Votre éditeur SaaS refuse de vous rendre vos données dans un format exploitable, votre ancien prestataire cloud ne répond plus, ou la plateforme vers laquelle vous migrez réclame un export que personne ne veut produire. Cette situation de rétention des données est l’un des leviers de pression les plus courants à la fin d’une relation contractuelle : sans vos historiques, vos contacts, vos factures ou vos contenus, changer de fournisseur devient coûteux, parfois impossible. Le droit à la portabilité, prévu par l’article 20 du règlement général sur la protection des données, répond précisément à ce blocage. Il permet d’obtenir les données que vous avez fournies, dans un format lisible par machine, et d’en exiger la transmission directe vers un nouvel organisme lorsque c’est techniquement possible. Encore faut-il savoir quelles données sont vraiment portables, dans quel délai le responsable de traitement doit répondre, et surtout quoi faire quand il refuse ou fait traîner : mise en demeure, appui sur le contrat de sous-traitance, plainte devant la CNIL, puis juge des référés et réparation du préjudice. Cet article décrit la procédure complète, avec les textes applicables, les positions officielles de la CNIL et deux décisions récentes qui montrent comment les tribunaux sanctionnent la rétention et l’utilisation abusive des données.
I. La portabilité : un droit ciblé, soumis à des conditions strictes
Le droit à la portabilité n’est ni un droit d’accès général, ni un droit à récupérer toute donnée détenue par un organisme. La CNIL le présente comme un droit à la maîtrise de ses données : récupérer une partie de ses données dans un format lisible par une machine, pour les stocker ailleurs ou les transmettre d’un système à un autre en vue d’une réutilisation. Cette cible étroite explique l’essentiel des refus : beaucoup de demandes portent sur des données qui n’entrent pas dans son champ, ou sont adressées à un organisme qui n’est pas tenu d’y répondre sur ce fondement. Vérifier les conditions avant d’écrire permet d’éviter un refus justifié qui affaiblira la suite.
A. Quelles données sont portables, et lesquelles ne le sont pas
Le texte applicable est l’article 20 du règlement (UE) 2016/679, dont le premier paragraphe dispose : les personnes concernées ont le droit de recevoir les données qu’elles ont « fournies à un responsable du traitement », dans un format « structuré, couramment utilisé et lisible par machine », et de les transmettre à un autre responsable sans que le premier puisse y faire obstacle. Ce droit n’existe que lorsque deux conditions sont réunies : le traitement doit être fondé « sur le consentement […] ou sur un contrat » et effectué « à l’aide de procédés automatisés ». En pratique, la CNIL résume ainsi le champ : seules les données recueillies avec l’accord de la personne ou dans le cadre d’un contrat sont concernées, ce qui couvre aussi bien les informations déclarées, comme les coordonnées, que les données tirées de l’activité, comme un historique d’achat ou les mesures enregistrées par un objet connecté. La page officielle de la CNIL sur le droit à la portabilité précise en revanche les exclusions : les images de vidéosurveillance, la déclaration d’impôt ou les données de badgeuse ne sont pas concernées, et il en va de même pour les données dérivées, calculées ou inférées à partir des informations fournies, comme une note attribuée par d’autres utilisateurs, une catégorisation dans des segments marketing, une simulation de prêt ou un résultat d’analyse de risque de crédit. Autrement dit, ce que le prestataire a produit par son propre travail d’analyse ne se réclame pas au titre de la portabilité, même si ces éléments restent communicables dans un format lisible par un humain dans le cadre du droit d’accès quand l’organisme ne répond pas. Cette distinction entre données fournies et données inférées est le premier point que le responsable de traitement vérifiera, et le premier motif de refus à anticiper : formuler la demande en listant les données fournies, compte, contenus, historiques d’utilisation, plutôt qu’en réclamant tout le dossier, rend le refus bien plus difficile à justifier. Deux limites supplémentaires tiennent aux tiers et à la mission publique : ce droit ne porte pas atteinte « aux droits et libertés de tiers », et il est exclu pour les traitements nécessaires à « l’exécution d’une mission d’intérêt public » ou relevant de l’autorité publique. La liste de contacts transmise par un opérateur téléphonique illustre la limite tenant aux tiers : le nouvel opérateur qui la reçoit ne pourra pas utiliser les données des interlocuteurs pour faire de la prospection. Enfin, le traitement doit être automatisé : les fichiers papier ne sont pas concernés. Une demande qui coche ces cases, données fournies par la personne, traitement automatisé fondé sur le consentement ou le contrat, sans atteinte aux droits des tiers, entre pleinement dans le champ de l’article 20, et le responsable de traitement ne peut pas l’écarter d’un simple silence.
B. Le format exigible et la transmission directe vers le nouvel organisme
Obtenir ses données ne suffit pas : encore faut-il les recevoir dans un format qui permette réellement de les réutiliser. L’article 20 impose un « structuré, couramment utilisé et lisible par machine », et la CNIL en tire des conséquences concrètes : l’organisme doit proposer des formats adaptés au type de données, en privilégiant les formats ouverts et interopérables. La position officielle cite les exemples du carnet d’adresses fourni en format vCard, des données de localisation en JSON, et retient plus généralement que des formats ouverts comme « le CSV ou le JSON » sont dans de nombreux cas adaptés à la portabilité, tandis qu’une image, un PDF ou un format propriétaire exigeant l’acquisition d’un logiciel ou d’une licence payante ne seront a priori pas des formats adaptés. Un export PDF envoyé pour faire croire à une réponse, ou un fichier volontairement dégradé, ne satisfait donc pas l’obligation : le format fait partie du droit, et son inadéquation caractérise à elle seule un manquement. Le second apport du texte est la transmission directe : elle a le droit d’obtenir la transmission directe des données vers un autre responsable, « lorsque cela est techniquement possible ». Cette transmission d’organisme à organisme, sans que la personne ait à manipuler elle-même les fichiers, est précieuse lors d’une migration SaaS ou d’un changement de plateforme, et la CNIL ajoute une garantie procédurale importante : si l’organisme refuse cette transmission, il doit expliquer par écrit en quoi ce transfert direct est techniquement impossible L’impossibilité technique ne se présume pas et ne s’affirme pas : elle se démontre, par écrit, avec des motifs vérifiables. En pratique, exiger cette justification écrite dès la première demande place le prestataire devant ses responsabilités : soit il transmet, soit il s’expose à voir son refus examiné par la CNIL puis par le juge au regard d’une explication souvent fragile. Les lignes directrices européennes sur la portabilité, reprises par le Comité européen de la protection des données, dans ses lignes directrices sur la portabilité (WP242), vont dans le même sens en invitant les responsables de traitement à développer des outils d’export et des interfaces, notamment des API, qui rendent la transmission effective. Le règlement de référence reste consultable dans sa version authentique au Journal officiel de l’Union européenne (règlement (UE) 2016/679, CELEX 32016R0679). Une fois la demande formulée sur des données portables, dans un format ouvert, avec transmission directe sollicitée, le silence ou l’envoi d’un fichier inexploitable ne sont plus des réponses : ce sont des manquements, qui ouvrent la phase de contrainte.
II. Le prestataire refuse ou fait traîner : la riposte en trois temps
Un refus de portabilité ne se traite pas comme une simple difficulté commerciale. Le règlement organise la réponse du responsable de traitement, encadre ses délais et sa facturation, puis offre deux voies de contrainte qui se combinent : la plainte devant l’autorité de contrôle et le recours devant le juge. L’ordre compte : une mise en demeure précise, qui vise les bons textes et fixe un délai, conditionne l’efficacité de la plainte CNIL comme celle de l’action en justice. Chaque étape doit laisser une trace écrite, car c’est sur ces pièces que l’autorité puis le juge apprécieront le comportement du prestataire.
A. La mise en demeure : délai d’un mois, gratuité et refus motivé, avec le contrat en appui
La première règle est celle du délai. L’article 12, paragraphe 3, du RGPD impose au responsable de traitement de fournir des informations sur les mesures prises, dans les meilleurs délais et « dans un délai d’un mois » à compter de la réception de la demande. Une prolongation de deux mois reste possible, mais à des conditions strictes : au besoin, ce délai peut être « prolongé de deux mois » compte tenu de la complexité et du nombre de demandes, et le responsable doit informer la personne de cette prolongation et de ses motifs dans le délai d’un mois. La CNIL, dans ses consignes aux professionnels tenus de répondre à une demande de portabilité, insiste : quelle que soit la situation, la personne doit être informée de la situation de sa demande sous un mois maximum, et le responsable le responsable doit être en mesure de démontrer la complexité de la demande s’il ne répond pas sous un mois. Passé ce délai sans réponse ni prolongation motivée, le manquement est constitué. La deuxième règle est celle de la gratuité : « Aucun paiement n’est exigé » pour fournir les informations et procéder aux communications et mesures au titre des droits des personnes Seules des copies supplémentaires ou des demandes manifestement infondées ou excessives peuvent justifier des frais raisonnables fondés sur les coûts administratifs, et la CNIL avertit que ce coût ce coût ne doit pas être « une entrave à l’exercice du droit ». Un prestataire SaaS qui conditionne l’export au paiement d’un arriéré commercial, ou qui facture l’extraction au prix fort, commet donc un manquement distinct, cumulable avec le refus lui-même. La troisième règle encadre le refus : si le responsable ne donne pas suite, il informe la personne sans tarder, et au plus tard dans un délai d’un mois, « des motifs de son inaction », ainsi que de la possibilité de saisir l’autorité de contrôle et le juge. Un refus non motivé, ou motivé après l’expiration du délai, viole l’article 12 autant que l’article 20, et la CNIL exige du responsable qu’il justifie sa décision : demandes manifestement infondées ou excessives, données qui ne sont plus conservées, ou droits des tiers réellement menacés. Le secret des affaires ou le droit d’auteur protégeant un logiciel doivent être pris en considération, mais, selon la CNIL, le secret des affaires ou le droit d’auteur ne devraient pas aboutir à refuser toute communication d’informations à la personne : le prestataire ne peut pas se retrancher derrière son code source pour garder les données du client. La mise en demeure doit donc viser l’article 20 et l’article 12, paragraphe 3, rappeler la gratuité de principe, demander l’export dans un format ouvert nommé, CSV ou JSON, solliciter la transmission directe vers le nouvel organisme avec ses coordonnées, invoquer le contrat et fixer un délai calendaire précis. Pour un client professionnel, le contrat informatique renforce puissamment cette mise en demeure. Lorsque le prestataire agit comme sous-traitant, l’article 28, paragraphe 3, du RGPD lui impose de prévoir au contrat qu’il devra, le sous-traitant devra, selon le choix du responsable, supprimer toutes les données ou « les renvoyer au responsable du traitement » au terme de la prestation, et « détruire les copies existantes », sauf obligation légale de conservation. Le même article oblige le sous-traitant à aider le responsable à donner suite aux demandes d’exercice des droits des personnes. Autrement dit, le prestataire ne peut pas renvoyer le client vers un silence : il doit coopérer à l’exercice du droit, restituer ou supprimer selon le choix exprimé, et justifier d’un audit si le contrat le prévoit. L’articulation entre le droit individuel de l’article 20 et l’obligation contractuelle de l’article 28 fait l’objet d’un développement dédié dans notre analyse consacrée à la manière de sortir d’un contrat SaaS ou cloud et récupérer ses données. La jurisprudence récente montre que les juges du fond sanctionnent durement la rétention organisée à la fin d’une relation d’affaires : dans un litige opposant un franchiseur à son ancien franchisé autour de la restitution et de l’utilisation des fichiers clients après la sortie du réseau, la cour d’appel de Paris, pôle 5, chambre 4, par arrêt du 17 janvier 2024 dans l’affaire enregistrée sous le numéro 22/03890, a retenu que le franchiseur avait conservé et exploité les données pendant plusieurs années après la rupture, et a prononcé la condamnation suivante : « CONDAMNE la société Century 21 France à verser à la société Cocagne Immobilier la somme de 28 420 euros ». La décision est consultable en open data sur le site de la Cour de cassation. Même si le fondement y était contractuel, l’enseignement vaut pour tout prestataire qui retient des données après la fin de la relation : la conservation et l’exploitation sans droit se paient en dommages et intérêts, et la traçabilité des demandes de restitution, lettres recommandées, constats et exports partiels, fait la différence devant la cour.
B. La plainte devant la CNIL puis le juge : sanction, injonction sous astreinte et réparation
Si la mise en demeure reste sans effet, la plainte devant la CNIL est la voie naturelle. L’article 77 du RGPD ouvre à toute personne concernée peut adresser « une réclamation à l’autorité de contrôle » si elle estime que le traitement de ses données viole le règlement, et l’autorité saisie l’autorité tient l’auteur informé de l’avancement et de l’issue de sa réclamation. En droit français, la CNIL est désignée comme « l’autorité de contrôle nationale » pour l’application du règlement européen, par l’article 8 de la loi n° 78-17 du 6 janvier 1978, qui désigne la CNIL comme autorité de contrôle nationale et lui confie le traitement des réclamations et plaintes des personnes concernées. La plainte doit joindre la demande initiale, la mise en demeure, les réponses partielles et les preuves du format inexploitable ou du silence : c’est ce dossier qui permettra à la CNIL de qualifier le manquement aux articles 12 et 20. Les pouvoirs de l’autorité sont gradués par l’article 20 de la loi du 6 janvier 1978 : le président peut prononcer des mesures correctrices, dont le pouvoir d’ordonner de ordonner de rectifier ou d’effacer des données, ou de « limiter le traitement », mettre en demeure l’organisme de se mettre en conformité dans un délai qu’il fixe, puis saisir la formation restreinte en vue de sanctions après procédure contradictoire. Au niveau européen, l’enjeu financier est fixé par l’article 83 du RGPD : les violations des droits des personnes prévus « aux articles 12 à 22 », dont la portabilité fait partie, font l’objet d’amendes pouvant s’élever « jusqu’à 20 000 000 EUR » ou, pour une entreprise, « jusqu’à 4 % du chiffre d’affaires », le montant le plus élevé étant retenu. Un refus de portabilité documenté expose donc le prestataire à une sanction du niveau le plus élevé, ce que la mise en demeure doit rappeler fermement. Parallèlement à la plainte, et sans attendre son issue, la personne concernée peut saisir le juge. L’article 79 du RGPD garantit que chaque personne concernée a droit à « un recours juridictionnel effectif » si elle estime que ses droits ont été violés par un traitement contraire au règlement, et l’action peut être portée devant les juridictions de l’État membre de la résidence habituelle de la personne. En pratique française, le juge des référés constitue la voie rapide : lorsque l’obligation n’est pas sérieusement contestable, il ordonne l’exécution sous astreinte. Une ordonnance récente l’illustre dans un contentieux voisin portant sur l’accès et la limitation : le tribunal judiciaire d’Arras, statuant en référés le 28 mai 2026 dans une affaire enregistrée sous le numéro 26/00024, a ordonné à un établissement bancaire de communiquer à la personne « une copie, en langage clair, de l’ensemble des données à caractère personnel » figurant dans ses fichiers, et a assorti ses injonctions d’une astreinte en jugeant que « passé le délai de 8 jours à compter de la date de signification de cette ordonnance, la SA Floa sera astreinte à raison de 100 euros par jour de retard », tout en réservant au juge de l’exécution la liquidation des astreintes. La décision est consultable en open data sur le site de la Cour de cassation. Le raisonnement est transposable à la portabilité : une demande portant sur des données fournies, dans un traitement automatisé fondé sur le contrat, crée une obligation dont le principe est difficilement contestable, et l’astreinte journalière donne à l’injonction une force que la simple condamnation pécuniaire n’offre pas. Enfin, le préjudice subi ouvre droit à réparation. L’article 82 du RGPD dispose : toute personne ayant subi un dommage du fait d’une violation du règlement a le droit d’en obtenir « réparation du préjudice subi » Le surcoût de migration, la perte d’exploitation liée à l’indisponibilité des données, les frais d’expertise pour reconstituer les fichiers et le préjudice moral lié à la perte de maîtrise de ses données constituent des chefs de préjudice invocables, à condition de les prouver : dans l’ordonnance d’Arras précitée, les demandes de provision pour préjudice moral ont été rejetées parce qu’aucun préjudice indemnisable n’était caractérisé, rappel utile qu’une action en réparation ne prospère que sur des justificatifs précis, factures, devis de migration, constats d’indisponibilité et échanges avec le nouveau prestataire. Plainte CNIL, référé sous astreinte et action en réparation ne s’excluent pas : elles se renforcent, la décision de l’autorité éclairant le juge, et l’injonction du juge sécurisant la migration pendant l’instruction de la plainte.
La portabilité n’est donc pas une simple faculté offerte aux plateformes de bonne volonté : c’est un droit dont les conditions sont écrites, dont le délai est d’un mois, dont l’exercice est gratuit par principe, et dont la violation expose le responsable à une mise en demeure de la CNIL, à une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, à une injonction judiciaire sous astreinte et à une condamnation à réparer le préjudice. Face à un SaaS ou à une plateforme qui retient vos données, la méthode tient en quatre gestes : formuler une demande précise visant les données fournies, dans un format ouvert, avec transmission directe ; mettre en demeure par écrit en visant les articles 20 et 12 et le contrat ; saisir la CNIL avec un dossier complet ; et demander au juge des référés l’export sous astreinte, sans oublier de chiffrer le préjudice pour l’action en réparation. La rétention des données ne résiste que face à l’inaction : documentée et portée devant les bons organes, elle devient un manquement qui se sanctionne.
Besoin d’un avis rapide sur votre dossier
Votre prestataire SaaS, cloud ou votre plateforme refuse de vous restituer vos données personnelles ou de les transmettre à votre nouvel organisme ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la procédure adaptée : mise en demeure, plainte CNIL, référé sous astreinte et réparation du préjudice. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.