Quelle est la différence entre droit d'accès et droit à la portabilité ?

Le droit d'accès permet de connaître les données détenues par un organisme, y compris dans un format lisible par un humain. Le droit à la portabilité vise la réutilisation : il ne porte que sur les données fournies par la personne, traitées de façon automatisée sur la base du consentement ou d'un contrat, et impose un format structuré et lisible par machine.

Mon profil publicitaire est-il portable ?

Non. Selon la CNIL, les données dérivées, calculées ou inférées à partir des données fournies — profilage à des fins publicitaires, recommandations, segments marketing, résultat d'analyse de risque de crédit — n'entrent pas dans le périmètre du droit à la portabilité.

Dans quel délai l'organisme doit-il répondre ?

Dans les meilleurs délais et au plus tard un mois (article 12.3 du RGPD). Ce délai peut être porté à trois mois si les demandes sont complexes ou nombreuses, mais la personne doit être informée de la situation de sa demande sous un mois maximum.

Faut-il payer pour exercer ce droit ?

Non, le RGPD pose un principe de gratuité (article 12.5). Des frais raisonnables basés sur les coûts administratifs ne peuvent être demandés que pour une copie supplémentaire ou si la demande est manifestement infondée ou excessive, sans entraver l'exercice du droit.

Exercer la portabilité efface-t-il mes données chez l'organisme ?

Non. La portabilité et l'effacement sont deux droits distincts. Les données ne sont supprimées que si la personne en fait spécifiquement la demande, une fois la finalité atteinte ou les durées de conservation dépassées.

Droit à la portabilité des données (article 20 du RGPD) : conditions, formats et délais de réponse En vigueur

RGPD CNIL Droit à la portabilité Données personnelles France

Réponse courte Le droit à la portabilité permet de recevoir les données personnelles que l'on a fournies à un organisme dans un format structuré, couramment utilisé et lisible par machine, et de les faire transmettre directement à un autre responsable de traitement lorsque c'est techniquement possible (article 20 du RGPD). Il ne s'applique qu'aux données fournies par la personne, traitées de manière automatisée, et sur la base légale du consentement ou du contrat. Les données dérivées, calculées ou inférées en sont exclues. La réponse doit intervenir dans les meilleurs délais et au plus tard un mois après la demande, ce délai pouvant être porté à trois mois pour les demandes complexes ou nombreuses. L'exercice du droit est gratuit.

Faits essentiels

Point	Valeur
Fondement	article 20 du RGPD B
Bases légales éligibles	consentement ou contrat uniquement B
Traitements concernés	traitements effectués à l'aide de procédés automatisés ; les données conservées sous format papier sont exclues B
Données couvertes	données déclarées activement par la personne et données générées par son activité B
Données exclues	données dérivées, calculées ou inférées (profilage publicitaire, recommandations, segments marketing, analyse de risque de crédit) B
Format exigé	structuré, couramment utilisé et lisible par machine ; formats cités par la CNIL : XML, JSON, VCF, CSV, ODT, ODS B
Formats déconseillés	image ou PDF non structurés B
Délai de réponse de principe	1 mois maximum (article 12.3 du RGPD) B
Délai en cas de demandes complexes ou nombreuses	3 mois maximum, avec information de la personne sous 1 mois B
Coût	gratuité de principe (article 12.5 du RGPD) ; frais raisonnables possibles pour une copie supplémentaire ou une demande manifestement infondée ou excessive B
Motifs de refus	demande manifestement infondée ou excessive, notamment répétitive ; données non conservées — le refus doit être justifié B
Justificatif d'identité	justification par tout moyen ; une copie de pièce d'identité ne peut être exigée qu'en cas de doute raisonnable sur l'identité et lorsque la situation l'exige B
Sous-traitants	les données détenues par un sous-traitant sont soumises à la portabilité ; le sous-traitant aide le responsable de traitement (article 28.3.e du RGPD) B
Effet sur les données d'origine	la portabilité n'entraîne pas la suppression des données du service depuis lequel elles sont portées B

Ce que permet le droit à la portabilité

Selon la CNIL, l'article 20 du RGPD permet à toute personne :

de recevoir dans un format structuré, couramment utilisé et lisible par machine les données personnelles la concernant déjà fournies à un responsable de traitement ;
de faire transmettre directement ces données à un autre responsable de traitement lorsque c'est techniquement possible.

Si l'organisme refuse d'effectuer cette transmission directe, il doit expliquer en quoi elle est techniquement impossible.

Trois conditions cumulatives

1. La base légale. Les données doivent avoir été collectées sur la base légale du contrat ou du consentement. Le droit ne s'applique donc pas aux traitements fondés sur l'intérêt légitime, le respect d'une obligation légale, l'exécution d'une mission d'intérêt public ou l'exercice de l'autorité publique.

2. Le caractère automatisé. Le traitement doit être effectué à l'aide de procédés automatisés, ce qui exclut les données conservées sous format papier.

3. Des données « fournies » par la personne. Sont concernées :

les données déclarées activement et consciemment (adresse électronique, nom d'utilisateur, âge, coordonnées) ;
les données générées par l'activité de la personne lorsqu'elle utilise un service ou un appareil (historique d'achats, données brutes de compteurs communicants, données enregistrées par un objet connecté).

En revanche, les données dérivées, calculées ou inférées à partir des données fournies (profilage publicitaire, recommandations, segments marketing, résultat d'analyse de risque de crédit) n'entrent pas dans le périmètre de ce droit.

Formats

Les données doivent être transmises dans un format structuré, couramment utilisé et lisible par machine, en privilégiant des formats ouverts et interopérables. La CNIL cite notamment XML, JSON, VCF (vCard) pour les carnets d'adresses, CSV, ODT et ODS, éventuellement assortis de métadonnées. Elle déconseille de fournir les données dans une image ou un PDF non structurés.

Pour faciliter l'exercice du droit, la CNIL recommande de prévoir une fonctionnalité de téléchargement depuis l'espace authentifié de la personne, ou de mettre à disposition une API sécurisée.

Délais de réponse

Un mois maximum à compter de la demande, et dans les meilleurs délais (article 12.3 du RGPD).
Trois mois maximum si les demandes sont complexes ou nombreuses, le responsable de traitement devant être en mesure de démontrer cette complexité.
Dans tous les cas, la personne doit être informée de la situation de sa demande sous un mois maximum.

Gratuité

Le RGPD pose un principe de gratuité (article 12.5). Des « frais raisonnables basés sur les coûts administratifs » ne peuvent être demandés que pour toute copie supplémentaire ou si la demande est manifestement infondée ou excessive ; ces frais ne doivent pas entraver l'exercice du droit.

Refus possibles

Un organisme n'est pas tenu de répondre si la demande est manifestement infondée ou excessive, notamment par son caractère répétitif, ou si les données demandées ne sont plus conservées. Le refus doit être justifié.

Limites tenant aux tiers et aux sous-traitants

L'exercice du droit ne doit pas porter atteinte aux droits et libertés des tiers. La CNIL illustre : un opérateur téléphonique peut transmettre la liste des contacts du demandeur, mais le nouvel opérateur ne pourra pas utiliser ces informations, par exemple à des fins de prospection, sans l'accord des personnes concernées.

Les données détenues par un sous-traitant sont soumises à la portabilité : le sous-traitant doit aider le responsable de traitement à s'acquitter de ses obligations (article 28.3.e du RGPD).

À ne pas confondre

Le droit à la portabilité est distinct du droit d'accès et du droit à l'effacement. Il n'entraîne pas la suppression des données du service depuis lequel elles sont portées et il est indépendant de la clôture d'un compte : il peut s'exercer à tout moment, y compris si l'utilisateur souhaite continuer à utiliser le service.

Sources

CNIL – Professionnels : comment répondre à une demande de droit à la portabilité ?: https://www.cnil.fr/fr/respecter-les-droits-des-personnes/professionnels-comment-repondre-une-demande-de-droit-la-portabilite B
CNIL – Le droit à la portabilité : obtenir et réutiliser une copie de vos données: https://www.cnil.fr/fr/comprendre-mes-droits/le-droit-la-portabilite-obtenir-et-reutiliser-une-copie-de-vos-donnees B
CNIL – Article 20 du RGPD (droit à la portabilité des données): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article20 B
CNIL – Les droits des personnes sur leurs données: https://www.cnil.fr/fr/passer-laction/les-droits-des-personnes-sur-leurs-donnees B
CNIL – Lignes directrices du G29 sur la portabilité (WP242 rev.01): https://www.cnil.fr/sites/default/files/atoms/files/wp242rev01_fr.pdf B

Dernière modification:: 2026-08-13
Dernière vérification:: 2026-08-13
En vigueur depuis:: 2018-05-25
Statut:: En vigueur
Autorité de la source:: B
Licence:: CC BY 4.0

Une erreur ? Merci de la signaler à info@nexvyra.fr.