Modèle de demande de portabilité gratuit

Présentation

La demande de portabilité est le courrier ou formulaire par lequel une personne physique exerce son droit à la portabilité des données prévu à l'article 20 du Règlement général sur la protection des données (RGPD). Ce droit permet d'obtenir les données personnelles fournies à un responsable de traitement dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement, voire, lorsque cela est techniquement possible, d'obtenir leur transmission directe d'un responsable de traitement à un autre. Conditions cumulatives d'application (article 20.1 du RGPD) : contrairement au droit d'accès, le droit à la portabilité ne s'applique que si trois conditions sont réunies simultanément. Premièrement, le traitement doit être fondé sur le consentement de la personne concernée (article 6.1.a ou article 9.2.a du RGPD) ou sur un contrat auquel elle est partie (article 6.1.b) — un traitement fondé sur l'intérêt légitime, une obligation légale ou une mission d'intérêt public en est exclu. Deuxièmement, le traitement doit être effectué à l'aide de procédés automatisés — les traitements papier ne sont pas concernés. Troisièmement, la demande ne peut porter que sur les données que la personne concernée a elle-même fournies au responsable de traitement, ce qui exclut les données déduites, inférées ou créées par le responsable de traitement à partir des données fournies (par exemple un score de solvabilité calculé par l'organisme). Différence avec le droit d'accès : le droit d'accès (article 15) permet d'obtenir une copie des données et des informations sur le traitement, dans n'importe quel format lisible. Le droit à la portabilité va plus loin en exigeant un format structuré, couramment utilisé et lisible par machine (par exemple un fichier CSV ou JSON), précisément pour permettre la réutilisation des données auprès d'un autre prestataire — un cas d'usage typique est le changement de fournisseur de services en ligne (banque, réseau social, messagerie). Modalités et délai de réponse : le responsable de traitement doit répondre dans un délai d'un mois à compter de la réception de la demande (article 12.3 du RGPD), délai pouvant être prolongé de deux mois en cas de complexité, sous réserve d'en informer la personne concernée dans le délai initial. Erreurs à éviter : demander la portabilité de données qui ne remplissent pas les conditions cumulatives de l'article 20.1 (par exemple des données déduites par un algorithme, ou un traitement fondé sur l'intérêt légitime), ce qui expose la demande à un refus légitime ; confondre portabilité et effacement — obtenir ses données dans un format réutilisable ne supprime pas les données du responsable de traitement d'origine, sauf demande d'effacement distincte formulée en parallèle.