Un salarié peut-il exiger la portabilité de ses données RH ?
Réponse courte
Rarement, et beaucoup moins largement que le droit d'accès. L'article 20 du RGPD ne s'applique qu'à trois conditions cumulatives : les données doivent avoir été fournies par la personne elle-même, le traitement doit reposer sur le consentement ou sur l'exécution d'un contrat, et être effectué par des moyens automatisés.
Or la plupart des traitements RH reposent sur une obligation légale — paie, déclarations sociales, retenue d'impôt, registres — et échappent par là même à la portabilité. Ce qui repose sur le contrat de travail y entre en revanche : coordonnées, données saisies par le salarié lui-même, éléments qu'il a transmis.
Ce que le texte ne couvre pas non plus, ce sont les données créées par l'employeur : évaluations, appréciations, décisions, calculs. Elles restent accessibles au titre de l'article 15, mais ne se transfèrent pas.
Définition
La portabilité est le droit de recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable du traitement — voire d'obtenir leur transmission directe lorsque c'est techniquement possible.
Le droit d'accès est autre chose : il porte sur toutes les données concernant la personne, quelle qu'en soit l'origine ou la base légale.
Conditions d’exercice
Les trois conditions se cumulent : il suffit qu'une seule manque pour que la demande soit hors champ.
| Élément | Portabilité | Motif |
|---|---|---|
| Coordonnées et données saisies par le salarié | Oui | Fournies par lui, base contractuelle |
| Décomptes de salaire et déclarations sociales | Non | Obligation légale |
| Registre du temps de travail | Non | Obligation légale |
| Évaluations, appréciations, notes internes | Non | Créées par l'employeur |
| Données issues d'un dispositif de surveillance | Non | Ni fournies, ni contractuelles |
| Archives papier non automatisées | Non | Absence de traitement automatisé |
Modalités pratiques
Une demande de portabilité se traite comme une demande d'accès quant aux délais, mais pas quant au périmètre.
| Geste | Marche à suivre |
|---|---|
| Qualification | Déterminer la base légale de chaque traitement visé |
| Délai | Répondre dans le mois, prolongeable de deux mois motivés |
| Format | Fichier structuré et lisible par machine, non une impression |
| Transmission directe | L'assurer si elle est techniquement possible |
| Refus partiel | Le motiver poste par poste, avec les voies de recours |
| Droits des tiers | Écarter les données concernant d'autres personnes |
Pratiques et recommandations
La confusion avec le droit d'accès est quasi systématique, y compris dans les demandes elles-mêmes. Traiter une demande de portabilité comme un accès conduit à livrer bien plus que le texte n'exige ; l'inverse conduit à refuser ce qui était dû. La qualification se fait au vu du registre des traitements, base légale par base légale.
Le format est le point sur lequel les réponses achoppent. Un PDF n'est pas lisible par machine au sens de l'article 20 : un fichier structuré est attendu, et l'employeur qui n'en produit aucun s'expose au même reproche que s'il n'avait pas répondu.
Un refus se motive. Répondre que « ces données ne sont pas portables » sans dire pourquoi, ni indiquer la possibilité de saisir la CNPD, transforme une réponse fondée en manquement de procédure.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 20, paragraphe 1 | Conditions cumulatives de la portabilité et format structuré lisible par machine |
| RGPD, article 20, paragraphe 2 | Transmission directe entre responsables lorsqu'elle est techniquement possible |
| RGPD, article 20, paragraphe 4 | Le droit ne peut porter atteinte aux droits et libertés de tiers |
| RGPD, article 15 | Droit d'accès, de portée bien plus large |
| RGPD, article 12 | Délai d'un mois, prolongation motivée, information sur les voies de recours |
| Article L.125-7 du Code du travail | Décompte de salaire, traitement fondé sur une obligation légale |
Note
La portabilité suppose des données fournies par le salarié, traitées sur la base du contrat ou du consentement, et automatisées : la paie et les registres en sortent par la porte de l'obligation légale. Un refus se motive poste par poste, avec l'indication des voies de recours.