Le GDPR

L’article 20 confère à la personne concernée un nouveau droit : le droit à la portabilité des données. Ce dernier apparaît comme un droit d’accès amélioré, auquel est associée une exigence d’interopérabilité. L’objet du droit serait, selon l’exposé des motifs de la première proposition de Règlement « de transmettre des données d’un système de traitement automatisé à un autre, sans que le responsable du traitement puisse y faire obstacle ». Pour ce faire, il permet à la personne concernée de recevoir les données qu’elle a fournies au responsable du traitement dans un « format structuré, couramment utilisé et lisible par machine ». Nouveauté dans la version finale du Règlement, il peut même exiger que les données soient transmises directement par le premier responsable au second, lorsque cela est techniquement possible.

Notons d’emblée que les autres données -que le responsable aurait par exemple obtenu de tiers- ne sont pas couvertes par ledit droit puisque ces données n’ont pas été communiquées par la personne concernée au dit responsable.

L’exercice de ce droit est soumis à une double condition : il doit nécessairement s’agir d’un traitement effectué à l’aide de procédés automatisés, d’une part, et, fondé sur le consentement de la personne  -fusse concernant des données sensibles- ou sur un contrat conclu entre la personne concernée et le responsable, d’autre part.

La ratio de ce nouveau droit serait de permettre aux personnes concernées de récupérer l'utilisation qui est faite des données les concernant et de renforcer leur droit d’accès, en leur reconnaissant un rôle plus actif (cfr considérant n° 68). L’article 20 précise que le droit à la portabilité des données s’entend sans préjudice du droit à l’effacement, au sens de l’article 17 du Règlement.

Le paragraphe 3 précise que le droit à la portabilité n’est pas applicable au traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

Une exception au droit à la portabilité a été rajoutée par la seconde proposition de Règlement à l’article 20, paragraphe 4, lorsque la divulgation des données est susceptible de porter atteinte aux droits et libertés de tiers.

La Directive

Ni la Directive, ni les législations belge et française ne connaissaient le droit à la portabilité des données.

Difficultés probables ?

Ce nouveau droit est une des grandes nouveautés du Règlement et, de manière générale, exprime sans doute une évolution très importante dans le mouvement de reprise du contrôle des données par la personne elle-même.

Si l’objectif est louable, reste à savoir comment il sera mis en pratique, d’autant qu’il suppose une concertation des responsables de traitement et sans doute un accord –au moins implicite- sur les supports et standards utilisés pour la récupération des données.

Le texte ne dit rien sur l’utilisation ultérieure des données par le premier responsable auprès duquel ce droit est exercé. On en conclut que les principes généraux de protection continuent à s’appliquer et qu’il ne pourra le conserver que dans la mesure strictement nécessaire aux finalités annoncées.

Il ne dit rien non plus sur le sort des données « générées » par l’utilisation d’un produit ou service et qui ne sont pas à proprement parlé « communiquées » par la personne : données de facturation, données de trafic, données de localisation, etc. Sont-elles visées par ce nouveau droit ?

Groupe 29

Lignes directrices relatives au droit à la portabilité des données (5 avril 2017)

(Approuvées par le CEPD)

L’article 20 du règlement général sur la protection des données crée un nouveau droit à la portabilité des données, qui est étroitement lié au droit d’accès aux données, tout en différant de celui-ci à de nombreux égards. Il confère aux personnes concernées le droit de recevoir les données à caractère personnel qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable du traitement. Ce nouveau droit a pour objectif de responsabiliser les personnes concernées et de leur permettre de contrôler davantage les données à caractère personnel les concernant.

Dans la mesure où il permet la transmission directe des données à caractère personnel d’un responsable du traitement à un autre, le droit à la portabilité des données constitue également un instrument important qui facilitera la libre circulation des données à caractère personnel dans l’Union et qui stimulera la concurrence entre les responsables du traitement. Il facilitera le passage d’un prestataire de services à un autre et encouragera dès lors la mise au point de nouveaux services dans le contexte de la stratégie pour un marché unique numérique.

Le présent avis fournit des orientations sur la manière d’interpréter et de mettre en oeuvre le droit à la portabilité des données, tel qu’il a été introduit par le règlement général sur la protection des données. Il a pour objet d’examiner la question du droit à la portabilité des données et son champ d’application. Il précise les conditions dans lesquelles ce nouveau droit s’applique compte tenu de la base juridique du traitement des données (soit le consentement de la personne concernée, soit la nécessité d’exécuter un contrat) et du fait que ce droit est limité aux données à caractère personnel fournies par la personne concernée. Le présent avis fournit également des exemples et des critères concrets pour expliquer les circonstances dans lesquelles ce droit s’applique. À cet égard, le groupe de travail «Article 29» considère que le droit à la portabilité des données couvre les données fournies sciemment et activement par la personne concernée, ainsi que les données à caractère personnel générées par son activité. Ce nouveau droit ne peut être remis en cause et limité aux informations à caractère personnel que la personne concernée communique directement, par exemple sur un formulaire en ligne.

À titre de bonne pratique, les responsables du traitement devraient commencer à élaborer les moyens qui contribueront à répondre aux demandes de portabilité des données, comme des outils de téléchargement et des interfaces de programme d’application. Ils devraient garantir que les données à caractère personnel sont transmises dans un format structuré, couramment utilisé et lisible par machine et doivent être encouragés à garantir l’interopérabilité du format de données fourni dans le cadre de l’exercice d’une demande de portabilité des données.

Le présent avis aide également les responsables du traitement à comprendre clairement leurs obligations respectives et recommande des bonnes pratiques et des outils visant à soutenir le respect du droit à la portabilité des données. Enfin, il recommande que les parties prenantes du secteur et les associations professionnelles travaillent de concert sur une série commune de normes et de formats interopérables afin de satisfaire aux exigences liées au droit à la portabilité des données.

Lien