Le droit à la portabilité des données
Ou le droit de récupérer les données que l’on a transmises.
Qu’est ce que c’est ?
Le droit à la portabilité est un droit qui a été amené par le RGPD. Il permet aux personnes de récupérer les données qu’elles ont transmises à un organisme pour les réutiliser.
Une personne peut donc reprendre les données qui la concernent :
- pour son usage personnel, par exemple en récupérant son historique d’écoute de musique depuis une application pour faire des statistiques
- pour les transférer à un autre organisme, par exemple si une personne utilise une application pour faire de la course à pied et voir sa progression et qu’elle décide de changer d’application, elle peut vouloir transférer les données de la précédente application vers la nouvelle.
Quelles données sont concernées ?
Lorsqu’une personne fait une demande de portabilité, toutes les données la concernant ne lui sont pas obligatoirement transmises.
En effet, les données sur lesquelles s’appliquent le droit à la portabilité sont :
- les données sciemment fournies par la personne et traitées sur la base légale du consentement ou de l’exécution d’un contrat
- les données générées par l’activité de la personne.
Pour reprendre l’exemple de l’application d’écoute de musique, lorsqu’une personne invoque son droit à la portabilité, elle reçoit les données qu’elle a données lors de la création de son compte. Comme par exemple, une adresse mail, une adresse de facturation, un identifiant… Ce sont des données appartenant à la première catégorie. Elle reçoit également son historique d’écoute, ses playlists, la liste d’artistes suivis… Ce sont des données de la deuxième catégorie.
Les données anonymisées ne sont pas concernées par la portabilité, car une donnée anonyme n’est pas considérée comme une donnée personnelle.
Les données générées par un organisme ne sont elles aussi pas concernées par la portabilité. Si l’entreprise proposant l’application d’écoute de musiques crée un profil de la personne à partir de ses écoutes, pour par exemple lui recommander de nouvelles musiques, elle n’a pas à le lui transmettre.
Respecter les données de tierces personnes
Il peut arriver que les données sujettes à la portabilité contiennent des données personnelles qui ne concernent pas la personne qui exerce son droit de portabilité.
Par exemple, si une personne utilise un service de carnet d’adresses et fait une demande de portabilité, son carnet d’adresses lui sera transmis avec les informations qu’elle aura créées. Et ces informations contiennent alors des données personnelles de tierces personnes.
Lorsque la personne qui a exercé son droit de portabilité transmet les données à un nouvel organisme, ce dernier ne doit pas utiliser les données pour son propre compte.
Si une fois son carnet d’adresses récupéré, la personne souhaite l’importer dans une nouvelle application de carnet d’adresses, l’entreprise gérant cette application ne peut qu’importer les adresses pour les mettre à disposition de son nouvel utilisateur. Elle ne peut pas s’en servir pour, par exemple, faire des opérations marketing sur les personnes contenues dans le carnet importé, ou enrichir le profil des personnes de ce carnet qui utiliseraient cette même application.