Portabilité des données : en quoi consiste ce droit ?

La portabilité est le droit le moins connu du RGPD, et souvent le plus mal compris. Il ne s'agit pas d'une variante du droit d'accès : son objectif est différent. Il vise à éviter qu'une personne reste prisonnière d'un service parce que ses données y sont enfermées. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Quelles données sont concernées ?

Trois conditions doivent être réunies en même temps. Si l'une manque, la demande relève du droit d'accès et non de la portabilité.

1. La personne vous a fourni les données, activement ou par l'usage du service : ce qu'elle a saisi dans un formulaire, ses commandes, son historique de connexion.
2. Le traitement repose sur son consentement ou sur un contrat. Un traitement fondé sur une obligation légale ou sur l'intérêt légitime en est exclu.
3. Le traitement est automatisé. Un dossier papier n'est pas visé.

Restent en dehors du périmètre les données que vous avez produites : un score attribué, une catégorie commerciale déduite du comportement d'achat, une note interne rédigée par un conseiller. Ces éléments figurent en revanche dans une demande d'accès.

Portabilité ou droit d'accès : la différence

Quel format fournir ?

Le règlement ne nomme aucun format précis. Il demande un fichier structuré, c'est-à-dire organisé en champs identifiables, couramment utilisé et lisible par une machine. En pratique, les formats tabulaires ouverts et les formats d'échange de données répondent à ces critères. Un document de traitement de texte ou une capture d'écran ne conviennent pas : ils ne se réimportent nulle part.

Quelques précautions utiles :

• nommez les colonnes en clair plutôt qu'avec vos codes internes ;
• joignez une note expliquant ce que contient chaque champ ;
• encodez le fichier de façon à préserver les accents ;
• transmettez par un canal sûr, surtout si les données sont sensibles.

Organiser la réponse sans tout reconstruire

1. Repérez les traitements concernés à partir de votre registre : espace client, commandes, inscription à une lettre d'information.
2. Vérifiez la base légale de chacun : seuls le consentement et le contrat ouvrent la portabilité.
3. Regardez si vos outils proposent déjà un export. Beaucoup de logiciels en intègrent un, parfois sous un autre nom.
4. Documentez la procédure pour qu'elle ne dépende pas d'une personne en particulier.
5. Retirez les données concernant des tiers avant l'envoi, comme pour une demande d'accès.
6. Tracez la demande et la date de la réponse.

Les points de vigilance

• Portabilité n'est pas effacement : fournir une copie ne vous oblige pas à supprimer vos données. Si la personne veut les deux, elle doit le demander.
• Les données d'autres personnes présentes dans un échange ou un carnet d'adresses ne doivent pas être livrées telles quelles.
• La transmission directe vers un concurrent est prévue quand elle est techniquement réalisable : le règlement n'impose pas de développer une passerelle pour l'occasion.
• Les délais sont ceux applicables aux autres droits : la CNIL les rappelle sur son site.

Selon les cas, la frontière entre données fournies et données déduites demande un examen attentif : appuyez-vous sur les publications de la CNIL. NexSecure peut préparer ces exports dans vos outils dans le cadre de son offre de conformité RGPD, en cohérence avec les autres obligations RGPD de votre site.