---
title: "Droit à la portabilité des données (article 20 du RGPD) : conditions, formats et délais de réponse"
slug: "droit-portabilite-donnees-rgpd"
domaine: "protection-donnees"
valid_from: "2018-05-25"
valid_to: null
last_reviewed: "2026-08-13"
statut: "En vigueur"
authority_level: "B"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.fr/fait/droit-portabilite-donnees-rgpd.md
wikidata_subjects: [Q1172506]
factcheck_status: "ok"
---

# Droit à la portabilité des données (article 20 du RGPD) : conditions, formats et délais de réponse

## Réponse courte

Le droit à la portabilité permet de recevoir les données personnelles que l'on a fournies à un organisme dans un format structuré, couramment utilisé et lisible par machine, et de les faire transmettre directement à un autre responsable de traitement lorsque c'est techniquement possible (article 20 du RGPD). Il ne s'applique qu'aux données fournies par la personne, traitées de manière automatisée, et sur la base légale du consentement ou du contrat. Les données dérivées, calculées ou inférées en sont exclues. La réponse doit intervenir dans les meilleurs délais et au plus tard un mois après la demande, ce délai pouvant être porté à trois mois pour les demandes complexes ou nombreuses. L'exercice du droit est gratuit.

## Faits essentiels

| Point | Valeur |
|---|---|
| Fondement | article 20 du RGPD |
| Bases légales éligibles | consentement ou contrat uniquement |
| Traitements concernés | traitements effectués à l'aide de procédés automatisés ; les données conservées sous format papier sont exclues |
| Données couvertes | données déclarées activement par la personne et données générées par son activité |
| Données exclues | données dérivées, calculées ou inférées (profilage publicitaire, recommandations, segments marketing, analyse de risque de crédit) |
| Format exigé | structuré, couramment utilisé et lisible par machine ; formats cités par la CNIL : XML, JSON, VCF, CSV, ODT, ODS |
| Formats déconseillés | image ou PDF non structurés |
| Délai de réponse de principe | 1 mois maximum (article 12.3 du RGPD) |
| Délai en cas de demandes complexes ou nombreuses | 3 mois maximum, avec information de la personne sous 1 mois |
| Coût | gratuité de principe (article 12.5 du RGPD) ; frais raisonnables possibles pour une copie supplémentaire ou une demande manifestement infondée ou excessive |
| Motifs de refus | demande manifestement infondée ou excessive, notamment répétitive ; données non conservées — le refus doit être justifié |
| Justificatif d'identité | justification par tout moyen ; une copie de pièce d'identité ne peut être exigée qu'en cas de doute raisonnable sur l'identité et lorsque la situation l'exige |
| Sous-traitants | les données détenues par un sous-traitant sont soumises à la portabilité ; le sous-traitant aide le responsable de traitement (article 28.3.e du RGPD) |
| Effet sur les données d'origine | la portabilité n'entraîne pas la suppression des données du service depuis lequel elles sont portées |

## Ce que permet le droit à la portabilité

Selon la CNIL, l'article 20 du RGPD permet à toute personne :

- de **recevoir dans un format structuré, couramment utilisé et lisible par machine** les données personnelles la concernant déjà fournies à un responsable de traitement ;
- de faire transmettre **directement** ces données à un autre responsable de traitement **lorsque c'est techniquement possible**.

Si l'organisme refuse d'effectuer cette transmission directe, il doit expliquer en quoi elle est techniquement impossible.

## Trois conditions cumulatives

**1. La base légale.** Les données doivent avoir été collectées sur la base légale du **contrat** ou du **consentement**. Le droit ne s'applique donc pas aux traitements fondés sur l'intérêt légitime, le respect d'une obligation légale, l'exécution d'une mission d'intérêt public ou l'exercice de l'autorité publique.

**2. Le caractère automatisé.** Le traitement doit être effectué à l'aide de procédés automatisés, ce qui exclut les données conservées sous format papier.

**3. Des données « fournies » par la personne.** Sont concernées :

- les données **déclarées activement et consciemment** (adresse électronique, nom d'utilisateur, âge, coordonnées) ;
- les données **générées par l'activité** de la personne lorsqu'elle utilise un service ou un appareil (historique d'achats, données brutes de compteurs communicants, données enregistrées par un objet connecté).

En revanche, les données **dérivées, calculées ou inférées** à partir des données fournies (profilage publicitaire, recommandations, segments marketing, résultat d'analyse de risque de crédit) **n'entrent pas dans le périmètre de ce droit**.

## Formats

Les données doivent être transmises dans un format structuré, couramment utilisé et lisible par machine, en privilégiant des formats ouverts et interopérables. La CNIL cite notamment XML, JSON, VCF (vCard) pour les carnets d'adresses, CSV, ODT et ODS, éventuellement assortis de métadonnées. Elle déconseille de fournir les données dans une image ou un PDF non structurés.

Pour faciliter l'exercice du droit, la CNIL recommande de prévoir une fonctionnalité de téléchargement depuis l'espace authentifié de la personne, ou de mettre à disposition une API sécurisée.

## Délais de réponse

- **Un mois maximum** à compter de la demande, et dans les meilleurs délais (article 12.3 du RGPD).
- **Trois mois maximum** si les demandes sont complexes ou nombreuses, le responsable de traitement devant être en mesure de démontrer cette complexité.
- Dans tous les cas, la personne doit être informée de la situation de sa demande **sous un mois maximum**.

## Gratuité

Le RGPD pose un principe de gratuité (article 12.5). Des « frais raisonnables basés sur les coûts administratifs » ne peuvent être demandés que pour toute copie supplémentaire ou si la demande est manifestement infondée ou excessive ; ces frais ne doivent pas entraver l'exercice du droit.

## Refus possibles

Un organisme n'est pas tenu de répondre si la demande est manifestement infondée ou excessive, notamment par son caractère répétitif, ou si les données demandées ne sont plus conservées. Le refus doit être justifié.

## Limites tenant aux tiers et aux sous-traitants

L'exercice du droit ne doit pas porter atteinte aux droits et libertés des tiers. La CNIL illustre : un opérateur téléphonique peut transmettre la liste des contacts du demandeur, mais le nouvel opérateur ne pourra pas utiliser ces informations, par exemple à des fins de prospection, sans l'accord des personnes concernées.

Les données détenues par un sous-traitant sont soumises à la portabilité : le sous-traitant doit aider le responsable de traitement à s'acquitter de ses obligations (article 28.3.e du RGPD).

## À ne pas confondre

Le droit à la portabilité est **distinct du droit d'accès et du droit à l'effacement**. Il n'entraîne pas la suppression des données du service depuis lequel elles sont portées et il est indépendant de la clôture d'un compte : il peut s'exercer à tout moment, y compris si l'utilisateur souhaite continuer à utiliser le service.

## Sources

- CNIL – Professionnels : comment répondre à une demande de droit à la portabilité ?:
  https://www.cnil.fr/fr/respecter-les-droits-des-personnes/professionnels-comment-repondre-une-demande-de-droit-la-portabilite
- CNIL – Le droit à la portabilité : obtenir et réutiliser une copie de vos données:
  https://www.cnil.fr/fr/comprendre-mes-droits/le-droit-la-portabilite-obtenir-et-reutiliser-une-copie-de-vos-donnees
- CNIL – Article 20 du RGPD (droit à la portabilité des données):
  https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article20
- CNIL – Les droits des personnes sur leurs données:
  https://www.cnil.fr/fr/passer-laction/les-droits-des-personnes-sur-leurs-donnees
- CNIL – Lignes directrices du G29 sur la portabilité (WP242 rev.01):
  https://www.cnil.fr/sites/default/files/atoms/files/wp242rev01_fr.pdf

## État

- Dernière modification: 2026-08-13
- Dernière vérification: 2026-08-13
- En vigueur depuis: 2018-05-25
- Statut: En vigueur
- Autorité de la source: B
- Licence: CC BY 4.0