Article 20 RGPD - Droit à la portabilité des données

1. Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque:
a) le traitement est fondé sur le consentement en application de l’article 6, paragraphe 1, point a), ou de l’article 9, paragraphe 2, point a), ou sur un contrat en application de l’article 6, paragraphe 1, point b); et
b) le traitement est effectué à l’aide de procédés automatisés.
2. Lorsque la personne concernée exerce son droit à la portabilité des données en application du paragraphe 1, elle a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible.
3. L’exercice du droit, visé au paragraphe 1 du présent article s’entend sans préjudice de l’article 17. Ce droit ne s’applique pas au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.
4. Le droit visé au paragraphe 1 ne porte pas atteinte aux droits et libertés de tiers.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

En vertu du paragraphe 1, la personne concernée peut recevoir les données à caractère personnel la concernant qu’elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et peut transmettre ces données à un autre responsable du traitement sans que l’on y fasse obstacle. Le paragraphe 2 y ajoute le droit d’obtenir que les données soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible.

Deux conditions cumulatives doivent être réunies. Le traitement doit être fondé sur le consentement en application de l’article 6, paragraphe 1, point a), ou de l’article 9, paragraphe 2, point a), ou sur un contrat en application de l’article 6, paragraphe 1, point b), et il doit être effectué à l’aide de procédés automatisés. Un traitement reposant sur d’autres bases juridiques, telles que les intérêts légitimes ou une obligation légale, échappe à ce droit.

Le texte couvre les données à caractère personnel concernant la personne concernée qu’elle a fournies au responsable du traitement. Il inclut manifestement les données transmises activement, et le considérant 68 confirme que l’accent est mis sur les données fournies par la personne concernée, mais la mesure dans laquelle les données observées, générées par l’utilisation d’un service, sont couvertes n’est pas tranchée par le texte lui-même, tandis que les données dérivées ou déduites par le responsable du traitement se situent en dehors de son libellé.

Non. Le paragraphe 3 énonce que ce droit s’entend sans préjudice de l’article 17, de sorte que la transmission n’oblige pas par elle-même le responsable du traitement initial à supprimer quoi que ce soit. La personne concernée qui souhaite également l’effacement doit invoquer séparément l’article 17, dont les conditions et exceptions propres s’appliquent alors.

Oui. La seconde phrase du paragraphe 3 exclut le traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, et le paragraphe 4 prévoit que ce droit ne porte pas atteinte aux droits et libertés de tiers, ce qui importe lorsqu’un ensemble de données contient également des données à caractère personnel de tiers.