Le droit à la portabilité des données
→ Article mis à jour en juin 2026
Le règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, a notamment pour objectif de renforcer les droits des individus concernant leurs données personnelles.
Si le droit à l’information, les droits d’accès, ou encore de rectification concernant les données personnelles préexistaient dans le cadre de la loi nᵒ 78-17 du 6 janvier 1978 dite loi « Informatique et Libertés », le droit à la portabilité des données est l’une des nouveautés majeures du RGPD.
A noter que ce droit avait d’ores et déjà été consacré en France, en 2016, dans le domaine du droit de la consommation (anciens articles L.224-42-1 et suivants du Code de la consommation - abrogés par la loi n°2018-493 du 20 juin 2018 - aujourd'hui c'est l'article 55 de la loi nᵒ 78-17 du 6 janvier 1978 dite loi « Informatique et Libertés » qui effectue un renvoi aux dispositions du RGPD relatives à la portabilité).
Ce droit existait également partiellement dans certains secteurs d’activité, comme la téléphonie avec l’obligation pour les opérateurs téléphoniques d’assurer la portabilité des numéros de téléphone des clients depuis le 1er juillet 2003 (le processus ayant été simplifiée en 2007 avec la mise en place d’un guichet unique) ou encore, dans le secteur bancaire avec l’apparition de la mobilité bancaire en 2004 et son renforcement en 2017.
Le droit à la portabilité permet de rééquilibrer les relations entre les consommateurs et les fournisseurs de service, en définissant les consommateurs comme de véritables acteurs de la gestion de leurs données personnelles. Il permet également de renforcer la concurrence entre les différents responsables de traitement, facilitant la transmission des données entre les différents acteurs économiques.
Un responsable de traitement est la personne morale ou physique qui détermine les finalités et les moyens d’un traitement de données personnelles, c’est-à-dire l’objectif et la façon de le réaliser. Dans ce contexte, le fournisseur de service est souvent identifié comme responsable de traitement.
Le droit à la portabilité continue de faire l’objet de précisions doctrinales et réglementaires, à mesure que les responsables de traitement en affinent la mise en œuvre opérationnelle.
Cet article a pour objectif de définir le champ d’application ainsi que les objectifs du droit à la portabilité des données (1) mais également de préciser les modalités pratiques de gestion de celui-ci (2).
1. Champ d’application et enjeux du droit à la portabilité des données
Le droit à la portabilité des données est défini à l’article 20 du RGPD (article 20 du règlement général sur la protection des données n°2016/679 dit RGPD), il permet à une personne physique de :
Recevoir une copie, dans un format structuré et lisible par une machine, des données personnelles la concernant traitées par un responsable de traitement ;
Faire transmettre directement par un responsable de traitement, les données la concernant, à un autre responsable de traitement.
1.1. Le champ d’application du droit à la portabilité des données
Le droit à la portabilité est défini par le RGPD comme « le droit [pour les personnes concernées] de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et […] le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle. »
Les acteurs du droit à la portabilité
L’ensemble des responsables de traitement soumis au RGPD sont soumis au respect du droit à la portabilité des données. L’ensemble des acteurs économiques situés au sein ou à l’extérieur de l’Union européenne et traitant de données de résidents européens sont donc concernés.
Dans l’hypothèse où les données concernées par ce droit à la portabilité sont détenues par un sous-traitant du responsable de traitement, celui-ci doit, conformément aux obligations du sous-traitant définies à l’article 28 du RGPD, aider le responsable de traitement à répondre à cette demande de droit. Les modalités d’assistance doivent être définies contractuellement dans le cadre de la formalisation du contrat de sous-traitance.
Les données concernées par ce droit
L’applicabilité de ce droit est soumise à deux conditions cumulatives :
Les données concernées doivent avoir été traitées dans le cadre d’un traitement soumis au consentement de la personne physique ou dans le cadre de l’exécution d’un contrat ;
Les données concernées doivent être traitées par un procédé automatisé. Les données personnelles traitées et/ou stockées en format papier ne sont donc pas concernées par ce droit.
Ce droit est applicable aux données personnelles transmises par la personne concernée au responsable de traitement, et correspondent par exemple aux données transmises lors de l’inscription d’un individu à un service en ligne (données d’identification, de contact, etc.) mais également aux données générées par l’activité de la personne concernée (liste des achats réalisés, historique enregistré sur une carte de fidélité, etc.).
L’ensemble des données produites par le responsable de traitement telles que les données dérivées ou calculées à partir des données « brutes » collectées sont exclues de ce droit (ciblage marketing, recommandation liée à un dossier, etc.).
Dans l’hypothèse où l’ensemble des données transmises par la personne concernée contient des données liées à des tiers (par exemple, les informations personnelles concernant les proches d’un individu), ces données peuvent être transmises à un autre responsable de traitement dans le cadre du droit à la portabilité. Cependant, afin de respecter les droits des tiers, ces données ne pourront donc pas être réutilisées par le nouveau responsable de traitement pour une autre finalité de traitement comme la prospection commerciale.
1.2. Garantir la libre circulation des données et la libre concurrence entre les prestataires de service
Dans ses lignes directrices concernant le droit à la portabilité, le G29 atteste que « le nouveau droit à la portabilité des données vise à responsabiliser les personnes concernées au sujet de leurs données à caractère personnel, car il facilite leur capacité à déplacer, à copier ou à transmettre facilement des données à caractère personnel d’un environnement informatique vers un autre ».
Le droit à la portabilité permet in fine de limiter les freins liés à la transmission des données au sein de l’espace économique européen (EEE) ou entre les fournisseurs de service.
Ce droit peut être applicable dans de nombreux secteurs d’activités. Il peut notamment faciliter les changements de prestataires : par exemple dans le cadre des services de vidéo ou de musique en ligne, le prestataire initial doit pouvoir transmettre, dans une version lisible et réutilisable, la liste des films visionnés ou titres musicaux écoutés, à un autre prestataire de vidéo ou de musique en ligne afin que ce nouveau prestataire puisse adapter les recommandations proposées.
Par ailleurs, ce droit est particulièrement structurant dans le secteur de la santé. En effet, le règlement UE 2025/327 relatif à l’Espace européen des données de santé (EHDS), entré en vigueur le 26 mars 2025, renforce le droit à la portabilité au-delà de ce que prévoit le RGPD : il l'étend à toutes les bases légales de traitement (et non plus seulement au consentement ou au contrat) et couvre également les données observées par le professionnel de santé (comme une image de radiographie) et les données inférées (comme un diagnostic), qui sont exclues du périmètre de la portabilité au sens du RGPD. Son application est toutefois progressive et s’étend jusqu’en 2031, la portabilité des dossiers patients étant effective dès 2027.
Au-delà de ce secteur, le règlement (UE) 2023/2854 dit Data Act, introduit une logique de portabilité étendue aux données non personnelles générées par les objets connectés (IoT) et les services cloud. Ce texte complète le RGPD sans s'y substituer : l'article 1(5) du Data Act prévoit expressément la primauté du RGPD pour tout ce qui concerne les données à caractère personnel.
Le droit à la portabilité donne donc aux utilisateurs la liberté de changer de prestataire sans subir les coûts indirects liés à ce changement (perte de l’historique, temps nécessaires aux changements de prestataires, etc.).
2. Modalités pratiques de gestion du droit à la portabilité des données
Conformément à l’article 12 du RGPD (article 12 du règlement général sur la protection des données n°2016/679 dit RGPD), le responsable de traitement dispose d’un mois calendaire pour répondre à une demande de droit. Ce délai peut être allongé de deux mois supplémentaires en cas de demande complexe.
Afin de pouvoir respecter ce délai, plusieurs fonctionnalités peuvent être proposées par les responsables de traitement.
2.1. Modalités pratiques de réponse à une demande de droit à la portabilité
Voici la procédure à suivre pour répondre à une demande de droit à la portabilité :
Les étapes de ce schéma sont décrites textuellement ci-après.
Le responsable de traitement doit informer l’individu des modalités pratiques à suivre afin d’exercer ce droit. Cette information peut être délivrée soit dans les clauses contractuelles existantes entre cet individu et le responsable de traitement, soit dans la politique de protection des données du responsable de traitement mise à disposition des personnes concernées, par exemple, sur son site internet.
Vérification de l’identité du demandeur et de la conformité de la demande
Une fois la demande reçue, une vérification de l’identité du demandeur doit être effectuée afin d’éviter notamment les usurpations d’identité. Pour autant, le responsable de traitement ne peut demander une copie d’un justificatif d’identité (carte d’identité, passeport) uniquement dans le cas où un doute raisonnable subsiste. Il est donc recommandé aux responsables de traitement de vérifier l’identité du demandeur en enregistrant les demandes de droit via un compte utilisateur ou en contrôlant un numéro client, un numéro de commande ou de devis.
A la suite de l’identification du demandeur, un contrôle doit être réalisé afin de s’assurer que les données concernées par la demande répondent bien aux exigences du droit à la portabilité et qu’elles ont bien été collectées directement auprès de l’individu dans le cadre d’un traitement soumis au consentement ou lié à l’exécution d’un contrat.
Traitement de la demande de portabilité
La personne en charge de la gestion des demandes de droit (en général, le délégué à la protection des données ou DPO), enregistre la demande de droit dans le registre de suivi des demandes de droit.
Le DPO identifie, grâce au registre des activités de traitement, où sont stockées les données personnelles demandées et se rapproche des services et sous-traitants concernés afin qu’ils lui transmettent les données demandées dans un laps de temps suffisamment court pour pouvoir répondre au demandeur dans les temps impartis.
Transmission des données demandées
Le délégué à la protection des données vérifie que les données transmises par les autres services correspondent bien à l’ensemble des données demandées par l’individu. Le DPO les transmet ensuite, dans une version lisible par une machine, soit directement au demandeur, soit à un autre responsable de traitement désigné par le demandeur. Pour rappel, le droit à la portabilité ne concerne pas les données en format papier, cette transmission sera donc réalisée uniquement en format électronique.
Clôture de la demande
Le délégué à la protection des données clôture alors la demande et enregistre, dans son registre de suivi des demandes de droit, la date de réponse à cette demande.
2.2. Dispositif à mettre en œuvre facilitant le traitement des demandes de droit à la portabilité
Si, en tant que responsable de traitement, vous souhaitez optimiser les temps de traitement liés à la gestion des demandes de droit à la portabilité, des solutions sont envisageables.
La réception d’une copie des données
Dans le cadre des demandes des personnes concernées qui souhaitent recevoir une copie de leurs données, dans un format structuré et lisible par une machine, il est possible de mettre en place un moyen pour l’individu de télécharger ses données directement depuis une plateforme en ligne. Ce moyen peut être mis en place sur un espace client nécessitant une authentification par exemple.
Plusieurs responsables de traitement ont mis en œuvre cette faculté, on peut notamment citer Meta (Facebook, Instagram) qui permet à ses utilisateurs de télécharger l’ensemble des données qu’ils ont transmis depuis les paramètres de leur compte ou encore Google Takeout qui permet d’exporter ses données depuis l’ensemble des services Google dans des formats structurés.
La transmission des données à un autre responsable de traitement
Dans le cadre des demandes des personnes concernées qui souhaitent que le responsable de traitement transmette leurs données à un autre responsable de traitement, il est possible de mettre à disposition une interface de programmation d’application (API) permettant de connecter les outils de plusieurs responsables de traitement. Attention, seuls les tiers habilités pourront alors utiliser cette API.
Si nous reprenons l’exemple de Meta, depuis les paramètres du compte via l’outil « Transfer Your Information », les individus peuvent transférer leurs photos et vidéos, vers Google Photos, DropBox, et leurs publications et notes vers Google Docs ou WordPress.com.
Plusieurs années après l’entrée en application du règlement général sur la protection des données, le droit à la portabilité tarde à s’appliquer de façon généralisée. En effet, la problématique d’utilisation d’un format identique entre les différents responsables de traitement d’un même secteur d’activité se pose. De plus, certains fournisseurs de service peuvent être réticents à faciliter l’applicabilité de ce droit, de peur de perdre des parts de marché.
Notons cependant que les textes sectoriels récents (Data Act, EHDS) apportent des réponses concrètes à ces difficultés en imposant des formats standardisés et des interfaces interopérables dans leurs domaines respectifs.
Le droit à la portabilité, un article parmi d'autres obligations RGPD à maîtriser
Le droit à la portabilité n'est qu'une des multiples exigences du RGPD que votre organisation doit savoir anticiper et opérationnaliser. Entre gestion des droits des personnes concernées, cartographie des traitements et documentation de conformité, la marge d'erreur est faible.
La Robe Numérique vous accompagne à chaque étape :
Audit RGPD : un état des lieux complet de votre conformité, incluant votre gestion des droits des personnes concernées
Appui DPO : un renfort ponctuel ou récurrent pour votre délégué à la protection des données
DPO externalisé : une expertise juridique et opérationnelle dédiée, sans les coûts d'un recrutement interne
Autrices : Justine Cabanis, DPO certifiée, et Caroline Demangeon, avocate.