Vous quittez votre opérateur téléphonique, votre banque en ligne, votre assureur ou votre plateforme de streaming, et vous demandez à récupérer l’historique de vos factures, vos relevés, vos playlists ou votre carnet d’adresses pour les transmettre à votre nouveau prestataire. Réponse de l’ancien opérateur : silence, fichier PDF inexploitable, renvoi vers un service client qui ne répond pas, ou refus pur et simple au motif que ces données lui appartiennent. Ce blocage porte un nom en droit européen : une atteinte au droit à la portabilité des données, reconnu par l’article 20 du règlement général sur la protection des données, le RGPD, texte directement applicable en France depuis le 25 mai 2018, aux côtés de la loi du 6 janvier 1978 dite Informatique et Libertés qui organise en France les contrôles et les sanctions de la CNIL.
La situation est fréquente parce que les données retiennent le client. Un opérateur qui conserve votre historique rend votre départ coûteux : vous perdez vos repères, vos preuves de paiement, vos contacts, vos réglages. Le législateur européen a voulu briser cette captive en donnant à chaque personne le droit de recevoir les données qu’elle a fournies et de les faire transmettre directement à un autre responsable de traitement. Encore faut-il savoir quelles données sont concernées, dans quel format les exiger, et surtout comment réagir quand l’organisme refuse ou traîne.
Cet article décrit d’abord le périmètre exact du droit : les trois conditions cumulatives, puis les données que l’organisme peut légitimement garder. Il expose ensuite la méthode complète face à un refus : ce que vous pouvez exiger sur le format, la transmission directe, les délais et la gratuité, puis la sanction du refus par la réclamation CNIL, l’injonction du juge des référés et l’action en réparation. Chaque étape s’appuie sur les textes en vigueur et sur des décisions rendues en 2025 et 2026 par les juridictions françaises et la Cour de justice de l’Union européenne.
I. Quelles données votre ancien opérateur doit-il vraiment vous rendre ?
Le droit à la portabilité ne porte ni sur toutes vos données, ni sur tous les traitements. L’article 20, paragraphe 1, du RGPD ouvre ce droit sous trois conditions cumulatives, que vous devez vérifier avant d’écrire à l’organisme : « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine » (article 20 du RGPD sur EUR-Lex). La suite du même paragraphe ajoute le droit de transmettre ces données à un autre responsable de traitement sans que le premier y fasse obstacle, lorsque le traitement est fondé sur le consentement ou sur un contrat, et lorsqu’il est effectué à l’aide de procédés automatisés.
A. Les trois conditions qui ouvrent la portabilité : données fournies, contrat ou consentement, traitement automatisé
La première condition tient aux données elles-mêmes : seules celles que vous avez fournies entrent dans le champ. La CNIL résume ainsi la règle sur sa page dédiée : seules les données recueillies avec l’accord de la personne ou dans le cadre d’un contrat entrent dans le champ de la portabilité (le droit à la portabilité sur le site de la CNIL). Concrètement, vos coordonnées déclarées à l’ouverture du compte, vos historiques d’achat, vos relevés de consommation, les données enregistrées par votre montre connectée ou votre boîtier automobile relèvent de la portabilité, parce qu’elles procèdent de votre activité ou de vos déclarations dans le cadre du contrat. Vérifiez donc la politique de confidentialité de l’organisme avant d’écrire : elle indique la base juridique de chaque traitement, et cette mention détermine si votre demande est recevable.
La deuxième condition tient à cette base juridique : consentement ou contrat. Si vos données sont traitées parce que vous avez consenti, au sens de l’article 6, paragraphe 1, point a), du RGPD, ou parce que le traitement est nécessaire à l’exécution de votre contrat, au sens du point b) du même article, la portabilité s’applique. Le considérant 68 du règlement le confirme : ce droit s’applique lorsque la personne a fourni ses données sur la base de son consentement ou lorsque le traitement est nécessaire pour l’exécution d’un contrat, et il ne s’applique pas lorsque le traitement repose sur un autre fondement, ni à l’encontre des responsables qui traitent des données dans l’exercice de leurs missions publiques. En pratique, les traitements de votre opérateur téléphonique, de votre banque, de votre fournisseur d’énergie ou de votre plateforme d’abonnement reposent presque toujours sur le contrat qui vous lie : la condition est remplie. En revanche, les données traitées par une administration dans le cadre d’une mission de service public, ou par un employeur sur le fondement de son intérêt légitime ou d’une obligation légale, échappent à la portabilité.
La troisième condition tient au mode de traitement : il doit être effectué à l’aide de procédés automatisés. Les fichiers papier non structurés sont exclus, mais tout fichier client informatisé, toute base de données, tout espace client en ligne entre dans le champ. Pour un opérateur contemporain, cette condition ne fait quasiment jamais obstacle. Retenez enfin deux limites exprimées par le texte lui-même : l’exercice du droit s’entend sans préjudice de l’effacement, ce qui signifie que récupérer vos données ne les efface pas chez l’ancien opérateur, et le droit ne porte pas atteinte aux droits et libertés des tiers. La CNIL illustre cette dernière limite avec le carnet d’adresses téléphoniques : l’opérateur peut vous transmettre votre liste de contacts, mais votre nouvel opérateur ne pourra pas utiliser ces coordonnées pour prospecter ces personnes sans leur accord.
B. Les données que l’organisme peut garder : scores, notes et créations propres
Tout ce que l’organisme a produit lui-même à partir de vos informations reste dehors : votre note attribuée par d’autres utilisateurs d’une place de marché, votre classement dans un segment marketing, votre simulation de prêt, votre score de risque de crédit, ou encore les images de vidéosurveillance et les données de badgeuse. La CNIL cite également votre déclaration d’impôt parmi les documents exclus, et range dans la même catégorie les données dérivées, calculées ou inférées à partir des informations que vous avez fournies. Cette frontière entre données fournies et données dérivées fait l’objet de la plupart des refus sérieux : un assureur peut légitimement garder son modèle de tarification, mais il ne peut pas retenir sous ce prétexte l’historique de vos contrats et de vos sinistres déclarés.
La logique de cette frontière se comprend à la lecture des principes généraux du règlement, que les tribunaux appliquent avec fermeté. Le tribunal judiciaire d’Aix-en-Provence, dans un jugement du 5 août 2025 contre une société de gestion immobilière qui avait diffusé à l’ensemble des copropriétaires des assignations contenant noms, dates et lieux de naissance et données de santé d’une famille, a retenu la violation des articles 5, 6, 7 et 9 du RGPD : traitement déloyal et excessif au regard de la finalité d’information, absence de consentement démontré, diffusion de données de santé interdites par principe. La même exigence de respect de la vie privée irrigue le droit français à l’article 9 du code civil, qui ouvre aux juges le pouvoir de prescrire toutes mesures propres à faire cesser une atteinte à l’intimité de la vie privée, sans préjudice de la réparation. L’enseignement vaut pour la portabilité : minimisation des données, licéité du traitement et preuve du consentement incombent au responsable, et c’est à lui de démontrer, pièce par pièce, que telle catégorie réclamée serait une création propre exclue du droit. Une affirmation générale de confidentialité ne suffit jamais.
II. Comment faire céder un opérateur qui refuse ou qui traîne ?
Un refus ou un silence persistant après une demande régulière caractérise un manquement. La méthode tient en trois temps : exiger précisément, en visant le format, la transmission directe, les délais et la gratuité ; saisir la CNIL d’une réclamation documentée ; puis saisir le juge, en référé pour l’injonction sous astreinte et au fond pour la réparation chiffrée du préjudice.
A. Ce que vous pouvez exiger : format ouvert, transmission directe, réponse sous un mois, gratuité
Obtenir une réponse ne suffit pas : encore faut-il recevoir des données réutilisables. Le règlement impose un format « structuré, couramment utilisé et lisible par machine », et la CNIL précise l’attente : formats ouverts et interopérables, de type CSV ou JSON selon les cas, carnet d’adresses en vCard, données de localisation en JSON. À l’inverse, un fichier image, un PDF non structuré ou un format propriétaire qui suppose l’achat d’un logiciel ou d’une licence payante ne répondent pas à l’exigence. Si votre ancien opérateur vous adresse un PDF scanné de vos factures en prétendant avoir satisfait votre demande, il n’a pas exécuté son obligation : un PDF image n’est ni structuré ni lisible par une machine, et votre nouvel opérateur ne peut rien en importer. Formulez donc votre demande avec précision dès le départ : listez les catégories de données, indiquez le format ouvert souhaité, et demandez la transmission directe vers le nouvel organisme.
Car le paragraphe 2 de l’article 20 va plus loin que la simple remise d’une copie : « elle a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible » (article 20 du RGPD sur EUR-Lex). Vous pouvez exiger que l’organisme A transmette lui-même vos données à l’organisme B, sans que vous serviez d’intermédiaire. La seule échappatoire admise tient à l’impossibilité technique, et elle est encadrée : La CNIL demande à l’organisme qui refuse cette transmission directe d’expliquer concrètement en quoi le transfert serait techniquement impossible. Un refus sec, un renvoi générique vers les conditions générales ou l’affirmation non démontrée que les systèmes seraient incompatibles ne suffisent pas. L’organisme doit motiver concrètement l’obstacle technique, et cette motivation pourra être contrôlée par la CNIL puis par le juge.
L’exercice du droit est gratuit et rapide, du moins en principe. Le règlement pose un délai d’un mois à compter de la réception de la demande pour y répondre, avec une prolongation possible jusqu’à trois mois pour les demandes complexes ou nombreuses, à condition d’informer la personne de la situation de sa demande dans le premier mois. La gratuité est le principe, en application de l’article 12, paragraphe 5, du RGPD : l’organisme ne peut réclamer des frais raisonnables, calculés sur ses coûts administratifs, que pour les copies supplémentaires ou face à une demande manifestement infondée ou excessive, sans que ce coût devienne une entrave. De même, le refus n’est admis que dans des cas limités : demande manifestement infondée ou excessive, notamment répétitive, ou données qui ne sont plus conservées. Le secret des affaires ou la propriété intellectuelle du logiciel ne permettent pas de tout refuser : la CNIL prévient que ces droits doivent être pris en compte sans aboutir à refuser toute communication. Tout autre refus, et tout silence gardé au-delà du mois, caractérise un manquement que vous pouvez faire sanctionner. Pour la première étape écrite, la méthode de mise en demeure quand l’organisme ne répond pas est détaillée dans notre analyse consacrée au droit d’accès RGPD quand l’organisme ne répond pas : plainte CNIL, juge et réparation, dont la logique probatoire, recommandé avec accusé de réception et conservation des preuves électroniques, s’applique à l’identique à la portabilité.
B. La sanction du refus : réclamation CNIL, injonction sous astreinte et réparation prouvée
Identifiez le responsable du traitement sur la page d’information de l’organisme, rubriques politique de confidentialité ou exercice des droits, puis adressez votre demande en recommandé avec accusé de réception en visant expressément l’article 20. Conservez chaque preuve : captures d’écran de l’espace client, accusés automatiques, échanges avec le service client. En cas de refus ou d’absence de réponse satisfaisante, saisissez la CNIL d’une réclamation en joignant ces preuves (adresser une plainte à la CNIL). Cette réclamation administrative, fondée sur l’article 77 du RGPD qui garantit à toute personne le droit de saisir une autorité de contrôle, peut déboucher sur un contrôle, une mise en demeure et une sanction pécuniaire prononcée sous l’empire de la loi Informatique et Libertés. Elle ne vous fait pas récupérer vos données à elle seule, mais elle pèse dans la négociation et alimente le dossier judiciaire.
La voie judiciaire la plus rapide est le référé devant le président du tribunal judiciaire. L’article 834 du code de procédure civile permet d’ordonner en cas d’urgence les mesures qui ne se heurtent à aucune contestation sérieuse, et l’article 835 du même code autorise, même en présence d’une contestation sérieuse, les mesures nécessaires pour faire cesser un trouble manifestement illicite ou ordonner l’exécution d’une obligation qui n’est pas sérieusement contestable, y compris une obligation de faire. Le refus persistant de transmettre des données portables, après une demande régulière restée sans suite, entre dans ce cadre. Une ordonnance de référé du tribunal judiciaire d’Arras du 28 mai 2026, rendue dans un litige de données bancaires entre un particulier et un établissement financier, illustre la méthode et les pouvoirs du juge : après une demande de communication restée sans réponse et une plainte déposée devant la CNIL, le juge a condamné l’établissement à communiquer une copie en langage clair de l’ensemble des données, y compris les zones de commentaires internes et les informations sur leur origine, dans un délai de huit jours à compter de la signification, sous astreinte de 100 euros par jour de retard, avec compétence du juge de l’exécution pour liquider l’astreinte. Le juge a rappelé que le responsable doit répondre dans le délai d’un mois de l’article 12 du RGPD, et qu’à défaut de justification de la transmission, la demande n’est pas sérieusement contestable. Les frais de la procédure ont été mis à la charge de l’établissement, avec 1 000 euros au titre de l’article 700 du code de procédure civile.
Au-delà de l’injonction, le tribunal judiciaire peut réparer votre préjudice sur le fondement de l’article 79 du RGPD, qui ouvre à chaque personne un recours juridictionnel effectif quand ses droits ont été violés, et de l’article 82, qui dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82 du RGPD sur EUR-Lex). Trois postes se rencontrent dans les blocages de portabilité : le préjudice matériel, comme le surcoût d’abonnement conservé faute de pouvoir migrer ou la perte d’une offre promotionnelle à durée limitée ; le préjudice moral, fait des démarches répétées restées vaines face à un organisme qui retient votre historique ; et la perte de chance d’avoir rejoint à temps un concurrent moins cher.
Mais la Cour de justice et la Cour de cassation posent une exigence stricte de preuve que votre dossier doit anticiper. Dans son arrêt du 4 mai 2023, Österreichische Post, la Cour de justice dit pour droit que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » (arrêt CJUE du 4 mai 2023, C-300/21, Österreichische Post). La Cour ajoute que le droit de l’Union s’oppose à une règle nationale qui subordonnerait la réparation du dommage moral à un seuil de gravité, et que les juges nationaux fixent le montant selon leurs règles internes dans le respect de l’équivalence et de l’effectivité. La Cour de cassation a tiré les conséquences de cette lecture dans un arrêt de sa chambre sociale du 24 juin 2026, pourvoi numéro 24-22.792 (arrêt de la chambre sociale du 24 juin 2026) : la cour d’appel avait jugé qu’un traitement de données contraire au RGPD avait nécessairement causé un préjudice au salarié et alloué 5 000 euros de dommages et intérêts ; la Cour casse, au visa de l’article 82, paragraphe 1, parce que la simple violation du règlement n’ouvre pas à elle seule droit à réparation et qu’il appartenait aux juges d’apprécier si le salarié établissait un dommage matériel ou moral causé par cette violation. L’arrêt rappelle aussi que la réparation remplit une fonction compensatoire et non punitive, et que le demandeur doit établir la violation comme le dommage. L’affaire est renvoyée devant la cour d’appel de Paris autrement composée (arrêt de la chambre sociale du 24 juin 2026).
Concrètement, ne demandez pas au juge une somme forfaitaire au seul motif que l’opérateur a violé l’article 20. Chiffrez : conservez les factures du concurrent dont l’offre a expiré pendant le blocage, les relevés prouvant le maintien forcé de l’abonnement, les attestations sur le temps passé à reconstituer vos données, et tout élément circonstancié si vous invoquez un préjudice moral. L’ordonnance d’Arras précitée illustre l’écueil inverse : le demandeur sollicitait 4 000 euros de provision pour son inscription dans un fichier d’incidents et 2 000 euros pour des manœuvres déloyales, et le juge des référés l’en a débouté, faute de démonstration suffisante à ce stade, tout en accordant l’injonction sous astreinte et les frais. L’injonction s’obtient sur l’évidence du manquement ; l’argent s’obtient sur la preuve du dommage. Enfin, ne confondez pas deux portabilités : la conservation de votre numéro de téléphone en changeant d’opérateur relève du régime sectoriel des communications électroniques, tandis que la récupération de votre historique, de vos factures et de vos contacts relève de l’article 20 du RGPD. Qualifiez chaque demande sous le bon régime dès votre premier courrier, sous peine de recevoir une réponse hors sujet et de perdre des mois.
Conclusion
Le blocage de portabilité se traite comme un contentieux à trois temps : demande écrite précise avec format ouvert et transmission directe, réclamation CNIL avec preuves à l’appui en cas de refus ou de silence au-delà d’un mois, puis juge des référés pour l’injonction sous astreinte et juge du fond pour la réparation chiffrée du préjudice matériel et moral, avec un décompte précis des sommes réclamées et des pièces qui les justifient. Vérifiez au préalable les trois conditions de l’article 20, base juridique et traitement automatisé, et ne réclamez que les données que vous avez fournies, sans exiger les scores, notes et modèles que l’organisme a lui-même élaborés. Un dossier qui distingue ainsi le portable du non portable, qui prouve chaque relance par des écrits datés et qui chiffre chaque perte avec des pièces comptables, obtient l’injonction rapidement et donne à la demande indemnitaire sa chance devant le tribunal judiciaire, dans le cadre strict rappelé par la Cour de justice et la Cour de cassation : pas de réparation sans violation établie, pas de réparation sans dommage démontré, mais pas de seuil de gravité exigé pour le préjudice moral.
Besoin d’un avis rapide sur votre dossier
Votre ancien opérateur refuse de vous remettre vos données ou de les transmettre à votre nouveau prestataire : faites vérifier votre demande en droit de la portabilité et vos preuves avant d’écrire ou de saisir la CNIL. Maître Reda KOHEN, avocat au Barreau de Paris, répond aux dossiers de numérique et données personnelles. Appelez le 06 46 60 58 22 pour une consultation téléphonique en 48 heures avec un avocat du cabinet, ou écrivez via le formulaire de contact du cabinet.