Reconnaître une demande de portabilité
Une demande de portabilité des données survient lorsqu’une personne dit : “Donnez-moi mes données pour que je puisse les emporter chez un autre prestataire.” C’est différent d’une simple demande d’accès. L’objectif n’est pas seulement de consulter les données, mais de les réutiliser ailleurs.
La demande n’a pas besoin d’utiliser les mots “portabilité des données”. Si un client écrit “je veux exporter mes données” ou “envoyez mes données à [autre entreprise]”, cela compte comme une demande de portabilité.
Étape 1 : Enregistrer la demande
Comme pour toute demande de personne concernée, enregistrez-la immédiatement :
- Qui fait la demande
- Quand vous l’avez reçue (le délai d’un mois commence maintenant)
- Par quel canal elle est arrivée
- Ce qui est exactement demandé - la personne veut-elle recevoir les données elle-même, ou souhaite-t-elle que vous les envoyiez directement à un autre responsable du traitement?
Modèle : Registre des demandes
Gardez une trace de chaque demande dans un registre : qui, quand, ce qui a été demandé et comment cela a été traité.
Voir le modèle arrow_forwardÉtape 2 : Vérifier si la portabilité s’applique
C’est ici que la portabilité devient spécifique. Elle ne s’applique que lorsque les trois conditions sont remplies :
-
Les données ont été fournies par la personne concernée. Cela inclut les données qu’elle a activement fournies (nom, e-mail, fichiers téléchargés) et les données générées par son activité (historique d’achats, journaux d’utilisation, données de localisation). Cela n’inclut pas les données que vous avez créées vous-même, comme les notes internes, les évaluations de risques ou les analyses.
-
Le traitement est fondé sur le consentement ou un contrat. Si vous traitez les données sur la base de l’intérêt légitime, d’une obligation légale ou de l’intérêt public, la portabilité ne s’applique pas à ces données.
-
Le traitement est effectué par des moyens automatisés. Les dossiers papier sont exclus, mais en pratique, la quasi-totalité des traitements est aujourd’hui automatisée.
Si ces conditions ne sont pas remplies, vous n’êtes pas tenu de satisfaire la demande de portabilité. Vous devrez peut-être la traiter comme une simple demande d’accès.
Étape 3 : Déterminer ce qu’il faut inclure et exclure
C’est là que la plupart des entreprises se perdent. Utilisez ce tableau comme guide :
| Type de données | Inclure dans la portabilité? | Pourquoi? |
|---|---|---|
| Nom, e-mail, adresse fournis par le client | Oui | Fournis par la personne concernée |
| Historique d’achats, données de commande | Oui | Générés par l’activité de la personne |
| Photos ou documents téléchargés | Oui | Fournis par la personne concernée |
| Journaux d’utilisation, comportement de clic | Oui | Données observées de leur activité |
| Vos notes internes sur le client | Non | Créées par vous, pas fournies par eux |
| Score de crédit ou profil de risque que vous avez calculé | Non | Données dérivées/inférées |
| Données traitées uniquement sur la base de l’intérêt légitime | Non | Mauvaise base juridique pour la portabilité |
| Données des employés traitées pour des obligations légales | Non | Mauvaise base juridique pour la portabilité |
En cas de doute, posez-vous la question : ces données proviennent-elles de la personne, ou les avons-nous créées? Si vous les avez créées, elles ne font pas partie de la réponse de portabilité.
Étape 4 : Préparer les données dans le bon format
Le format est ce qui distingue la portabilité d’une demande d’accès. Le RGPD exige que les données soient :
- Structurées - organisées de manière logique, pas un vidage brut de base de données
- Couramment utilisées - un format que d’autres entreprises et logiciels peuvent traiter
- Lisibles par machine - un logiciel peut les traiter automatiquement
Formats acceptables :
- CSV (le plus simple et le plus largement supporté)
- JSON (adapté aux données structurées et imbriquées)
- XML (plus verbeux, mais acceptable)
Non acceptables :
- PDF (non lisible par machine)
- Documents scannés
- Captures d’écran
Pour la plupart des petites et moyennes entreprises, un fichier CSV est le meilleur choix. Il peut être ouvert dans Excel, importé dans d’autres systèmes et est facile à générer.
Étape 5 : Vérifier les demandes de transfert direct
La personne concernée peut demander que vous envoyiez les données directement à un autre responsable du traitement - par exemple, un concurrent. En vertu de l’article 20(2), vous devez le faire lorsque c’est techniquement réalisable.
En pratique, “techniquement réalisable” signifie :
- Une API ou un protocole d’échange de données standard est disponible
- Le responsable du traitement destinataire dispose d’un système capable d’accepter le transfert
Si aucune interface standard n’existe, vous n’êtes pas tenu d’en créer une. Informez la personne concernée que le transfert direct n’est pas techniquement réalisable et fournissez-lui les données directement.
Étape 6 : Envoyer la réponse
- Délai - dans le mois suivant la réception de la demande
- Prolongation - pour les demandes complexes, vous pouvez prolonger de deux mois, mais informez le demandeur dans le premier mois
- Coût - la fourniture des données est gratuite
- Envoi sécurisé - utilisez un canal sécurisé, surtout si les données contiennent des informations sensibles
Portabilité vs. demande d’accès - différences clés
| Demande d’accès (Art. 15) | Demande de portabilité (Art. 20) | |
|---|---|---|
| Portée | Toutes les données personnelles que vous détenez | Uniquement les données fournies par la personne |
| Base juridique | S’applique quelle que soit la base juridique | Uniquement consentement ou contrat |
| Format | Tout format lisible (le PDF convient) | Doit être lisible par machine (CSV, JSON) |
| Transfert direct | Non applicable | Oui, si techniquement réalisable |
| Données dérivées | Doivent être incluses | Ne doivent pas être incluses |
Si vous recevez une demande de portabilité, vérifiez si la personne souhaite peut-être aussi une demande d’accès plus large. Parfois, les clients utilisent le mauvais terme mais veulent en réalité voir tout ce que vous détenez à leur sujet.
Erreurs courantes
- Fournir un PDF - cela ne répond pas à l’exigence de format lisible par machine pour la portabilité
- Inclure trop de données - ajouter vos notes internes ou analyses à une réponse de portabilité va au-delà de ce qui est requis
- Inclure trop peu de données - oublier les données d’utilisation ou l’historique des transactions générés par l’activité de la personne
- Confondre les bases juridiques - vérifiez par catégorie de données si le traitement est fondé sur le consentement ou un contrat avant d’exclure des données
GDPRWise génère des modèles de réponse et vous aide à tenir un registre de toutes les demandes reçues.