Changer de plateforme, de logiciel ou de prestataire suppose souvent de repartir de zéro : historique, contacts, contenus déposés et données d’activité restent chez le service que l’on quitte. Le droit à la portabilité des données RGPD répond à cette difficulté précise. Il permet à une personne de recevoir les données qu’elle a fournies à un responsable du traitement, dans un format exploitable par une machine, puis de les transmettre à un autre responsable. La saisie « droit à la portabilité des données rgpd » recouvre toutefois des attentes très différentes : télécharger une copie lisible, obtenir un fichier réimportable ailleurs, ou contraindre un organisme qui refuse, répond par un document inexploitable ou ne répond pas. Ces trois demandes ne relèvent pas du même fondement. La portabilité a des conditions strictes, tenant à la base du traitement et à son caractère automatisé. Le droit d’accès, plus large, peut prendre le relais lorsque ces conditions manquent. Les développements qui suivent distinguent les données réellement portables, le format exigible et la transmission directe entre organismes, puis la démarche à construire, les délais de réponse et les voies ouvertes en cas de refus, devant la CNIL comme devant le juge. Pour replacer ce droit parmi les autres démarches de maîtrise de ses informations, l’article consacré à la protection des données personnelles sur internet offre une vue d’ensemble qui ne remplace pas l’analyse du traitement concerné.
I. Ce que le droit à la portabilité permet d’obtenir, et ce qu’il ne couvre pas
A. Des données fournies par la personne, traitées sur le consentement ou le contrat, par des procédés automatisés
La notion de départ est celle de donnée à caractère personnel. L’article 4, point 1, du règlement (UE) 2016/679 vise toute information se rapportant à une personne physique identifiée ou identifiable. Un nom, une adresse électronique ou un historique de compte rattaché à un identifiant entrent dans cette définition. La portabilité ne porte cependant pas sur toutes les données personnelles détenues par un organisme. L’article 20, paragraphe 1, du RGPD reconnaît aux personnes concernées le droit de recevoir les données personnelles les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, ainsi que le droit de transmettre ces données à un autre responsable sans que le premier responsable y fasse obstacle. Le texte pose ensuite deux conditions cumulatives : le traitement doit être fondé sur le consentement ou sur un contrat, et il doit être effectué à l’aide de procédés automatisés (article 20, paragraphe 1, points a) et b)).
En droit français, l’article 55 de la loi n° 78-17 du 6 janvier 1978 prévoit que le droit à la portabilité des données s’exerce dans les conditions prévues à l’article 20 du règlement (UE) 2016/679 du 27 avril 2016. Ce renvoi ne crée pas de conditions nationales supplémentaires : il rattache l’exercice du droit, pour les traitements relevant de la loi française, aux conditions européennes qui viennent d’être décrites.
La première condition écarte une partie importante des fichiers du quotidien. Un traitement fondé sur une obligation légale, sur une mission d’intérêt public ou sur l’intérêt légitime du responsable n’ouvre pas, par lui-même, le droit à la portabilité. L’article 20, paragraphe 3, ajoute que ce droit ne s’applique pas au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement (article 20, paragraphe 3). Une déclaration fiscale, un fichier de paie alimenté pour satisfaire des obligations légales ou un traitement administratif exercé au titre d’une mission de service public ne se demandent donc pas au titre de la portabilité, même si la personne a elle-même rempli les formulaires. La base juridique du traitement se vérifie dans la notice d’information remise lors de la collecte, dans la politique de confidentialité ou dans le contrat. Lorsque plusieurs finalités coexistent pour un même compte, il est utile de distinguer les traitements : les données d’un espace client utilisées pour exécuter le contrat peuvent être portables, alors qu’une conservation comptable imposée par un texte relève d’un autre régime.
La seconde condition, le procédé automatisé, exclut les fichiers purement papier. Elle paraît simple, mais elle impose de décrire le système concerné : application, espace client, logiciel en ligne, plateforme de vente ou service de stockage. La CNIL résume ces limites dans sa fiche sur le droit à la portabilité : le droit permet de récupérer les données fournies à une plateforme, pour un usage personnel ou pour les transmettre à un tiers de son choix, et seules les données recueillies avec l’accord de la personne ou dans le cadre d’un contrat sont concernées. La même fiche donne des exemples de données déclarées, comme les coordonnées, et de données tirées de l’activité de la personne, comme un historique d’achat ou les mesures enregistrées par un objet connecté. Cette présentation pédagogique aide à formuler la demande ; la qualification reste gouvernée par l’article 20 et par les documents du traitement réel.
Reste la catégorie la plus discutée : les données que l’organisme a lui-même produites à partir de celles de la personne. La CNIL indique, dans la même fiche, que les données dérivées, calculées ou inférées ne sont pas concernées par la portabilité, et cite la note attribuée par d’autres utilisateurs sur un site de vente, la catégorisation marketing, une simulation de prêt ou un résultat d’analyse de risque de crédit. La distinction est déterminante en pratique. L’historique des commandes qu’une personne a passées peut être portable ; le segment commercial que le vendeur en a déduit ne l’est pas. Les relevés bruts d’un capteur peuvent être portables ; le score calculé par le service ne l’est pas nécessairement. Une demande efficace sépare donc, ligne par ligne, ce qui a été fourni — saisi, déposé, généré par l’activité de la personne dans le service — et ce qui a été produit par l’organisme. Cette séparation évite deux écueils symétriques : réclamer en portabilité des données qui relèvent d’un autre droit, et accepter un refus global alors qu’une partie au moins des données remplit les conditions de l’article 20.
En droit français, l’article 49 de la loi n° 78-17 du 6 janvier 1978 prévoit de même que le droit d’accès s’exerce dans les conditions de l’article 15 du règlement et ajoute qu’en cas de risque de dissimulation ou de disparition des données, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. Le droit d’accès prend le relais lorsque la portabilité s’arrête. L’article 15, paragraphe 1, du RGPD donne à la personne le droit d’obtenir la confirmation que des données la concernant sont traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’à une série d’informations, notamment les finalités, les catégories de données et les destinataires. L’article 15, paragraphe 3, ajoute que le responsable du traitement fournit une copie des données personnelles faisant l’objet d’un traitement (article 15, paragraphe 3). La CNIL souligne cette complémentarité dans sa fiche portabilité : une donnée non portable, comme une analyse de risque bancaire, reste susceptible d’être remise dans un format lisible par un humain au titre du droit d’accès. La cour d’appel de Paris a rappelé l’étendue de cette copie d’accès dans un arrêt du 25 juin 2024, en relevant que la Cour de justice a jugé que le droit d’obtenir une copie « implique qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données », y compris, lorsque c’est indispensable, des extraits de documents ou de bases de données, en tenant compte des droits d’autrui (CA Paris, pôle 1, ch. 3, 25 juin 2024, RG n° 23/18268, citant CJUE, 4 mai 2023, C-487/21). La même décision rapporte que l’obligation de fournir une première copie s’impose au responsable même lorsque la demande poursuit un but étranger à la vérification de la licéité du traitement, selon l’arrêt CJUE du 26 octobre 2023, C-307/22, cité par la cour. Ces solutions concernent l’article 15, non l’article 20 : elles ne transforment pas toute copie d’accès en export portable, mais elles montrent qu’un refus de portabilité ne clôt pas le dossier si une copie lisible peut être obtenue par l’accès.
B. Un format structuré et lisible par machine, une transmission directe possible, et des limites tenant aux tiers et à l’effacement
La portabilité se distingue de l’accès par la forme de la remise. Recevoir un document lisible ne suffit pas : l’article 20, paragraphe 1, exige un format structuré, couramment utilisé et lisible par machine (article 20). La CNIL explique, dans sa fiche dédiée, que l’organisme doit proposer des formats adaptés au type de données en privilégiant des formats ouverts et interopérables, cite le format vCard pour les contacts et le JSON pour des données de localisation, et relève que des formats ouverts comme le CSV ou le JSON seront dans de nombreux cas adaptés. Elle ajoute qu’un format difficile à traiter, comme une image ou un PDF, ou un format propriétaire supposant l’achat d’un logiciel ou d’une licence, ne sera a priori pas adapté. En pratique, le litige porte rarement sur le principe du droit et presque toujours sur ce point : l’organisme remet une capture, un document figé ou un export incomplet, là où la personne attendait un fichier réimportable. La demande doit donc nommer le format souhaité lorsqu’un standard du secteur existe, décrire l’usage prévu — réimport dans un service identifié, conservation personnelle — et demander, si le format proposé diffère, les raisons techniques du choix retenu.
L’article 20, paragraphe 2, va plus loin que la remise à la personne : celle-ci a le droit d’obtenir que les données personnelles soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible (article 20, paragraphe 2). La condition de possibilité technique est le cœur de cette transmission directe. La CNIL précise, dans sa fiche, que si l’organisme refuse de réaliser cette transmission directe, il doit expliquer en quoi le transfert est techniquement impossible. Un refus formulé sans aucune explication technique — absence d’interface, incompatibilité des formats, impossibilité d’identification sécurisée du destinataire — ne permet pas de vérifier la condition posée par le texte. Il faut donc demander une réponse écrite identifiant l’obstacle, puis contrôler si cet obstacle tient réellement à la technique ou à un choix d’organisation. Lorsque la transmission directe est impossible, la remise des données à la personne elle-même, dans le format requis, reste due si les conditions du paragraphe 1 sont réunies : l’échec du canal direct n’éteint pas le droit de recevoir les données.
Deux limites encadrent enfin l’exercice. La première tient aux tiers : l’article 20, paragraphe 4, prévoit que le droit à la portabilité ne porte pas atteinte aux droits et libertés de tiers (article 20, paragraphe 4). Un carnet d’adresses exporté contient les coordonnées d’autres personnes ; un historique de messages contient les propos d’interlocuteurs. La CNIL illustre cette limite avec la liste de contacts transmise par un opérateur : le nouvel opérateur qui reçoit cette liste ne peut pas utiliser les données des interlocuteurs pour faire de la prospection (fiche CNIL sur la portabilité). La seconde limite tient à l’effacement : l’article 20, paragraphe 3, dispose que l’exercice du droit à la portabilité s’entend sans préjudice de l’article 17 (article 20, paragraphe 3). Demander la portabilité n’efface donc pas les données chez le premier responsable, et clôturer un compte ne vaut pas, à elle seule, demande d’export. L’ordre des démarches compte : obtenir d’abord l’export portable et vérifier son contenu, puis décider, le cas échéant, d’une demande d’effacement au titre de l’article 17, dont les motifs et les exceptions sont propres — par exemple lorsque les données ne sont plus nécessaires au regard des finalités ou lorsque le consentement est retiré sans autre fondement (article 17, paragraphe 1). Inverser cet ordre expose à perdre l’accès aux données avant même que l’export soit produit, si la clôture du compte entraîne la suppression des espaces de téléchargement.
Ces règles européennes ne doivent pas être confondues avec les obligations contractuelles de restitution qui lient un client professionnel et son prestataire informatique. Dans un litige entre un exploitant d’officine et l’éditeur de son logiciel de gestion, la Cour de cassation a rejeté, le 10 novembre 2021, le pourvoi formé contre la liquidation d’une astreinte assortissant l’injonction de livrer les codes d’accès aux données de l’officine, après avoir relevé que la cour d’appel avait retenu, par une interprétation de la portée de l’ordonnance, que les documents transmis ne permettaient pas de considérer que l’obligation avait été exécutée (Cass. 2e civ., 10 novembre 2021, pourvoi n° 21-16.276). Cette décision juge l’exécution d’une injonction contractuelle sous astreinte ; elle n’applique pas l’article 20 du RGPD et ne crée pas, à elle seule, un droit à la portabilité entre professionnels. Elle illustre en revanche un point commun aux deux contentieux : remettre des documents qui ne donnent pas effectivement accès aux données attendues peut ne pas valoir exécution. Pour une personne physique, le fondement reste l’article 20 lorsque ses conditions sont réunies ; pour une entreprise qui change de logiciel, ce sont le contrat, ses clauses de réversibilité et les exports promis qui gouvernent la restitution, les données personnelles des clients ou des salariés contenues dans le système relevant, elles, des rôles de responsable et de sous-traitant définis par le règlement.
II. Exercer le droit, contrôler la réponse et agir en cas de refus
A. Une demande adressée au bon responsable, décrivant les données, la base du traitement et le format attendu
La première étape est l’identification du responsable du traitement, c’est-à-dire l’organisme qui détermine les finalités et les moyens du traitement. La CNIL recommande, dans sa fiche portabilité, d’identifier l’organisme puis de se rendre sur la page d’information réservée à l’exercice des droits — politique de confidentialité, politique vie privée ou mentions légales — et de demander des précisions sur la présence d’un dispositif d’exercice du droit à la portabilité, comme un bouton de téléchargement après authentification ou une interface de programmation. Lorsque plusieurs sociétés interviennent, par exemple une plateforme et un prestataire d’hébergement, la demande doit viser celle qui décide de l’usage des données du compte ; adresser la demande au seul sous-traitant technique expose à une réponse de renvoi. Les contrats, les conditions du service et la notice d’information permettent de répartir ces rôles avant l’envoi.
Le contenu de la demande doit permettre à l’organisme de vérifier les conditions de l’article 20 sans échange inutile. Une formulation opérationnelle comporte cinq éléments : l’identification du compte ou du dossier ; la liste des catégories de données demandées, en distinguant celles qui ont été fournies — saisies, fichiers déposés, historique d’activité dans le service — de celles qui sont demandées, à titre subsidiaire, au titre du droit d’accès ; la base du traitement invoquée, consentement ou contrat, avec la référence du contrat ou de l’inscription ; le format attendu, par exemple CSV ou JSON, ou la demande de transmission directe vers un responsable identifié ; enfin, la demande d’explication écrite si la transmission directe est présentée comme techniquement impossible. Cette architecture répond point par point aux conditions du texte et rend un refus global plus difficile à soutenir : l’organisme doit dire, pour chaque catégorie, si la donnée a été fournie par la personne, sur quelle base elle est traitée et dans quel format elle peut être remise.
L’identification du demandeur suit le cadre général de l’article 12. Le paragraphe 2 de cet article prévoit que le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22 (article 12, paragraphe 2). Le paragraphe 6 autorise le responsable à demander des informations supplémentaires nécessaires pour confirmer l’identité lorsqu’il a des doutes raisonnables sur celle-ci. Ces deux règles se lisent ensemble : une vérification d’identité proportionnée au risque — par exemple depuis l’espace déjà authentifié du compte — est admissible ; une collecte de justificatifs sans rapport avec le doute allégué ne l’est pas au regard de l’obligation de faciliter l’exercice des droits. Il est prudent de demander par écrit quelle information précise est nécessaire, d’utiliser le canal sécurisé indiqué par l’organisme et de conserver la preuve de chaque envoi. Pour un export contenant des données sensibles par leur volume, comme des années d’historique, le mode de remise sécurisé — lien à durée limitée, espace authentifié — fait partie de la demande.
Les délais de réponse sont ceux de l’article 12, paragraphe 3, du RGPD : le responsable fournit les informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, délai qui peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à charge pour le responsable d’informer la personne de cette prolongation et des motifs du report dans le délai initial d’un mois. Si le responsable ne donne pas suite, l’article 12, paragraphe 4, du même règlement lui impose d’informer la personne, au plus tard dans un délai d’un mois à compter de la réception, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. L’article 12, paragraphe 5, prévoit enfin qu’aucun paiement n’est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder aux communications et mesures au titre des articles 15 à 22, sauf demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, hypothèse dans laquelle le responsable peut exiger des frais raisonnables ou refuser de donner suite, la charge de démontrer le caractère manifestement infondé ou excessif lui incombant selon ce même paragraphe. La preuve de la réception de la demande est donc décisive : elle fait courir ces délais. Un envoi par le formulaire du site doit être conservé avec sa page de confirmation ; un courriel, avec son accusé ou, à défaut, avec les éléments d’expédition ; un courrier, avec un mode établissant la remise.
Le contrôle de la réponse porte ensuite sur trois points vérifiables : le périmètre, le format et l’exploitabilité. Le périmètre se compare à la liste des catégories demandées ; une catégorie absente doit être expliquée — donnée non fournie par la personne, base du traitement différente, donnée dérivée relevant de l’accès. Le format se compare à l’exigence d’un format structuré, couramment utilisé et lisible par machine. L’exploitabilité se teste par le réimport réel dans le service de destination ou, à défaut, par l’ouverture du fichier dans un outil courant et la vérification que les champs sont séparés et documentés. Si l’export est incomplet ou inexploitable, la relance doit désigner les champs manquants et le défaut constaté, captures et messages d’erreur à l’appui, plutôt que répéter la demande initiale. Pendant cette phase, ne pas clôturer le compte ni demander l’effacement avant d’avoir reçu et testé l’export : l’article 20, paragraphe 3, réserve l’article 17, mais il ne garantit pas que le dispositif technique de téléchargement survivra à la fermeture du compte. Lorsque le même dossier comporte aussi une contestation sur l’usage des données, le droit à la limitation du traitement relève d’une demande distincte, aux conditions propres, et ne doit pas être confondu avec la portabilité.
B. Réclamation auprès de la CNIL, recours devant le juge et réparation du préjudice
Lorsque la demande reste sans réponse dans les délais de l’article 12 ou aboutit à un refus inexpliqué, la voie de la réclamation est ouverte par l’article 77, paragraphe 1, du RGPD : toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, si elle considère que le traitement constitue une violation du règlement. En France, cette autorité est la CNIL : l’article 8 de la loi n° 78-17 du 6 janvier 1978 la désigne comme l’autorité de contrôle nationale au sens du règlement et lui confie notamment le traitement des réclamations introduites par une personne concernée, avec information de leur auteur sur l’état d’avancement et l’issue de l’enquête. Elle décrit la démarche sur sa page saisir la CNIL. Pour la portabilité, la CNIL demande, dans sa fiche dédiée, de joindre les preuves de la démarche auprès de l’organisme, comme une copie d’écran ou le courriel de réponse. Un dossier utile comporte donc la demande initiale datée, la preuve de sa réception, la liste des catégories demandées, la réponse de l’organisme ou la mention de son absence, l’explication technique fournie en cas de refus de transmission directe et, si un export a été remis, la description du défaut de format ou des champs manquants. L’article 77, paragraphe 2, prévoit que l’autorité informe l’auteur de la réclamation de son état d’avancement et de son issue. La réclamation ne se substitue pas à la demande auprès du responsable : saisir la CNIL sans avoir d’abord exercé le droit auprès de l’organisme, ou sans pouvoir le prouver, affaiblit le dossier.
Si l’autorité de contrôle ne traite pas la réclamation, un recours spécifique existe. L’article 78, paragraphe 2, du RGPD reconnaît à toute personne concernée le droit de former un recours juridictionnel effectif lorsque l’autorité compétente ne traite pas une réclamation ou ne l’informe pas, dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation introduite au titre de l’article 77. Ce recours vise la relation avec l’autorité ; il ne remplace pas l’action dirigée contre le responsable qui refuse l’export. Il faut donc distinguer trois objets qui ne se confondent pas : la contestation de la réponse de l’organisme, la réclamation sur le traitement auprès de la CNIL et le recours tenant au traitement de cette réclamation.
Contre le responsable lui-même, l’article 79, paragraphe 1, du RGPD ouvre un recours juridictionnel effectif à chaque personne concernée qui considère que les droits que lui confère le règlement ont été violés du fait d’un traitement effectué en violation de ce règlement. Le paragraphe 2 du même article prévoit que l’action est intentée devant les juridictions de l’État membre où le responsable ou le sous-traitant dispose d’un établissement, et qu’elle peut aussi l’être devant celles de l’État membre où la personne a sa résidence habituelle, sauf si le responsable est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique (article 79, paragraphe 2). La juridiction compétente à l’intérieur de cet État, la qualité des défendeurs et la mesure demandée — communication de l’export, transmission directe, explication de l’impossibilité technique — se déterminent à partir des faits, des contrats et des établissements réels, non d’une adresse commerciale affichée sur une page.
Lorsque l’absence d’export produit un effet immédiat — perte d’accès à un historique nécessaire à la poursuite d’une activité, clôture annoncée du service, migration imposée dans un délai bref — une procédure d’urgence peut être envisagée si ses conditions sont réunies. L’article 834 du Code de procédure civile permet au président du tribunal judiciaire, dans tous les cas d’urgence, d’ordonner en référé les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend. L’article 835 du même code permet, même en présence d’une contestation sérieuse, de prescrire les mesures conservatoires ou de remise en état qui s’imposent pour prévenir un dommage imminent ou faire cesser un trouble manifestement illicite et, lorsque l’existence de l’obligation n’est pas sérieusement contestable, d’ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. Ces textes ne garantissent ni l’urgence ni le succès d’une demande de portabilité en référé : le demandeur doit établir la demande reçue par le responsable, les catégories portables au sens de l’article 20, le défaut de réponse ou de format et le dommage que la mesure doit prévenir. L’arrêt de la cour d’appel de Paris du 25 juin 2024, rendu en matière de droit d’accès, illustre cette discipline probatoire en référé : la cour y examine si le refus de transmettre le document demandé constitue un trouble manifestement illicite au regard de l’article 15 du RGPD, après avoir rappelé que la charge de prouver l’illicéité du trouble et son caractère manifeste incombe à celui qui s’en prévaut (CA Paris, pôle 1, ch. 3, 25 juin 2024, RG n° 23/18268). Cette solution porte sur l’accès ; elle montre la méthode — droit précis, données précises, refus documenté — sans décider par avance du sort d’une demande de portabilité.
La réparation obéit à une logique distincte de l’injonction de remettre les données. L’article 82, paragraphe 1, du RGPD prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le paragraphe 2 du même article tient le sous-traitant pour responsable lorsqu’il n’a pas respecté les obligations qui lui incombent spécifiquement ou qu’il a agi en dehors des instructions licites du responsable, et le paragraphe 3 exonère l’acteur qui prouve que le fait ayant provoqué le dommage ne lui est nullement imputable (article 82, paragraphes 2 et 3). La chambre sociale de la Cour de cassation a rappelé, dans un arrêt du 24 juin 2026, les termes de ce texte et relevé que la Cour de justice a jugé que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », ainsi que la personne demandant réparation doit établir non seulement la violation, mais également que cette violation lui a causé un dommage matériel ou moral (Cass. soc., 24 juin 2026, pourvoi n° 24-22.792, citant notamment CJUE, 4 mai 2023, C-300/21, et CJUE, 25 janvier 2024, C-687/21). Transposée avec prudence à la portabilité, cette exigence signifie qu’un refus d’export ne produit pas, à lui seul, un montant de réparation : il faut relier, pièces datées à l’appui, la violation alléguée à un dommage concret — coût d’une ressaisie, perte d’un historique nécessaire, interruption d’activité, atteinte morale caractérisée — et distinguer ce dommage de celui qui relèverait du seul contrat de service. À l’inverse, obtenir l’export en nature peut rester l’objectif principal du litige, la réparation pécuniaire ne compensant pas toujours la perte des données elles-mêmes.
En pratique, le dossier le plus solide se construit chronologiquement : notice d’information et contrat montrant la base du traitement ; demande de portabilité décrivant les catégories fournies et le format attendu ; preuve de réception ; réponses, prolongation annoncée ou silence ; export remis et test de réimport assorti des messages d’erreur ; relance désignant les champs manquants ; puis réclamation ou recours. Cette chronologie sépare ce qui relève de l’article 20, ce qui relève de l’accès de l’article 15, ce qui tient au contrat informatique — exports promis, réversibilité, restitution en fin de prestation — et ce qui tiendrait à un régime de cybersécurité distinct. Elle évite aussi l’erreur la plus fréquente : présenter comme un refus de portabilité ce qui est, en réalité, une demande portant sur des données dérivées, un fichier papier ou un traitement fondé sur une obligation légale, hypothèses dans lesquelles l’accès, la rectification ou le contrat fournissent le cadre pertinent.
Conclusion
Le droit à la portabilité des données RGPD est un droit de transfert encadré, non un droit général à récupérer tout ce qu’un organisme détient. Il vise les données fournies par la personne, traitées sur le consentement ou le contrat par des procédés automatisés, et impose une remise dans un format structuré, couramment utilisé et lisible par machine, avec une transmission directe entre responsables lorsque cela est techniquement possible, selon les termes de l’article 20 du RGPD. Les données dérivées et les traitements fondés sur une autre base relèvent d’autres voies, au premier rang desquelles le droit d’accès de l’article 15. La demande gagne à décrire les catégories, la base du traitement et le format attendu, puis à contrôler le périmètre et l’exploitabilité réelle de l’export avant toute clôture de compte ou demande d’effacement. Les délais et l’obligation de motiver l’inaction figurent à l’article 12 ; la réclamation auprès de la CNIL, les recours et la réparation sont organisés par les articles 77 à 79 et 82. Dans chaque dossier, la qualification des données, l’identification du responsable et la preuve des échanges décident de l’issue davantage que l’invocation générale du règlement.