Le droit à la portabilité des données permet aux individus d’obtenir une copie de leurs données personnelles et de les réutiliser à leurs fins dans différents services. Il leur permet de déplacer, copier ou transférer facilement leurs données d’un environnement informatique à un autre en toute sécurité, sans entraver leur utilisation.

Le droit à la portabilité des données s’applique lorsque l’une des conditions suivantes est remplie:

• Le traitement des données à caractère personnel est effectué par des moyens automatisés, ce qui signifie essentiellement “par voie numérique”.
• Le traitement est fondé sur le consentement de la personne concernée ou est nécessaire à l’exécution d’un contrat impliquant la personne concernée.
• La personne concernée doit avoir fourni les données à caractère personnel directement au responsable du traitement. C’est le cas, par exemple, si la personne concernée a assemblé une liste de lecture de ses chansons préférées sur un service de diffusion en continu.

Les responsables du traitement doivent répondre aux demandes de portabilité des données sans retard injustifié et dans un délai d’un mois à compter de leur réception, conformément à l’article 12 du RGPD. Ils doivent également veiller à ce que les données soient transférées en toute sécurité et conformément à la demande.

Les données à caractère personnel doivent être fournies dans un format structuré, couramment utilisé et lisible par machine, tel que JSON, XML ou CSV. Le format doit être facilement compréhensible et réutilisable par la personne concernée.

Vous devez éviter les actions qui entravent le droit d’une personne à la portabilité des données, telles que la facturation d’une redevance pour le transfert des données, l’utilisation de formats compliqués ou propriétaires qui sont difficiles à utiliser, le retardement inutile du transfert des données ou le refus sans raison valable.

Un responsable du traitement peut refuser une demande si elle est infondée ou excessive, en particulier si elle est répétitive. Toutefois, le responsable du traitement doit informer la personne des motifs du refus et de son droit de déposer une plainte auprès d’une autorité de contrôle.

S’il n’est pas possible de transférer les données au responsable du traitement demandé par la personne concernée, informez-la des obstacles. Proposez-lui de recevoir directement les données afin qu’elle puisse les transférer elle-même.

Assurez-vous de bien comprendre la demande de portabilité des données formulée par la personne concernée. N’envoyez pas les mauvaises données ou ne les envoyez pas au mauvais responsable du traitement. Vérifiez que les données transférées sont sécurisées et qu’elles ne sont pas accessibles à des parties non autorisées au cours du processus de transfert.

Les responsables du traitement qui reçoivent les données doivent s’assurer que les données transférées sont traitées de manière licite. Ils doivent évaluer la pertinence des données par rapport à leurs objectifs de traitement et ne pas conserver plus de données que nécessaire. S’ils reçoivent plus de données que nécessaire, ils ne doivent pas les conserver, sauf demande expresse de la personne concernée.