Exercer son droit à la portabilité des données RGPD en 2026 : démarches et délais

Le droit à la portabilité, inscrit à l'article 20 du RGPD, vous permet de récupérer vos données personnelles dans un format structuré et lisible par machine (CSV, JSON, vCard) pour les transmettre à un autre service. L'organisme doit répondre dans un délai d'un mois, prolongeable de deux mois en cas de complexité. CNIL — Droit à la portabilité.

Conditions exactes pour exercer le droit à la portabilité en 2026

Deux conditions cumulatives doivent être remplies pour que le droit à la portabilité s'applique (article 20 du RGPD) :

• Traitement automatisé : les données doivent être traitées par des moyens informatiques. Les fichiers papier ou les archives manuelles sont exclus du champ de la portabilité.
• Base légale : consentement ou contrat : le traitement doit reposer sur votre consentement (article 6.1.a du RGPD) ou sur l'exécution d'un contrat (article 6.1.b). Les traitements fondés sur une obligation légale, une mission d'intérêt public ou l'intérêt légitime du responsable ne sont pas éligibles à la portabilité.

Concrètement, ce droit s'applique aux données que vous fournissez à un réseau social, un service en ligne, une application de santé ou une plateforme e-commerce. En revanche, les déclarations d'impôt, les images de vidéosurveillance et les données de badgeuse sont exclues car leur traitement repose sur une obligation légale, pas sur un consentement ou un contrat. Article 20 du RGPD — texte intégral.

Quelles données sont portables et lesquelles ne le sont pas

La portabilité couvre deux catégories de données :

• Données déclarées : coordonnées, préférences, likes, photos que vous avez vous-même fournies.
• Données d'activité : historique d'achats, données enregistrées par une montre connectée, historique de navigation sur la plateforme.

Sont exclues de la portabilité :

• Les données dérivées ou inférées : scoring de crédit, segmentation marketing, profilage algorithmique, notation par d'autres utilisateurs.
• Les données dont le traitement repose sur une base légale autre que le consentement ou le contrat (obligation légale, intérêt public).
• Les données dont la communication porterait atteinte aux droits et libertés de tiers (article 20.4 du RGPD).

Exemple : votre banque peut vous communiquer son analyse de risque de crédit au titre du droit d'accès (format PDF), mais n'est pas tenue de la fournir au format structuré exigé par la portabilité.

Comment demander la portabilité : procédure étape par étape

Étape 1 — Identifiez le responsable de traitement et son DPO (Délégué à la Protection des Données). Ses coordonnées figurent obligatoirement dans la politique de confidentialité du service ou dans les mentions légales.

Étape 2 — Vérifiez si le service propose un dispositif de portabilité intégré. De nombreuses plateformes (Facebook, Google, Twitter/X) offrent un bouton de téléchargement direct dans les paramètres du compte. C'est le chemin le plus rapide.

Étape 3 — Si aucun dispositif n'existe, adressez une demande écrite au responsable de traitement ou à son DPO. La CNIL met à disposition des modèles de courrier pour exercer vos droits RGPD. Précisez que vous invoquez l'article 20 du RGPD et indiquez le format souhaité (CSV, JSON, vCard).

Étape 4 — Conservez une preuve de votre demande : copie du courrier recommandé avec AR, capture d'écran du formulaire en ligne, ou e-mail avec accusé de réception.

Étape 5 — Le responsable dispose d'un délai d'un mois pour répondre. En cas de complexité, il peut prolonger de deux mois supplémentaires, mais doit vous en informer dans le premier mois avec les motifs du report (article 12.3 du RGPD).

Format des données récupérées : ce que la loi exige

L'article 20 exige que les données soient fournies dans un format structuré, couramment utilisé et lisible par machine. La CNIL recommande de privilégier les formats ouverts et interopérables :

• vCard/VCF : pour les contacts et carnets d'adresses.
• CSV : pour les données tabulaires (historique d'achats, relevés).
• JSON : pour les données de localisation, paramètres de compte, historique d'activité.

Les formats inadaptés : images, PDF non structuré, formats propriétaires nécessitant l'achat d'un logiciel ou d'une licence. Si l'organisme vous fournit un PDF image au lieu d'un CSV, il ne respecte pas ses obligations.

Demande de transmission directe entre deux services

L'article 20.2 du RGPD vous permet de demander qu'un organisme A transmette directement vos données à un organisme B, sans que vous n'ayez à les télécharger puis les réimporter. Cette transmission directe n'est obligatoire que lorsqu'elle est techniquement possible. Si l'organisme refuse, il doit justifier pourquoi le transfert direct n'est pas réalisable techniquement (incompatibilité de systèmes, absence d'API, etc.).

Différence entre droit d'accès et droit à la portabilité

Ce sont deux droits distincts avec des objectifs différents :

• Droit d'accès (article 15 RGPD) : consulter toutes les données détenues, y compris les données dérivées, dans un format lisible par un humain (PDF, document écrit). Permet la rectification et l'effacement.
• Droit à la portabilité (article 20 RGPD) : récupérer uniquement les données « portables » dans un format lisible par machine pour les réutiliser ou les transmettre. Ne couvre pas les données inférées.

Conseil : si vous souhaitez à la fois consulter vos données dérivées et récupérer vos données brutes, exercez les deux droits simultanément dans votre demande.

Erreurs fréquentes et comment les éviter

Erreur 1 : confondre portabilité et droit d'accès. Vous demandez un CSV mais l'organisme vous envoie un PDF au titre du droit d'accès. Conséquence : vous ne pouvez pas réutiliser les données automatiquement. Correctif : citez explicitement l'article 20 du RGPD et précisez le format souhaité dans votre demande.

Erreur 2 : demander la portabilité pour des données exclues (scoring bancaire, déclarations fiscales, vidéosurveillance). Conséquence : refus légitime du responsable de traitement. Correctif : demandez ces données au titre du droit d'accès (article 15), pas de la portabilité.

Erreur 3 : ne pas conserver de preuve de la demande. Conséquence : impossible de prouver l'absence de réponse si vous saisissez la CNIL. Correctif : envoyez votre demande par courrier recommandé avec AR ou via un formulaire avec accusé de réception daté.

Recours en cas de refus ou d'absence de réponse

Si l'organisme refuse votre demande ou ne répond pas dans le délai d'un mois :

1. Relancez par écrit en demandant les motifs précis du refus ou du retard.
2. Saisissez la CNIL en déposant une plainte en ligne sur cnil.fr/adresser-une-plainte ou par courrier à : Commission nationale de l'informatique et des libertés, Service des plaintes, 3 Place de Fontenoy, 75007 Paris. Joignez les preuves de votre demande et de la réponse (ou absence de réponse).
3. Délai de traitement CNIL : la CNIL s'engage à vous informer de l'avancement dans un délai de trois mois suivant le dépôt de la plainte.
4. Recours juridictionnel : en cas d'insatisfaction, recours gracieux dans les deux mois suivant la décision CNIL, puis saisine du Conseil d'État.