Portabilité des données RGPD : guide + modèle 2026

L’essentiel. Le droit à la portabilité (art. 20 RGPD) oblige à remettre à une personne les données qu’elle vous a fournies, dans un format structuré et réutilisable (JSON, CSV, XML), sous un mois. Il ne s’applique que si le traitement repose sur le consentement ou l’exécution d’un contrat et qu’il est automatisé. Ni les données inférées, ni les traitements fondés sur l’intérêt légitime ou l’obligation légale n’y sont soumis.

Un client vous demande de lui transmettre « toutes ses données » dans un fichier exploitable pour les importer chez un concurrent. Devez-vous accéder à cette demande ? Sous quel délai ? Dans quel format ? Le droit à la portabilité, créé par l’article 20 du RGPD, est l’un des droits les plus mal compris — et les plus mal appliqués — par les entreprises. Beaucoup confondent portabilité et droit d’accès, exportent un PDF là où un fichier machine est exigé, ou répondent à des demandes qui n’entrent en réalité pas dans le champ de l’article 20.

Ce guide fait le point sur ce que la loi exige réellement en 2026, avec une procédure en cinq étapes, un tableau de décision et un modèle de réponse prêt à adapter.

Ce qu’est réellement le droit à la portabilité

Le droit à la portabilité permet à toute personne concernée de recevoir les données à caractère personnel la concernant dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement sans que le premier y fasse obstacle.

Ce droit est fondamentalement différent du droit d’accès (art. 15 RGPD). Le droit d’accès permet de consulter ses données et d’en obtenir une copie lisible. La portabilité permet de les récupérer dans un format réutilisable — pour les réinjecter dans un autre service. L’objectif du législateur européen était double : donner à l’individu un contrôle accru sur ses données personnelles et favoriser la concurrence en luttant contre les effets de verrouillage (lock-in) des plateformes numériques.

Concrètement, la portabilité vise à ce qu’un utilisateur puisse quitter un service (messagerie, plateforme musicale, banque, réseau social) en emportant son historique, plutôt que de repartir de zéro chez le concurrent.

Les deux conditions cumulatives

Le droit à la portabilité ne s’applique que si les deux conditions suivantes sont réunies simultanément.

1. La base légale du traitement est le consentement ou l’exécution d’un contrat.

Seuls deux des six fondements juridiques de l’article 6 ouvrent droit à la portabilité :

• le consentement (art. 6(1)(a), ou art. 9(2)(a) pour les données sensibles) ;
• l’exécution d’un contrat auquel la personne est partie, ou de mesures précontractuelles prises à sa demande (art. 6(1)(b)).

Si votre traitement repose sur l’intérêt légitime, l’obligation légale ou la mission d’intérêt public, la portabilité ne s’applique pas. C’est le point que la plupart des entreprises ignorent, et il change tout : un traitement de gestion de la paie (obligation légale) ou de prévention de la fraude (intérêt légitime) échappe à l’article 20.

2. Le traitement est effectué à l’aide de procédés automatisés.

Les traitements entièrement manuels (dossiers papier non numérisés) sont exclus. En pratique, la quasi-totalité des traitements modernes remplit cette condition.

Tableau de décision rapide

Base légale du traitement	Traitement automatisé ?	Portabilité due ?
Consentement (art. 6(1)(a))	Oui	Oui
Exécution du contrat (art. 6(1)(b))	Oui	Oui
Intérêt légitime (art. 6(1)(f))	Oui	Non
Obligation légale (art. 6(1)©)	Oui	Non
Mission d’intérêt public (art. 6(1)(e))	Oui	Non (exclusion art. 20(3))
Consentement ou contrat	Non (papier)	Non

Quelles données sont concernées ?

La portabilité ne porte pas sur toutes les données que vous détenez sur une personne. L’article 20 est précis : elle ne couvre que les données fournies par la personne concernée.

Données incluses : les données fournies

Sont incluses les données que la personne a activement communiquées, mais aussi celles qu’elle a générées par son usage du service :

• les données de formulaires (nom, prénom, e-mail, adresse, date de naissance) ;
• les données de profil qu’elle a renseignées ;
• les contenus qu’elle a produits (messages, publications, commentaires, photos) ;
• les données d’activité générées par l’utilisation du service (historique d’écoute sur une plateforme musicale, historique d’achats, requêtes de recherche, itinéraires sur une application de navigation, données de capteurs d’un objet connecté).

Ce dernier point est souvent sous-estimé : les données « observées » lors de l’usage du service — et non simplement saisies dans un formulaire — sont bien considérées comme « fournies » au sens de l’article 20.

Données exclues : les données inférées et dérivées

Ne sont pas portables :

• les données inférées ou déduites par le responsable de traitement à partir des données brutes (score de crédit, profil comportemental calculé, segmentation marketing, résultats d’un algorithme de recommandation) ;
• les données générées par le responsable de traitement pour ses propres besoins (identifiants internes, logs système, écritures comptables).

Les lignes directrices du Comité européen de la protection des données (CEPD, ex-G29) sur le droit à la portabilité confirment cette distinction. Un score de risque calculé par une banque à partir des transactions d’un client n’est pas portable ; l’historique des transactions lui-même l’est.

Type de donnée	Exemple	Portable ?
Données saisies	Nom, e-mail, adresse	Oui
Contenus créés	Messages, photos, avis	Oui
Données d’usage observées	Historique d’achats, playlist	Oui
Données inférées	Score, segment marketing, profil	Non
Données générées en interne	Logs, identifiants techniques	Non

Format et délai de réponse

Le format : structuré, lisible par machine, interopérable

Le RGPD n’impose pas un format unique, mais le format choisi doit être :

• structuré : pas de PDF mis en page ni de document Word ; les données doivent être exploitables champ par champ ;
• couramment utilisé : un format répandu, non propriétaire ;
• lisible par machine : le fichier doit pouvoir être traité automatiquement par un logiciel.

En pratique, trois formats satisfont ces critères :

• JSON — format de référence pour les API, recommandé pour les données complexes et imbriquées ;
• CSV — adapté aux données tabulaires simples (listes de transactions, contacts) ;
• XML — utilisé dans certains secteurs réglementés (banque, santé).

Le PDF, le format Word ou l’impression papier ne satisfont pas à l’exigence de portabilité, même s’ils peuvent être fournis en supplément à titre d’information humaine. Le CEPD recommande d’accompagner l’export de métadonnées (dictionnaire des champs) pour que les données restent compréhensibles une fois importées ailleurs.

Le délai : 1 mois, prorogeable une fois

Vous disposez d’un mois à compter de la réception de la demande pour y répondre (art. 12(3)). Ce délai est identique à celui du droit d’accès et du droit à l’effacement.

En cas de demandes nombreuses ou complexes, ce délai peut être prorogé de deux mois supplémentaires, à condition d’en informer la personne dans le délai initial d’un mois, en expliquant les raisons du retard. La CNIL rappelle que la complexité doit être réelle et documentée — pas invoquée de manière automatique pour toutes les demandes.

La transmission directe à un autre responsable de traitement

L’article 20(2) prévoit une faculté supplémentaire, la plus innovante et la plus rarement appliquée correctement : la personne peut demander que ses données soient transmises directement d’un responsable à un autre, lorsque c’est techniquement possible.

Cela implique que :

1. la personne vous demande de transférer ses données directement à un tiers (concurrent, nouveau prestataire) ;
2. vous êtes tenu de le faire si c’est techniquement possible.

La notion de « techniquement possible » laisse une marge d’appréciation, mais elle ne peut pas servir de prétexte général au refus. Si vous disposez d’une API ou d’un export automatisé, la transmission directe est généralement considérée comme réalisable. Attention : vous n’êtes pas responsable du traitement effectué par le destinataire une fois les données transmises.

Des secteurs entiers ont bâti des standards de portabilité directe : l’open banking avec la DSP2, la santé avec Mon espace santé et l’Identifiant national de santé, ou l’énergie avec les données de consommation Enedis.

Cas pratiques : qui est concerné, qui ne l’est pas

Un SaaS B2C : fortement concerné

Une plateforme reposant sur un contrat d’utilisation avec des particuliers (abonnements, données de profil, historique d’activité) est pleinement soumise à la portabilité. Ses utilisateurs peuvent demander l’export de leurs données à tout moment.

Un employeur : partiellement concerné

Le traitement des données de salariés repose le plus souvent sur l’obligation légale (paie, déclarations sociales) ou l’exécution du contrat de travail. La portabilité s’applique aux données relevant du contrat et fournies par le salarié (profil renseigné lors du recrutement, demandes de congés). Elle ne s’applique pas aux données de surveillance ni aux données générées par l’entreprise (évaluations, logs de connexion).

Une administration publique : non concernée

Les traitements fondés sur une mission d’intérêt public (art. 6(1)(e)) sont explicitement exclus du champ de la portabilité par l’article 20(3). Une mairie, un tribunal ou une caisse d’assurance maladie n’est pas tenu de fournir des exports portables au titre de ces traitements.

Un cabinet médical : concerné pour les données consenties

Si des données de santé sont traitées avec le consentement du patient (art. 9(2)(a)) — cas de nombreuses applications de suivi —, la portabilité s’applique. En revanche, les données de soins traitées dans le cadre d’une obligation légale (dossier médical réglementaire) y échappent. Voir notre guide dédié au RGPD en cabinet médical.

Procédure de traitement des demandes en 5 étapes

Étape 1 — Vérifier l’identité du demandeur

Assurez-vous que la personne est bien celle qu’elle prétend être. En cas de doute raisonnable, vous pouvez demander un justificatif, mais la vérification doit rester proportionnée : vous ne pouvez pas exiger une copie de pièce d’identité pour une demande émanant d’un compte déjà authentifié.

Étape 2 — Qualifier la demande

Identifiez :

• le traitement concerné et sa base légale (consentement ou contrat ?) ;
• la nature des données demandées (fournies par la personne, ou inférées ?) ;
• s’il s’agit d’un export personnel ou d’une transmission directe à un tiers.

Étape 3 — Préparer l’export

Générez le fichier dans un format adapté (JSON ou CSV selon la structure des données). L’export doit être complet sur le périmètre couvert — pas de tri arbitraire — mais limité aux seules données fournies. Vérifiez que l’export ne contient pas de données personnelles de tiers (par exemple les coordonnées d’un autre utilisateur figurant dans une conversation).

Étape 4 — Transmettre de manière sécurisée

N’envoyez jamais un fichier de données personnelles par e-mail non chiffré. Privilégiez :

• un lien de téléchargement sécurisé à expiration courte (48-72 h) ;
• un envoi chiffré (archive protégée par mot de passe transmis par canal séparé) ;
• un espace personnel sécurisé dans votre interface.

Étape 5 — Documenter la réponse

Tracez la demande, sa date de réception, la date de réponse et le périmètre transmis. Cette traçabilité est nécessaire pour démontrer votre conformité en cas de contrôle, au titre du principe de responsabilité (art. 5(2) et 24). Un registre des demandes d’exercice des droits est le support naturel de cette documentation.

Checklist express

• [ ] Base légale = consentement ou contrat
• [ ] Traitement automatisé
• [ ] Données fournies par la personne (pas inférées)
• [ ] Identité vérifiée de façon proportionnée
• [ ] Format machine (JSON/CSV/XML), pas PDF
• [ ] Données de tiers exclues
• [ ] Transmission sécurisée
• [ ] Réponse sous 1 mois (ou information de prorogation)
• [ ] Demande tracée au registre

Modèle de réponse à une demande de portabilité

Objet : Réponse à votre demande de portabilité (article 20 du RGPD)

Madame, Monsieur,

Nous accusons réception de votre demande de portabilité reçue le [date]. Après vérification de votre identité, vous trouverez ci-joint un fichier au format [JSON/CSV] contenant les données à caractère personnel que vous nous avez fournies dans le cadre de [service / contrat concerné].

Ce fichier comprend : [profil, historique d’activité, contenus créés…]. Conformément à l’article 20, il ne comprend pas les données que nous avons déduites ou générées en interne, ni les données relevant de traitements fondés sur une autre base légale.

Le fichier est accessible via le lien sécurisé suivant, valable 72 heures : [lien]. Un dictionnaire des champs est joint pour en faciliter la réutilisation.

Pour toute question, vous pouvez contacter notre délégué à la protection des données à [adresse]. Vous disposez par ailleurs du droit d’introduire une réclamation auprès de la CNIL.

Veuillez agréer, Madame, Monsieur, nos salutations distinguées.

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — mise à jour le 10/07/2026.

Sanctions en cas de non-respect

Le manquement au droit à la portabilité relève de l’article 83(4) du RGPD : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL sanctionne régulièrement les manquements aux droits des personnes, et une entreprise qui ignorerait systématiquement les demandes de portabilité s’exposerait à un rappel à l’ordre puis à une sanction pécuniaire. Pour un panorama des risques, voir notre guide sur les sanctions RGPD.

En pratique, une personne qui n’obtient pas satisfaction peut saisir la CNIL via son formulaire de plainte en ligne. L’autorité dispose alors d’un pouvoir d’injonction, le cas échéant assorti d’astreinte, pour forcer la mise en conformité.

Pour structurer et tracer l’ensemble des demandes d’exercice des droits à l’échelle, un logiciel RGPD permet d’industrialiser la qualification des demandes, la génération des exports et la conservation des preuves de réponse.

Portabilité RGPD et portabilité du Data Act : ne pas confondre

Il ne faut pas confondre la portabilité du RGPD (données personnelles, droit individuel) avec la portabilité introduite par le Data Act européen (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025.

Le Data Act crée un droit d’accès et de partage des données générées par les objets connectés au profit de leurs utilisateurs, professionnels compris. C’est une portabilité des données d’usage industriel, distincte des données personnelles au sens strict. Les deux régimes coexistent et peuvent se chevaucher lorsqu’un objet connecté collecte aussi des données personnelles : le responsable doit alors articuler les deux textes et déterminer, champ par champ, quel régime s’applique.

Ce qu’il faut retenir

• Le droit à la portabilité (art. 20) ne s’applique que si le traitement repose sur le consentement ou l’exécution d’un contrat et est automatisé.
• Seules les données fournies par la personne sont portables — pas les données inférées ni générées en interne.
• Le format doit être structuré, lisible par machine et couramment utilisé (JSON, CSV, XML — jamais PDF).
• Le délai de réponse est d’un mois, prorogeable de deux mois en cas de complexité justifiée.
• La transmission directe à un autre responsable est due si elle est techniquement possible.
• Les traitements fondés sur l’intérêt légitime, l’obligation légale ou la mission d’intérêt public ne sont pas soumis à la portabilité.

FAQ

Le droit à la portabilité s’applique-t-il si notre traitement repose sur l’intérêt légitime ?

Non. L’article 20 est explicite : seuls les traitements fondés sur le consentement (art. 6(1)(a)) ou l’exécution d’un contrat (art. 6(1)(b)) ouvrent droit à la portabilité. Si votre base légale est l’intérêt légitime, l’obligation légale ou la mission d’intérêt public, vous n’êtes pas tenu d’accéder aux demandes de portabilité — mais le droit d’accès (art. 15) continue, lui, de s’appliquer.

Peut-on facturer des frais pour fournir l’export de données ?

En principe non. Comme pour le droit d’accès, la réponse doit être gratuite. La CNIL n’admet des frais raisonnables ou un refus que lorsque les demandes sont « manifestement infondées ou excessives », ce qui suppose un caractère répétitif abusif — pas une première demande légitime. La charge de la preuve du caractère abusif pèse sur le responsable de traitement.

Doit-on fournir toutes les données ou seulement celles d’un service particulier ?

La portabilité porte sur les données du ou des traitements visés par la demande et remplissant les conditions de l’article 20. Si la personne demande l’ensemble des données que vous détenez, vous devez qualifier chaque traitement : quelle base légale ? Données fournies ou inférées ? La portabilité ne s’étend pas aux traitements qui n’y sont pas soumis, mais ces derniers peuvent relever du droit d’accès.

Faut-il répondre à une demande de portabilité si la personne est en litige avec nous ?

Oui. Le droit à la portabilité ne peut être suspendu au motif qu’un litige est en cours. Le refuser dans ce contexte constituerait un manquement sanctionnable. Vous restez toutefois fondé à ne transmettre que les données entrant dans le champ de l’article 20 et à exclure les données de tiers.

Quelle différence entre portabilité et droit d’accès ?

Le droit d’accès (art. 15) permet à la personne d’obtenir une copie de toutes ses données, dans un format lisible par un humain, quelle que soit la base légale. La portabilité (art. 20) est plus restreinte sur le périmètre (données fournies uniquement, bases légales limitées) mais plus exigeante sur le format (fichier machine réutilisable) et ajoute la transmission directe entre responsables.

Combien de temps conserver la preuve d’une réponse de portabilité ?

Conservez la trace de la demande et de la réponse le temps utile à la démonstration de votre conformité, en cohérence avec votre politique de durées de conservation. Reportez-vous à notre tableau des durées de conservation pour calibrer cette durée sans conserver le fichier exporté plus longtemps que nécessaire.

---

Recevez chaque semaine nos analyses conformité RGPD directement dans votre boîte mail — inscrivez-vous à notre newsletter.