RGPD: Le droit à la portabilité des données

I) Ratio legis

L’article 20 du règlement général sur la protection des données (RGPD) introduit un nouveau droit à la portabilité des données, lequel constitue l’une des innovations majeures du texte adopté en 2016 par rapport au régime antérieur.

Ce droit permet aux personnes concernées de :

• Recevoir les données à caractère personnel qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine
• Transmettre les données récupérées sans obstacle à un autre responsable du traitement.

Ces deux prérogatives, quoique fréquemment réunies, doivent être soigneusement distinguées. La première — recevoir ses propres données — épouse une logique de restitution : la personne concernée récupère une copie exploitable de ce qu’elle a livré. La seconde — en commander la transmission — relève d’une logique de circulation : la donnée est acheminée d’un environnement vers un autre, soit par l’intermédiaire de la personne concernée, soit, lorsque cela est techniquement possible, directement d’un responsable à un autre, ainsi que le prévoit l’article 20, §2 du RGPD.

Ce droit, qui s’applique sous réserve de certaines conditions, encourage le choix et le contrôle de l’utilisateur, ainsi que sa responsabilisation.

II) La distinction avec le droit d’accès

Pour saisir la portée de l’innovation, il faut la mesurer à l’aune du régime qu’elle complète. Les personnes exerçant leur droit d’accès au titre de la directive 95/46/CE relative à la protection des données étaient limitées par le format choisi par le responsable du traitement lors de la fourniture des informations demandées. Autrement dit, le droit d’accès garantissait la connaissance de la donnée, mais non sa réutilisation : la personne concernée pouvait savoir ce que l’on détenait à son sujet, sans pour autant disposer d’un support lui permettant d’en faire un usage ultérieur.

Le droit à la portabilité dépasse cette limite en imposant un format réutilisable et en autorisant la transmission. La différence n’est donc pas de degré, mais de nature : là où le droit d’accès assure la transparence, le droit à la portabilité assure la mobilité de la donnée. Cette distinction n’est pas seulement théorique, car elle commande, on le verra, une obligation d’information spécifique pesant sur le responsable du traitement, tenu de ne pas entretenir la confusion entre les deux prérogatives.

Le nouveau droit à la portabilité des données vise à responsabiliser les personnes concernées au sujet de leurs données à caractère personnel, car il facilite leur capacité à déplacer, à copier ou à transmettre facilement des données à caractère personnel d’un environnement informatique vers un autre (qu’il s’agisse de leur propre système, du système de tiers de confiance ou de celui de nouveaux responsables du traitement). À cette finalité de maîtrise individuelle s’ajoute une finalité concurrentielle implicite : en abaissant le coût du changement de prestataire, la portabilité limite les effets de verrouillage qui retiennent captif l’utilisateur d’un service donné.

III) Les conditions d’exercice du droit à la portabilité

Le droit à la portabilité n’a pas vocation à embrasser l’ensemble des traitements de données à caractère personnel. Son domaine est circonscrit par une série de conditions cumulatives qui, prises ensemble, en délimitent strictement le champ. L’exercice du droit à la portabilité des données est ainsi subordonné à la satisfaction de plusieurs conditions cumulatives, dont la réunion conditionne le succès de la demande.

• Première condition
  • Le droit à la portabilité ne peut porter que les données concernant la personne qui l’exerce.
  • Seules les données à caractère personnel peuvent faire l’objet d’une demande de portabilité.
  • Par conséquent, toute donnée anonyme ou ne se rapportant pas la personne concernée est exclue du champ d’application de la portabilité.
  • Toutefois, les données pseudonymisées qui peuvent clairement être liées à la personne concernée (par exemple, lorsque la personne concernée fournit l’identifiant correspondant) relèvent du champ d’application de l’article 20 du RGPD
  • La ligne de partage est donc la suivante : la donnée anonyme, par définition irréversiblement détachée de toute personne identifiable, échappe au RGPD lui-même et, partant, à la portabilité ; la donnée pseudonymisée, qui demeure rattachable à une personne au moyen d’informations complémentaires, conserve la qualité de donnée à caractère personnel et reste éligible.

• Deuxième condition
  • Le droit à la portabilité ne peut porter que sur des données qui ont été fournies par la personne concernée au responsable du traitement
  • Une distinction peut être opérée entre différentes catégories de données, en fonction de leur origine, afin de déterminer si elles sont couvertes par le droit à la portabilité des données.
  • Les catégories suivantes peuvent être qualifiées de données « fournies par la personne concernée» :
    • Les données activement et sciemment fournies par la personne concernée (par exemple, adresse postale, nom d’utilisateur, âge, etc.) ;
    • Les données observées fournies par la personne concernée grâce à l’utilisation du service ou du dispositif. Ces données peuvent inclure, par exemple, l’historique de recherche, les données relatives au trafic et les données de localisation d’une personne. Elles peuvent aussi inclure d’autres données brutes comme le rythme cardiaque enregistré par un dispositif portable.
  • En revanche, les données déduites et les données dérivées qui sont créées par le responsable du traitement sur la base des données « fournies par la personne concernée», tel que le résultat d’une appréciation relative à la santé d’un utilisateur ou un profil créé dans le contexte des règlementations relatives à la gestion des risques et de la réglementation financière ne peuvent pas être considérés en soi comme ayant été « fournies » par la personne concernée.
  • Bien que ces données puissent faire partie d’un profil conservé par un responsable du traitement et soient déduites ou dérivées d’une analyse des données fournies par la personne concernée (par ses actions, par exemple), ces données ne seront généralement pas considérées comme étant « fournies par la personne concernée» et ne relèveront dès lors pas du champ d’application de ce nouveau droit

Cette deuxième condition est, en pratique, la plus délicate, car elle commande de tracer une frontière entre trois catégories de données dont les contours se recoupent fréquemment. La summa divisio oppose les données fournies — qu’elles le soient activement ou par simple observation de l’usage — aux données déduites ou dérivées, fruit du travail d’analyse propre au responsable du traitement. Le critère décisif tient à l’origine de la valeur ajoutée : tant que la donnée procède du comportement ou des déclarations de la personne, elle est portable ; dès qu’elle résulte d’un traitement intellectuel opéré par le responsable, elle cesse de l’être, faute d’avoir été « fournie ».

• Troisième condition
  • Les opérations de traitement doivent être fondées :
    • Soit sur le consentement de la personne concernée
    • Soit sur un contrat auquel la personne concernée est partie
  • Il s’ensuit, a contrario, que les traitements reposant sur un autre fondement — l’exécution d’une mission d’intérêt public, le respect d’une obligation légale ou la poursuite d’un intérêt légitime — demeurent hors du champ de la portabilité. La logique de cette restriction est cohérente avec la finalité du droit : il n’est juste de restituer à la personne concernée la maîtrise de ses données que lorsque celles-ci ont été livrées sur le fondement d’un acte de volonté, qu’il prenne la forme d’un consentement ou d’un engagement contractuel.

• Quatrième condition
  • La transmission des données doit s’opérer au moyen d’un traitement effectué à l’aide de procédés automatisés
  • Sont donc exclus du dispositif les traitements exclusivement manuels, tels que les dossiers papier non structurés. Cette exigence n’est pas arbitraire : elle découle de la finalité même de la portabilité, qui suppose un format lisible par machine et l’aptitude à circuler d’un système informatique à un autre.

• Cinquième condition
  • Le droit à la portabilité des données ne doit pas porter atteinte aux droits et libertés de tiers
  • Cette condition vise à empêcher l’extraction et la transmission de données contenant les données à caractère personnel d’autres personnes concernées (non consentantes) à un nouveau responsable du traitement dans le cas où ces données sont susceptibles d’être traitées d’une manière qui porterait atteinte aux droits et aux libertés des autres personnes concernées
  • Une telle atteinte interviendrait, par exemple, si la transmission de données d’un responsable du traitement à un autre empêchait des tiers d’exercer leurs droits en tant que personnes concernées en vertu du règlement général sur la protection des données (comme le droit à l’information, le droit d’accès, etc.).
  • Cette cinquième condition opère ainsi comme une limite externe : elle ne tient pas à la nature de la donnée demandée, mais aux effets que sa transmission produirait sur des personnes étrangères à la demande. Elle traduit l’idée que le droit individuel à la portabilité ne saurait se muer en instrument de captation des données d’autrui.

IV) Modalités d’exercice du droit à la portabilité

Une fois les conditions de fond réunies, l’exercice du droit obéit à un régime procédural précis, qui détermine à qui la demande doit être adressée, comment l’identité du demandeur est vérifiée et à quel coût la prérogative peut être mise en œuvre.

• Le destinataire de la demande
  • La demande de portabilité doit être adressé au responsable du traitement qui est le débiteur de l’obligation
  • Il est donc inopérant de formuler cette demande auprès de la CNIL
  • L’autorité de contrôle n’intervient en effet qu’au stade du contentieux, par voie de réclamation, et non comme intermédiaire de l’exercice du droit. La distinction est essentielle : le débiteur de l’obligation de portabilité est le responsable du traitement, et lui seul.

• La justification de l’identité
  • L’article 12, §6, dispose que lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne concernée, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée.
  • Lorsqu’une personne concernée fournit des informations complémentaires permettant de l’identifier, le responsable du traitement ne peut refuser de donner suite à la demande.
  • Lorsque les informations et données collectées en ligne sont liées à des pseudonymes ou à des identifiants uniques, les responsables du traitement peuvent appliquer des procédures appropriées permettant à une personne de présenter une demande de portabilité des données et de recevoir des données la concernant.
  • En tout état de cause, les responsables du traitement doivent appliquer une procédure d’authentification afin d’établir avec certitude l’identité de la personne concernée demandant ses données à caractère personnel ou, plus généralement, exerçant les droits conférés par le règlement général sur la protection des données.
  • L’exigence d’authentification poursuit une double finalité : garantir au demandeur que ses données lui seront effectivement remises, et prémunir le responsable contre le risque d’une divulgation à un tiers usurpateur — laquelle constituerait elle-même une violation de données. La vérification d’identité n’est donc pas une formalité dilatoire, mais une condition de la sécurité du dispositif.

• Le coût de la demande
  • L’article 12 du RGPD interdit au responsable du traitement d’exiger un paiement pour fournir les données à caractère personnel, à moins qu’il puisse démontrer que les demandes sont manifestement infondées ou excessives, « notamment en raison de leur caractère répétitif».
  • Ainsi, les coûts totaux liés à la mise en œuvre du système ne devraient pas être imputés aux personnes concernées ni invoqués pour justifier un refus de répondre à des demandes de portabilité.
  • Le principe est donc celui de la gratuité, l’exception celle du caractère manifestement infondé ou excessif de la demande — exception dont la charge de la preuve pèse, conformément au texte, sur le responsable du traitement. Celui-ci ne saurait, en particulier, se retrancher derrière l’ampleur de l’investissement technique consenti pour rendre la portabilité effective afin d’en reporter le coût sur la personne concernée.

A) L’exécution de l’obligation

L’obligation de portabilité se décompose en trois temps : informer la personne concernée de l’existence du droit, répondre à la demande dans un délai déterminé, et fournir les données dans un format adéquat. Chacun de ces temps obéit à des règles propres qu’il convient d’examiner successivement.

• L’obligation d’information préalable
  • Afin de respecter le nouveau droit à la portabilité des données, les responsables du traitement doivent informer les personnes concernées de l’existence de ce nouveau droit.
  • Deux situations doivent être distinguées :
    • Lorsque les données à caractère personnel concernées sont collectées directement auprès de la personne concernée, cette information doit avoir lieu « au moment où les données en question sont obtenues».
    • Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, l’article 14, §3 du RGPD, exige que les informations soient fournies dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, au moment de la première communication avec la personne concernée ou lorsque les données à caractère personnel sont communiquées à des tiers
  • Lorsqu’ils fournissent les informations requises, les responsables du traitement doivent veiller à opérer une distinction entre le droit à la portabilité des données et les autres droits.
  • Aussi, le Groupe de l’article 29 recommande-t-il que les responsables du traitement expliquent clairement la différence entre les types de données qu’une personne concernée peut recevoir en exerçant son droit d’accès et son droit à la portabilité.
  • Cette recommandation prolonge la distinction déjà soulignée entre accès et portabilité : l’information délivrée serait trompeuse si elle laissait croire que tout ce qui est accessible est, par là même, portable. Le périmètre des données fournies, on l’a vu, est en effet plus étroit que celui des données simplement détenues.

• Le délai d’exécution
  • L’article 12, paragraphe 3, requiert que le responsable du traitement fournisse à la personne concernée « des informations sur les mesures prises» « dans les meilleurs délais » et en tout état de cause « dans un délai d’un mois à compter de la réception de la demande ».
  • Ce délai d’un mois peut être prolongé à un maximum de trois mois pour les affaires complexes, à condition que la personne concernée ait été informée des motifs de cette prolongation dans un délai d’un mois à compter de la réception de la demande initiale.
  • Le responsable du traitement qui ne donne pas suite à une demande de portabilité informe la personne concernée, conformément à l’article 12, paragraphe 4, « des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel », dans un délai maximal d’un mois à compter de la réception de la demande.
  • Au bilan, les responsables du traitement doivent respecter l’obligation de répondre à la demande dans les conditions prescrites, même s’il s’agit de signifier un refus.
  • En d’autres termes, le responsable du traitement est tenu de répondre à une demande de portabilité des données.
  • Il importe de bien mesurer la portée de cette dernière règle : l’obligation qui pèse sur le responsable n’est pas seulement de faire droit à la demande, mais d’y répondre. Le silence gardé pendant le délai d’un mois s’analyse en un manquement autonome, indépendamment du bien-fondé de la demande, et ouvre à la personne concernée les voies de réclamation et de recours que le texte lui réserve.

• Modalités d’exécution
  • Le RGPD exige du responsable du traitement qu’il fournisse les données à caractère personnel demandées par la personne concernée dans un format qui permet leur réutilisation.
  • Plus spécifiquement, l’article 20, §1 dispose que les données à caractère personnel doivent être fournies « dans un format structuré, couramment utilisé et lisible par machine».
  • Le considérant 68 précise que ce format doit être interopérable, un terme qui est défini comme suit dans l’Union :
    • « La capacité de diverses organisations hétérogènes à interagir en vue d’atteindre des objectifs communs, mutuellement avantageux et convenus, impliquant le partage d’informations et de connaissances entre elles, selon les processus d’entreprise qu’elles prennent en charge, par l’échange de données entre leurs systèmes TIC respectifs. »
  • Les qualificatifs « structuré », « couramment utilisé» et « lisible par machine » constituent une série d’exigences minimales qui devraient faciliter l’interopérabilité du format de données fourni par le responsable du traitement.
  • En ce sens, les termes « structuré, couramment utilisé et lisible par machine» donnent des précisions sur les moyens, tandis que l’interopérabilité est le résultat escompté.
  • Le considérant 21 de la directive 2013/37/UE33 définit le format « lisible par machine» comme suit :
    • « Un format de fichier structuré de telle manière que des applications logicielles puissent facilement identifier, reconnaître et extraire des données spécifiques, notamment chaque énoncé d’un fait et sa structure interne.
    • Les données encodées présentes dans des fichiers qui sont structurés dans un format lisible par machine sont des données lisibles par machine.
    • Les formats lisibles par machine peuvent être ouverts ou propriétaires ; il peut s’agir de normes formelles ou non.
    • Les documents encodés dans un format de fichier qui limite le traitement automatique, en raison du fait que les données ne peuvent pas, ou ne peuvent pas facilement, être extraites de ces documents, ne devraient pas être considérés comme des documents dans des formats lisibles par machine.
    • Les États membres devraient, le cas échéant, encourager l’utilisation de formats ouverts, lisibles par machine. »
  • Compte tenu de la grande variété de types de données potentiels qui pourraient être traités par un responsable du traitement, le règlement général sur la protection des données n’impose pas de recommandations spécifiques quant au format des données à caractère personnel à fournir.
  • Le format le plus approprié différera d’un secteur à l’autre et des formats adéquats peuvent déjà exister, et doivent toujours être choisis de manière à pouvoir être interprétés et offrir à la personne concernée un degré élevé de portabilité.
  • Dès lors, les formats qui sont soumis à des contraintes de licences onéreuses ne sont pas considérés comme relevant d’une approche adéquate.
  • Le considérant 68 précise que « [l]e droit de la personne concernée de transmettre ou de recevoir des données à caractère personnel la concernant ne devrait pas créer, pour les responsables du traitement, d’obligation d’adopter ou de maintenir des systèmes de traitement qui sont techniquement compatibles».
  • Dès lors, la portabilité vise à produire des systèmes interopérables, et non des systèmes compatibles.
  • Cette dernière nuance, en apparence subtile, est en réalité décisive. Exiger la compatibilité reviendrait à imposer aux responsables du traitement l’adoption de systèmes identiques, au prix d’une uniformisation technique que le texte se refuse à commander. L’interopérabilité, plus mesurée, se borne à exiger que les données puissent dialoguer d’un système à l’autre, sans contraindre l’architecture interne de chacun. L’obligation porte ainsi sur le format de la donnée restituée, non sur la refonte des infrastructures du responsable.