Changer de fournisseur semble simple jusqu’à ce qu’apparaisse une question inconfortable : qu’advient-il des informations accumulées au fil des années ? Photographies, contacts ou historiques d’activité peuvent se retrouver enfermés dans un service, même si la personne elle-même les a générés.
La portabilité des données personnelles vise à réduire une partie de cette dépendance. Lorsque la législation applicable reconnaît ce droit et que ses conditions sont réunies, une personne peut recevoir certaines données dans un format réutilisable et, dans certaines circonstances, demander qu’elles soient transmises à un autre responsable.
Cela ne signifie pas que l’ensemble du compte puisse être migré en un clic, ni ne transforme toutes les données relatives à une personne en sa propriété absolue. Ce qui importe, c’est ce qui est demandé, la manière dont cela a été obtenu et la règle qui régit le cas.
Idée clé : Transférer des données ne consiste pas à déplacer un compte complet, mais à obtenir certaines données dans des conditions qui facilitent leur réutilisation ou leur transmission.
Que signifie la portabilité des données personnelles ?
Dans le modèle du Règlement général sur la protection des données de l’Union européenne (RGPD), la personne a le droit de recevoir les données à caractère personnel qu’elle a fournies à un responsable du traitement dans un format structuré, couramment utilisé et lisible par machine. Elle peut également les transmettre à un autre responsable du traitement sans que le premier y fasse obstacle. Si cela s’avère techniquement possible, elle peut demander la transmission directe de l’un à l’autre.
Un fichier PDF qui permet seulement de lire l’information ne répond pas toujours à la finalité pratique de ce droit. Des formats tels que CSV ou JSON peuvent permettre à un autre système de traiter les champs, mais ils ne garantissent pas que le nouveau fournisseur puisse les importer sans adaptations.
Le considérant 68 du RGPD encourage des formats interopérables, mais n’oblige pas à lui seul à maintenir des systèmes compatibles. Il convient de distinguer :
- Recevoir une copie réutilisable.
- Demander une transmission directe, si cela est techniquement possible.
- Migrer intégralement un service, ce que le droit ne garantit pas.
Quelles données peuvent être incluses ?
La réponse dépend de la législation applicable. Selon l’interprétation européenne, les données « fournies » ne se limitent pas à celles inscrites consciemment dans un formulaire. Elles peuvent également englober des informations observées à partir de l’utilisation d’un service ou d’un appareil.
Pensons à une application d’activité physique. Le nom, l’âge ou les objectifs saisis par la personne sont des données fournies directement. Les relevés de pas, d’itinéraires ou de fréquence cardiaque enregistrés pendant l’utilisation sont des données observées. Ces deux catégories peuvent être couvertes par la portabilité européenne si les autres conditions sont remplies.
En revanche, un profil de risque ou une recommandation algorithmique générés par l’analyse de ces relevés constituent des données inférées. Dans le modèle européen, ils ne font normalement pas partie de l’ensemble portable, bien que d’autres droits permettent d’obtenir des informations sur leur traitement.
Il peut également y avoir des données de tiers, comme des messages ou des contacts. Leur présence n’annule pas automatiquement la portabilité, mais le destinataire ne peut pas utiliser les informations d’autrui pour n’importe quelle finalité : il a besoin d’une base juridique valable et doit respecter le droit à la vie privée de ces personnes.
Distinction utile : L’historique d’utilisation peut être portable ; le profil prédictif créé à partir de cet historique ne l’est normalement pas selon l’approche européenne.
Quand peut-on exercer ce droit ?
L’article 20 du RGPD établit des conditions cumulatives. Dans ce régime, la portabilité s’applique lorsque le traitement :
- est fondé sur le consentement de la personne ou sur un contrat ; et
- est effectué à l’aide de procédés automatisés.
Il ne s’applique pas de la même manière aux traitements nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. De plus, son exercice ne doit pas porter atteinte aux droits et libertés d’autres personnes.
Ces règles ne sont pas universelles. Le Mexique, par exemple, prévoit à l’article 51 de sa loi fédérale sur la protection des données personnelles détenues par des particuliers une copie électronique structurée et, sous certaines conditions, sa transmission à un autre système. Il s’agit d’un contraste, et non d’une extension du RGPD à l’Amérique latine.
Avant d’en faire la demande, il convient de vérifier la loi applicable, qui est le responsable du traitement, quelles données sont sollicitées et quel canal propose le service.
Portabilité, accès et portabilité du numéro ne sont pas la même chose
Le droit d’accès permet de savoir si une organisation traite des données personnelles, d’en obtenir une copie et d’obtenir des informations sur ce traitement. Sa finalité principale est la transparence.
La portabilité vise à réutiliser ou à transférer certaines données dans un format exploitable. Elle peut couvrir un sous-ensemble plus restreint et exiger des conditions supplémentaires.
La portabilité du numéro, pour sa part, permet de conserver son numéro de téléphone lors d’un changement d’opérateur. Bien qu’elle partage l’objectif de réduire les obstacles au changement, elle relève de la réglementation des télécommunications et n’équivaut pas au droit général relatif aux données personnelles.
Il ne faut pas non plus confondre la portabilité avec l’effacement. Recevoir ou transmettre les données ne les supprime pas automatiquement chez le fournisseur initial. Si une personne souhaite qu’elles soient effacées, elle doit vérifier séparément si elle peut exercer le droit à l’effacement et quelles obligations légales justifient leur conservation.
Un exemple pratique et ses limites
Supposons qu’une personne souhaite passer d’une plateforme d’activité physique à une autre. Elle pourrait demander les données qu’elle a saisies et les relevés obtenus pendant l’utilisation, et solliciter un fichier structuré. Si les conditions légales sont réunies et que les systèmes le permettent, elle pourrait également demander l’envoi direct au nouveau fournisseur.
La première plateforme n’aurait pas nécessairement à fournir le profil créé à partir de ses propres analyses. La seconde pourrait ne pas reconnaître l’ensemble des champs. Et toute information relative à des tiers conserverait ses limites.
Le responsable du traitement peut vérifier l’identité et sécuriser le transfert. La sécurité évite les remises frauduleuses, mais elle ne devrait pas se transformer en un obstacle arbitraire.
En pratique : Un fichier portable peut réduire les frictions liées au changement, mais il ne garantit pas que le nouveau service reproduira l’ensemble des fonctions, classifications ou résultats du précédent.
Une plus grande capacité de choix, pas un contrôle absolu
La portabilité peut renforcer l’autonomie individuelle : elle permet d’emporter une partie de sa propre histoire numérique et réduit certains coûts de changement. Sur les marchés où les utilisateurs peuvent partir plus facilement, la concurrence entre fournisseurs peut les inciter à rivaliser sur la qualité, les prix et la confiance.
Cet effet n’est pas automatique : l’incompatibilité, la concentration ou le manque d’alternatives peuvent le limiter. Malgré tout, séparer les données réutilisables du service ouvre un espace pour le choix et l’innovation.
La meilleure façon de comprendre ce droit est donc de le considérer comme un outil concret et limité. Il confère à la personne un certain contrôle sur les données personnelles, mais coexiste avec la sécurité, les obligations du responsable du traitement et les droits d’autrui. Pour l’exercer avec des attentes réalistes, il convient de vérifier la réglementation locale et de se demander non seulement « puis-je télécharger mes données ? », mais aussi « sous quel format, avec quelle portée et dans quel but pourront-elles être réutilisées ? ».
Sources principales
- Règlement (UE) 2016/679, article 20 et considérant 68.
- Agence espagnole de protection des données : droit à la portabilité.
- Comité européen de la protection des données : Lignes directrices sur le droit à la portabilité des données.
- Loi fédérale sur la protection des données personnelles détenues par des particuliers du Mexique.
Partager