Le RGPD introduit le droit pour la personne concernée de récupérer les données qu’elles ont fournies à un responsable de traitement et de les transmettre à un autre responsable du traitement. Elle est également en droit de solliciter un transfert direct de ces données d’un responsable de traitement à un autre, lorsque cela est techniquement possible (art. 20).
Le texte précise que le format de restitution des données doit être « structuré, couramment utilisé et lisible par machine ». Cela doit faciliter, pour la personne concernée, la réutilisation de ses données et leur transmission à une autre organisation.
Traitements
Quels traitements relèvent du droit à la portabilité des données ?
Le droit à la portabilité des données concerne uniquement les données à caractère personnel traitées à l’aide de procédés automatisés par un responsable de traitement :
Il n’est applicable que lorsque le traitement est fondé sur le consentement de la personne concernée ou nécessaires à l’exécution d’un contrat avec la personne concernée ou de mesures précontractuelles.
Ne relèvent donc pas du droit à la portabilité des données :
- les recherches fondées sur les missions d’intérêt public dont est investi l’Inserm ;
- les traitements répondant une obligation légale à laquelle est soumis l’établissement ;
- les dossiers papiers.
Données
Quelles données doivent être mises à la disposition de la personne concernée ?
Les données à caractère personnel relatives à la personne concernée que cette dernière a elle-même fournies. Il s’agit :
- des données que la personne concernée a sciemment et activement fournies au responsable du traitement, comme les données relatives à un compte (l’adresse e‑mail, le nom d’utilisateur, l’âge, etc.) qui sont complétées sur des formulaires en ligne ;
- des données brutes que la personne concernée a “fournies” en utilisant un service ou un appareil. Par exemple des données comme des données de localisation ou celles traitées par des capteurs de sommeil, …
Les données que le responsable du traitement a lui-même créées sur la base d’une analyse des données brutes n’ont pas à être fournies.
