Export de portabilité : choisir les champs à remettre

Un export de portabilité doit contenir les données personnelles éligibles, avec une structure permettant leur réutilisation. Il ne suffit ni de fournir les seuls champs saisis dans un formulaire, ni de copier toute la base. Les données observées pendant l’utilisation du service peuvent être concernées ; les profils déduits par l’organisme relèvent d’une analyse distincte. La spécification doit expliquer ces choix et préserver les relations utiles entre fichiers.

Délimiter les traitements avant de sélectionner les champs

L’Art. 20(1) du RGPD exige des données concernant la personne, qu’elle a fournies, traitées par des procédés automatisés et sur le fondement du consentement visé par ce texte ou de l’Art. 6(1)(b), relatif au contrat. Ces conditions se cumulent. Une application payante ne rend donc pas automatiquement portable chaque information qu’elle contient. Art. 20(1).

Pour préparer l’export, partez des finalités et des bases légales effectivement retenues. Les données nécessaires au service contractuel, celles conservées exclusivement pour une obligation légale et celles utilisées sur un intérêt légitime ne relèvent pas du même raisonnement. Un champ employé pour plusieurs finalités doit être examiné dans chacun des traitements pertinents : son utilisation supplémentaire ne fait pas disparaître son éventuelle éligibilité initiale.

Le guide général de la portabilité des données présente les conditions du droit. Ici, le livrable est une spécification permettant au juriste et au développeur de décider ensemble ce qui sera remis, sous quel nom et avec quelles explications.

Consignez aussi la portée temporelle de la demande. Un export de l’année demandée ne peut pas être présenté comme l’intégralité de l’historique détenu. À l’inverse, ne collectez pas de nouvelles informations personnelles uniquement pour enrichir artificiellement le dossier de portabilité.

Fournies, observées, inférées : une distinction d’origine

Les lignes directrices WP242 rev.01 du G29 interprètent les données « fournies » comme comprenant celles communiquées activement et celles observées dans l’utilisation du service. Elles distinguent les résultats créés par une analyse ultérieure, tels que les profils déduits. Il s’agit de l’interprétation de l’autorité, à articuler avec les conditions de l’Art. 20. WP242 rev.01, pages 11–13.

Le nom d’une colonne ne suffit pas. « Préférence » peut désigner un choix de l’utilisateur ou une prédiction du fournisseur. Demandez comment la valeur a été obtenue, à partir de quelle entrée et pour quelle finalité. De même, un événement généré par le logiciel à chaque consultation reste susceptible de décrire une activité observée ; l’absence de saisie manuelle ne le transforme pas en déduction.

La CNIL reprend cette distinction et rappelle qu’une donnée non portable peut rester accessible au titre du droit d’accès. Fiche CNIL sur la portabilité. Ne répondez donc pas « nous ne communiquons jamais les scores » lorsqu’une personne souhaite aussi comprendre son profil : examinez séparément l’Art. 15 RGPD.

Une spécification renseignée : le dossier P-26

Exemple hypothétique. Le service fictif Carnet Lecture permet à Éloïse de créer des listes et de retrouver les contenus consultés. Dans ce scénario, ces fonctions automatisées sont nécessaires au service contractuel demandé. Éloïse réclame ses listes, son historique et ses préférences pour les réutiliser ailleurs. Son identité et le rattachement au compte P-26 sont établis.

L’équipe recense deux listes personnelles, trois associations entre ces listes et des contenus, ainsi que cinq événements de consultation. Il s’agit de données fictives destinées à expliquer la sélection, et non du résultat d’un essai sur un logiciel réel.

La dernière ligne ne crée pas une exception générale pour toutes les données « techniques ». L’identifiant reliant une consultation à un contenu peut être indispensable. Le secret ouvrant une session ne remplit pas la même fonction. La sélection doit préserver l’intelligibilité sans livrer une clé d’accès au compte.

Le responsable du service valide les finalités et les données réellement détenues ; la personne chargée des droits valide la qualification ; le développeur documente les sources et les transformations. Une décision d’exclusion ne doit pas résulter simplement d’une difficulté d’extraction.

Décrire un export que le destinataire peut relire

Pour P-26, la spécification retient quatre fichiers : profil.csv, listes.csv, contenus_listes.csv et activite.csv. Une notice décrit l’encodage UTF-8, le séparateur virgule, les noms de colonnes, les dates et les relations. Ce choix est proposé pour ce jeu tabulaire ; le RGPD ne prescrit pas universellement le CSV.

Le dictionnaire renseigné comporte notamment :

Cette dernière précision évite d’attribuer à une trace plus qu’elle ne démontre. Un événement de consultation n’établit pas que l’utilisatrice a lu, compris ou apprécié le texte.

Deux lignes d’activité peuvent ainsi être remises :

contenu_id,titre,consulte_le,type_evenement
C-08,Construire une jardinière,2026-09-20T08:15:00Z,consultation
C-08,Construire une jardinière,2026-09-22T17:40:00Z,consultation

Les deux lignes sont utiles : elles décrivent deux événements différents. Une opération technique supprimant tous les doublons sur contenu_id détruirait une partie de l’historique. En revanche, un doublon accidentel d’enregistrement du même événement doit être identifié comme tel, sans inventer une seconde consultation.

Les identifiants d’export peuvent être différents des clés internes si les correspondances restent cohérentes. Ne changez pas C-08 en X-19 dans un fichier sans reporter la même correspondance dans les autres. Le destinataire ne doit pas devoir deviner quelles lignes se rapportent au même objet.

Vérifier la complétude avec des critères explicites

Le contrôle de P-26 porte sur le résultat produit, pas seulement sur le succès du bouton « exporter ». L’équipe rapproche la sélection autorisée des fichiers et consigne les points suivants :

• deux listes sont présentes et leurs noms sont conservés ;
• les trois associations pointent vers une liste existante ;
• les cinq événements retenus sont présents, y compris les consultations répétées ;
• les titres, caractères accentués et horodatages se relisent conformément au dictionnaire ;
• aucun enregistrement d’un autre compte ni secret de connexion n’apparaît ;
• la catégorie calculée est identifiée dans la réponse comme hors portabilité, sans nier le droit d’accès.

Ce sont les critères proposés pour l’exemple. Un autre service peut nécessiter des pièces jointes, des coordonnées géographiques ou une structure de messages ; il faut alors adapter les contrôles à ces données.

Une première extraction qui livre cinq lignes mais oublie leurs dates n’est pas complète sur le fond. Le responsable technique corrige la sélection et l’équipe vérifie à nouveau le fichier réellement remis. Si une partie demeure indisponible, la réponse doit expliquer ce qui manque et les démarches engagées, sans annoncer une remise intégrale.

La documentation des champs et des relations répond à l’exigence de réutilisation. Les lignes directrices recommandent des formats appropriés et des métadonnées permettant de comprendre les informations. WP242 rev.01, pages 20–22. Un PDF contenant une photographie du tableau ne restituerait pas convenablement ce jeu structuré destiné à être réutilisé.

Traiter les données partagées et la transmission directe

P-26 ne contient que des listes personnelles dans l’hypothèse. Si l’une d’elles était collaborative, il faudrait examiner les informations concernant les autres participants et l’usage prévu après transmission. L’Art. 20(4) protège leurs droits et libertés ; leur présence ne justifie pas automatiquement la suppression de toute la liste.

Le nouveau service ne reçoit pas une autorisation générale d’exploiter les coordonnées des participants pour sa prospection. Il doit qualifier ses propres opérations et disposer du fondement nécessaire. La qualification du responsable de traitement reste donc distincte de la décision d’exporter.

Selon l’Art. 20(2), la personne peut obtenir une transmission directe entre responsables lorsque celle-ci est techniquement possible. Vérifiez l’organisme destinataire, le canal authentifié et le périmètre choisi. Si le transfert direct est impossible, exposez l’obstacle concret et organisez la remise à la personne ; une difficulté entre plateformes ne supprime pas son droit de recevoir l’export.

La portabilité ne vaut pas demande d’effacement. L’Art. 20(3) laisse subsister l’examen de ce droit selon l’Art. 17. Ne fermez pas le compte d’Éloïse parce qu’elle télécharge ses données, et ne promettez pas la suppression des archives soumises à une obligation distincte sans analyse.

Expliquer les décisions dans la réponse

La réponse P-26 peut annoncer les quatre fichiers, leur périmètre, le dictionnaire et les cinq événements compris dans l’historique. Elle explique que la catégorie déduite n’entre pas dans cet export et indique comment l’accès à cette donnée sera traité si la demande le couvre. Elle évite la formule ambiguë « toutes vos données sont jointes ».

Suivez le délai de l’Art. 12(3) : réponse sans retard excessif, dans le mois en principe, prolongation motivée dans les conditions du texte. La complexité technique ne donne pas automatiquement trois mois. La procédure de gestion des droits permet de conserver une seule chronologie tout en distinguant accès et portabilité.

Enfin, contrôlez la remise au compte vérifié et la durée d’exposition de l’archive téléchargeable. L’Art. 32(1) impose une sécurité adaptée aux risques, également pour ce fichier concentrant les données d’usage. Art. 32(1).

Ce qu’il faut retenir

• Qualifiez les traitements et l’origine réelle des champs avant d’écrire l’extraction.
• Les données observées ne se limitent pas aux champs saisis manuellement.
• Préservez les relations, les dates, les unités utiles et les événements distincts.
• Motivez les exclusions et examinez séparément les données relevant du droit d’accès.

FAQ

Faut-il remettre les mêmes données dans tous les formats ?

Non. Choisissez un format adapté satisfaisant aux exigences de l’Art. 20. Le dictionnaire doit permettre d’en comprendre la structure ; une multiplication de fichiers identiques ne compense pas des relations manquantes.

Une donnée supprimée doit-elle être recréée pour l’export ?

La portabilité ne commande pas d’inventer ou de reconstituer des données qui ne sont plus détenues. Indiquez le périmètre disponible sans confondre une absence réelle avec une difficulté de recherche ou d’extraction.

Peut-on limiter l’export à la dernière consultation de chaque contenu ?

Seulement si cela correspond au périmètre effectivement demandé et aux données concernées. Lorsque l’historique éligible est détenu et demandé, une synthèse qui efface les événements antérieurs ne le remplace pas.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.