Un client vous réclame toutes ses données. Parle-t-il d’un droit d’accès ou d’une portabilité ? La confusion est fréquente, et une mauvaise réponse expose à une plainte. Voici ce que chaque droit permet vraiment d’obtenir, et dans quel format le fournir.
Droit d’accès et portabilité : quelle est la vraie différence ?
Le droit d’accès, prévu par l’article 15 du RGPD, répond à une question simple. Que savez-vous sur moi ? La personne obtient une copie de ses données et des informations sur le traitement.
Le droit à la portabilité, prévu par l’article 20, va plus loin. Il permet de récupérer ses données dans un format réutilisable, puis de les transférer ailleurs.
Le premier sert à comprendre et contrôler. Le second sert à déplacer ses données vers un concurrent ou un nouvel outil. L’accès éclaire, la portabilité déménage.
Les deux droits coexistent, mais ne couvrent jamais le même périmètre. Bien savoir répondre à une demande de droit d’accès ne suffit donc pas à traiter une portabilité.
Quelles données puis-je obtenir avec chaque droit ?
Le droit d’accès couvre l’ensemble des données personnelles traitées, quelle qu’en soit l’origine. Cela inclut les données fournies par la personne, mais aussi celles observées ou déduites par l’organisme.
La portabilité est bien plus restreinte. Elle ne vise que les données que la personne a elle-même fournies, activement ou par l’usage d’un service.
Un profil calculé par un algorithme, un score de risque, une note interne : ces éléments restent accessibles via le droit d’accès, mais échappent à la portabilité.
Cette nuance change tout côté entreprise. Vous ne préparez pas le même export selon la demande reçue, comme le montre le tableau suivant.
| Critère | Droit d’accès | Droit à la portabilité |
|---|---|---|
| Article RGPD | Article 15 | Article 20 |
| Données visées | Toutes les données traitées | Uniquement les données fournies |
| Base légale requise | Aucune condition | Consentement ou contrat |
| Format attendu | Copie lisible, libre | Structuré, lisible par machine |
| Transfert direct | Non prévu | Oui, si techniquement possible |
| Délai de réponse | 1 mois | 1 mois |
Dans quel format l’organisme doit-il répondre ?
Pour le droit d’accès, le RGPD reste souple. Une copie lisible suffit : un PDF, un tableau, un courrier ou l’accès à un espace sécurisé.
Pour la portabilité, l’exigence devient technique. Les données doivent être fournies dans un format structuré, couramment utilisé et lisible par machine.
En pratique, cela signifie CSV, JSON ou XML. Un PDF scanné ou une capture d’écran ne remplissent pas cette obligation.
L’objectif est clair. Le nouveau responsable de traitement doit pouvoir réimporter les données sans ressaisie manuelle, par exemple pour alimenter un CRM conforme.
Quand le droit à la portabilité ne s’applique-t-il pas ?
La portabilité connaît une limite majeure : la base légale. Elle ne joue que si le traitement repose sur le consentement ou sur un contrat.
Un traitement fondé sur l’intérêt légitime ou sur une obligation légale échappe à la portabilité. Le droit d’accès, lui, s’applique toujours. Vérifiez donc d’abord la base légale du traitement avant de répondre.
La CNIL rappelle que l’intérêt légitime ouvre le droit d’opposition, mais pas la portabilité.
Avant d’exporter, passez cette courte liste en revue.
- Le traitement repose sur le consentement ou un contrat.
- Le traitement est automatisé, pas uniquement sur papier.
- Les données ont été fournies par la personne elle-même.
- Le transfert ne révèle aucune donnée concernant des tiers.
Distinguer ces deux droits et bâtir les bons exports demande méthode et traçabilité. Un DPO externe qui pilote vos demandes de droits sécurise chaque réponse dans le délai d’un mois et documente vos procédures face à un contrôle.
Pour aller plus loin, cartographiez d’abord l’ensemble des droits RGPD des personnes, afin de router chaque demande vers le bon processus dès sa réception.
FAQ
Le droit d’accès et la portabilité ont-ils le même délai ?
Oui. Les deux droits imposent une réponse sous un mois à compter de la demande. Ce délai peut être prolongé de deux mois en cas de demande complexe ou nombreuse, à condition d’informer la personne de la prolongation et de sa raison dès le premier mois.
Une demande de portabilité peut-elle être gratuite ?
Oui, la première réponse est gratuite. L’organisme ne peut facturer que des demandes manifestement infondées ou excessives, notamment répétitives. Il doit alors justifier ce caractère excessif, faute de quoi le refus ou la facturation exposent à une plainte auprès de la CNIL.
Faut-il transférer les données directement au concurrent ?
Seulement si la personne le demande et si c’est techniquement possible. À défaut, vous remettez les données à la personne, qui les transmet elle-même. Aucune obligation d’interopérabilité totale entre systèmes n’est imposée par le texte, mais un effort raisonnable est attendu.
Peut-on refuser un droit d’accès pour protéger des tiers ?
Vous pouvez occulter les données concernant d’autres personnes, mais pas refuser l’accès en bloc. Le principe reste la communication. Seules les informations qui porteraient atteinte aux droits d’un tiers sont masquées, en documentant précisément ce choix au cas où la CNIL le vérifierait.
