle. Il vise à renforcer le contrôle des personnes sur leurs données et à faciliter la concurrence, en évitant d'être enfermé chez un fournisseur faute de pouvoir emporter son historique : liste de lecture musicale, contacts, historique de consommation électrique, données d'activité sportive.

Les trois conditions

Le droit à la portabilité ne s'applique que si trois conditions sont réunies. Le traitement doit reposer sur le consentement de la personne ou sur un contrat ; il est exclu pour les traitements fondés sur l'intérêt légitime, une obligation légale ou une mission d'intérêt public. Le traitement doit être effectué à l'aide de procédés automatisés, ce qui exclut les dossiers papier. Enfin, les données doivent concerner la personne et avoir été fournies par elle.

Quelles données sont « fournies » ?

Selon les lignes directrices adoptées par le groupe de l'article 29 en 2017, les données fournies comprennent celles que la personne a sciemment communiquées (formulaire d'inscription, adresse, préférences) mais aussi celles qui résultent de l'observation de son activité : historique d'achats, données de géolocalisation, mesures d'un objet connecté, historique de navigation sur le service. En revanche, les données déduites ou dérivées par l'organisme (score, segment marketing, profil de risque) ne relèvent pas de la portabilité, même si elles restent accessibles par le droit d'accès.

Le format de restitution

Les données doivent être remises dans un format structuré, couramment utilisé et lisible par machine, comme le CSV, le JSON ou le XML, accompagné des métadonnées utiles à leur compréhension. Un PDF ou une capture d'écran ne répondent pas à cette exigence, puisqu'ils ne permettent pas une réutilisation automatisée. L'organisme n'est pas tenu d'adopter un format compatible avec celui d'un concurrent, mais il doit privilégier les standards ouverts. La personne peut aussi demander que les données soient transmises directement d'un organisme à un autre, lorsque c'est techniquement possible.

Portabilité et droit d'accès : quelles différences ?

Les deux droits se ressemblent mais poursuivent des objectifs différents. Le droit d'accès permet de savoir et de comprendre : il couvre toutes les données, quelle que soit la base légale, et s'accompagne d'informations sur le traitement. La portabilité permet de réutiliser : elle est plus étroite mais impose un format exploitable par une machine. La portabilité n'entraîne pas l'effacement des données chez le premier organisme ; si la personne le souhaite, elle doit exercer en parallèle son droit à l'effacement.

Les limites

La portabilité ne doit pas porter atteinte aux droits et libertés de tiers. Les données d'autres personnes figurant dans les données transmises, comme les contacts d'un carnet d'adresses ou les correspondants d'une messagerie, ne doivent être réutilisées par le nouvel organisme que pour le service rendu à la personne, et non à ses propres fins. L'organisme récepteur n'est pas obligé d'accepter les données et ne doit conserver que celles qui sont nécessaires à son service. Des législations sectorielles, comme le règlement européen sur les données (Data Act) applicable depuis septembre 2025 pour les produits connectés, complètent désormais ce droit dans certains domaines.

Exercer son droit

De nombreux services proposent un outil d'export dans les paramètres du compte, souvent intitulé « télécharger mes données ». À défaut, la demande se fait comme les autres demandes d'exercice des droits, auprès du responsable ou de son délégué à la protection des données, qui doit répondre dans un délai d'un mois. Les règles communes sont présentées dans le guide des droits des personnes.

Le droit à la portabilité en quelques exemples

Le droit à la portabilité, prévu à l'article 20, permet à une personne de récupérer les données qu'elle a fournies à un organisme, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre organisme, ou de demander leur transmission directe lorsque c'est techniquement possible. Un utilisateur d'un service de musique en ligne peut ainsi récupérer ses listes de lecture pour les importer chez un concurrent. Un client d'un fournisseur d'énergie peut récupérer ses données de consommation pour comparer les offres. Un utilisateur d'une application de course à pied peut exporter l'historique de ses parcours vers une autre application. Un utilisateur d'un service de messagerie électronique peut récupérer ses contacts et ses messages. Dans chaque cas, la portabilité vise à faciliter le changement de prestataire et à renforcer la maîtrise des personnes sur leurs données.

Les lignes directrices européennes

Les lignes directrices sur le droit à la portabilité, adoptées en 2017 par le groupe de l'article 29 et reprises par le CEPD, précisent la notion de données fournies par la personne. Elles couvrent les données fournies activement et sciemment, comme le nom, l'adresse ou les contenus publiés, mais aussi les données observées, générées par l'activité de la personne sur le service ou par l'utilisation d'un appareil : historique de recherche, données de localisation, données brutes d'un objet connecté, historique d'achats. Elles excluent en revanche les données inférées ou dérivées, créées par le responsable à partir des données fournies, comme un score de crédit, un profil marketing ou les résultats d'une analyse algorithmique. Cette distinction est essentielle pour délimiter ce qui doit être transmis.

Les formats adaptés

Le format de restitution doit être structuré, couramment utilisé et lisible par machine. Les formats CSV, JSON ou XML conviennent dans la plupart des cas, accompagnés d'une documentation qui explique la signification des champs. Un document PDF ou une capture d'écran ne remplissent pas cette condition, car ils ne permettent pas une réutilisation automatique. Pour certains secteurs, des formats standardisés existent ou sont en cours d'élaboration, comme les formats d'échange des données de santé ou des données bancaires, ce qui facilite l'interopérabilité entre prestataires. Le RGPD n'impose pas aux responsables d'adopter des systèmes techniquement compatibles, mais encourage l'interopérabilité.

La transmission directe entre organismes

La personne peut demander que ses données soient transmises directement d'un organisme à un autre, lorsque cela est techniquement possible. Cette transmission directe suppose des interfaces de programmation ou des mécanismes d'échange sécurisés. Plusieurs grands acteurs du numérique ont lancé en 2018 le Data Transfer Project, un projet open source destiné à faciliter ces transferts entre services. Le règlement sur les marchés numériques impose par ailleurs aux contrôleurs d'accès de fournir une portabilité effective, continue et en temps réel des données générées par l'utilisation de leurs services. Dans le secteur bancaire, la directive sur les services de paiement permet déjà aux clients d'autoriser des prestataires tiers à accéder à leurs comptes.

Les responsabilités de chacun

L'organisme qui transmet les données n'est pas responsable de leur traitement ultérieur par le destinataire. Il doit cependant s'assurer de transmettre les données de façon sécurisée, à la bonne personne ou au bon destinataire. L'organisme qui reçoit les données devient responsable de leur traitement et doit vérifier qu'elles sont pertinentes et non excessives au regard de la finalité de son propre service. Il ne doit pas conserver des données inutiles transmises dans le lot, en particulier celles qui concernent des tiers, comme les contacts figurant dans une messagerie, qu'il ne peut utiliser que dans le cadre du service demandé par la personne.

Portabilité et droit d'accès : bien les distinguer

La portabilité et le droit d'accès poursuivent des objectifs différents. Le droit d'accès permet de savoir quelles données sont traitées et de comprendre le traitement ; il s'applique quelle que soit la base légale et couvre toutes les données, y compris les données inférées, ainsi que les informations sur le traitement. La portabilité permet de récupérer ses données pour les réutiliser ailleurs ; elle ne s'applique qu'aux traitements automatisés fondés sur le consentement ou le contrat, ne couvre que les données fournies par la personne et impose un format réutilisable. Une même demande peut cependant combiner les deux droits : la personne obtient alors, d'une part, une copie complète accompagnée des informations sur le traitement, d'autre part, un fichier exploitable des données fournies.

Les droits des tiers

La portabilité ne doit pas porter atteinte aux droits et libertés de tiers (article 20, paragraphe 4). Lorsqu'un jeu de données contient des informations sur d'autres personnes, comme les contacts d'un carnet d'adresses, les participants d'une conversation ou les personnes identifiées sur des photos, leur transmission doit être examinée. Les lignes directrices admettent que ces données puissent être transmises lorsque le nouveau service les utilise uniquement pour l'usage personnel de la personne, par exemple pour reconstituer son carnet d'adresses, et non pour démarcher les contacts. Le nouvel organisme ne peut pas les utiliser pour ses propres finalités, comme enrichir sa base de prospects.

Organiser la portabilité dans un service en ligne

Pour répondre efficacement aux demandes, un éditeur de service en ligne a intérêt à proposer une fonction d'export dans l'espace utilisateur, qui génère une archive téléchargeable des données fournies dans un format standard. Cette fonction réduit la charge de traitement manuel, garantit un délai de réponse court et satisfait l'utilisateur. Elle doit être sécurisée, par exemple en exigeant une authentification récente et en envoyant le lien de téléchargement à l'adresse électronique du compte. Pour les petites structures qui reçoivent rarement de telles demandes, un export manuel depuis le logiciel de gestion, au format tableur, suffit généralement.

Portabilité, règlement sur les données et marchés numériques

Le droit à la portabilité du RGPD est complété par d'autres textes européens. Le règlement sur les données, applicable depuis septembre 2025, permet aux utilisateurs de produits connectés et de services associés d'accéder aux données générées par leur utilisation et de les partager avec des tiers de leur choix, y compris des données non personnelles. Il impose aussi aux fournisseurs de services d'informatique en nuage de faciliter le changement de prestataire et de supprimer progressivement les frais de changement. Le règlement sur les marchés numériques impose aux contrôleurs d'accès une portabilité effective et continue. Ces textes s'inscrivent dans une même logique : réduire l'enfermement des utilisateurs et stimuler la concurrence.

Les limites à connaître

La portabilité connaît plusieurs limites. Elle ne s'applique pas aux traitements nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, ce qui exclut la plupart des traitements des administrations. Elle ne s'applique pas aux traitements fondés sur l'intérêt légitime ou sur une obligation légale. Elle ne vaut pas pour les fichiers papier. Elle ne s'étend pas aux données inférées. Elle n'impose pas au responsable de conserver les données plus longtemps que nécessaire dans le seul but de pouvoir répondre à une éventuelle demande. Elle n'emporte pas l'effacement automatique des données chez l'organisme d'origine : si la personne souhaite quitter le service et faire supprimer ses données, elle doit aussi exercer son droit à l'effacement ou clôturer son compte.

Délai et gratuité

Comme pour les autres droits, l'organisme dispose d'un mois pour répondre, prolongeable de deux mois en cas de complexité, et la réponse est gratuite. Il ne peut pas facturer la génération de l'export ni la transmission directe vers un autre organisme, sauf demande manifestement infondée ou excessive. En cas de refus, il doit en indiquer les motifs, par exemple l'absence de traitement fondé sur le consentement ou le contrat, et rappeler la possibilité de saisir la CNIL. Lorsque la demande ne relève pas de la portabilité mais du droit d'accès, il est de bonne pratique de la traiter sur ce fondement plutôt que de la rejeter.

Un droit encore peu utilisé

Malgré son intérêt, le droit à la portabilité reste moins utilisé que le droit d'accès ou d'effacement. Les études menées par les autorités de protection des données montrent qu'il est méconnu du public et que les formats proposés ne permettent pas toujours une réutilisation facile. Les nouveaux règlements européens sur les données et les marchés numériques devraient lui donner un nouvel élan, en imposant des mécanismes de transfert continus et standardisés. Pour les organismes, anticiper ces évolutions en proposant des exports de qualité constitue un avantage, à la fois en termes de conformité et d'image.

Portabilité dans la relation de travail

Dans le cadre du travail, la portabilité a une portée limitée, car la plupart des traitements de ressources humaines reposent sur des obligations légales ou sur l'intérêt légitime. Elle peut toutefois s'appliquer aux traitements fondés sur le contrat de travail, par exemple pour les données fournies par le salarié dans un outil de gestion des temps ou dans un portail de formation. Un salarié qui quitte l'entreprise peut ainsi demander un export de son historique de formation ou de ses demandes de congés, dans un format réutilisable. Les données produites par l'employeur, comme les évaluations, n'entrent pas dans le champ de la portabilité, mais restent accessibles par le droit d'accès.

Portabilité et sécurité

Le transfert de données à la demande d'une personne crée un risque de détournement si un tiers parvient à se faire passer pour elle. L'organisme doit donc vérifier l'identité du demandeur avec soin, en particulier pour les exports volumineux ou sensibles, et privilégier des canaux sécurisés : téléchargement depuis un espace authentifié, lien à durée limitée, chiffrement de l'archive. En cas de transmission directe à un autre organisme, il doit s'assurer que la demande émane bien de la personne et que le destinataire est correctement identifié. Une archive de données envoyée par courriel non chiffré à une adresse non vérifiée pourrait constituer une violation de données.

Modèle de demande de portabilité

Une demande de portabilité peut se formuler ainsi : « En application de l'article 20 du RGPD, je vous demande de me transmettre, dans un format structuré, couramment utilisé et lisible par machine, l'ensemble des données personnelles me concernant que je vous ai fournies, y compris les données relatives à mon utilisation du service. » Si la personne souhaite une transmission directe, elle ajoute : « Je vous demande de transmettre directement ces données à [nom de l'organisme destinataire], à l'adresse suivante [contact]. » La réponse doit intervenir dans le délai d'un mois. Il est conseillé de vérifier, avant la demande, si le service propose déjà une fonction d'export dans les paramètres du compte, souvent plus rapide. Pour l'organisme, un export propre et documenté est aussi un argument commercial : il rassure les clients sur leur liberté de partir.