Le droit à la portabilité des données personnelles, introduit par le Règlement Général sur la Protection des Données (RGPD) en Europe, confère aux individus la faculté de récupérer les données qu'ils ont fournies à un responsable de traitement. Ces données doivent être mises à disposition dans un format structuré, couramment utilisé et lisible par une machine. L'objectif est de faciliter le transfert de ces informations d'un système d'information à un autre, sans que l'utilisateur ne rencontre d'obstacles techniques ou financiers.
Fondements et objectifs
Ce droit s'inscrit dans une logique de maîtrise par les individus de leurs propres données. Il ne s'agit pas seulement d'un droit d'accès, mais d'une capacité concrète à déplacer ses informations personnelles. Historiquement, les données numériques étaient souvent enfermées dans des "silos" applicatifs, rendant difficile leur réutilisation par l'utilisateur final. La portabilité vise à rompre avec cette logique en favorisant la concurrence et l'innovation, en permettant par exemple à un client de changer de fournisseur de services avec ses données préexistantes.
Conditions d'application
Pour qu'une demande de portabilité soit recevable, plusieurs conditions doivent être réunies. Premièrement, les données doivent avoir été fournies par la personne concernée elle-même. Deuxièmement, le traitement des données doit reposer soit sur le consentement de la personne, soit sur l'exécution d'un contrat. Autrement dit, les données collectées sur la base d'un intérêt légitime ou d'une obligation légale ne sont généralement pas soumises à ce droit. Troisièmement, le traitement doit être effectué à l'aide de procédés automatisés ; les dossiers papier ne sont donc pas concernés. Enfin, la portabilité ne doit pas porter atteinte aux droits et libertés de tiers.
Impact pour les PME
Pour les PME, le droit à la portabilité implique une adaptation de leurs systèmes d'information et de leurs processus internes. Elles doivent être en mesure d'extraire les données personnelles de leurs clients ou utilisateurs dans des formats interopérables (CSV, JSON par exemple) et de répondre à ces demandes dans des délais raisonnables, généralement un mois. Une non-conformité peut entraîner des sanctions de la part des autorités de contrôle, telles que des amendes pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La mise en conformité est perçue comme un investissement, mais elle renforce la confiance des clients et peut devenir un avantage concurrentiel.