Export, portabilité et réversibilité : 15 questions avant de signer

Un éditeur peut promettre « vos données sont exportables » et ne livrer qu’une pile de PDF sans liens, sans auteurs et sans possibilité de réimportation. Le fichier existe, mais le cabinet reste captif. La réversibilité d’un logiciel ne se juge pas au bouton Export : elle se prouve sur le périmètre, la structure, l’intégrité, le réemploi et les conditions de sortie.

Ce guide fournit quinze questions à poser avant de signer ou de renouveler, un protocole de test sur données fictives et une grille de décision. Il distingue aussi l’export technique, la réversibilité contractuelle et le droit à la portabilité d’une personne. Son objectif n’est pas d’imposer un format unique, mais de rendre chaque promesse vérifiable pour le logiciel réellement utilisé.

Règle de sécurité : testez d’abord avec un jeu fictif. Un export de production concentre potentiellement tout le cabinet ; il ne doit pas être envoyé par e-mail ordinaire, stocké sur un poste personnel ou confié à un service non prévu. Ne résiliez jamais avant d’avoir obtenu et contrôlé la restitution nécessaire.

La réponse courte : exigez une démonstration avant l’engagement

Demandez à l’éditeur de produire un export fictif représentatif, d’en fournir le dictionnaire et d’expliquer chaque exclusion. Contrôlez les objets, les pièces, les relations, les auteurs, les dates et les droits. Ouvrez le résultat avec un outil indépendant, faites importer le jeu par une autre solution lorsque c’est possible, puis vérifiez qu’un nouvel export peut être obtenu depuis cette cible.

Les cinq critères qui permettent de décider

• périmètre : tout ce qui est nécessaire est inclus ou explicitement exclu ;
• structure : les champs, codes, relations et formats sont documentés ;
• intégrité : empreintes, comptages et échantillons concordent ;
• réemploi : le contenu est lisible et peut alimenter une autre solution selon le besoin ;
• sortie : délais, assistance, coûts, sécurité et suppression sont contractualisés.

Pourquoi un dossier PDF ne suffit pas

Un PDF par patient peut préserver une lecture humaine et constituer un livrable utile. Il ne conserve pas nécessairement les relations entre notes, rendez-vous, pièces et auteurs ; il permet rarement de reprendre la recherche, les statuts, les droits ou les historiques dans un autre logiciel. Le cabinet peut donc avoir besoin de deux productions complémentaires : une version lisible et une version structurée réutilisable.

Séparer export, portabilité et réversibilité

Les trois mots répondent à des acteurs et à des objectifs différents. Les confondre conduit soit à surévaluer un bouton, soit à appliquer le droit d’une personne à un projet de sortie complet qui relève du contrat et de l’organisation du cabinet.

L’export est une fonction technique

Il produit une copie : PDF, CSV, JSON, XML, archive de fichiers, sauvegarde applicative ou combinaison de plusieurs éléments. Sa présence ne dit rien, à elle seule, sur le périmètre, la documentation, la fidélité des relations ou l’utilisabilité hors du logiciel source. Il faut demander « export de quoi, dans quel état et pour quel réemploi ? ».

La portabilité est un droit de la personne concernée

L’article 20 du RGPD prévoit ce droit dans certaines conditions. La fiche officielle de la CNIL destinée aux professionnels explique qu’il vise des données personnelles fournies par la personne, traitées de manière automatisée, lorsque le traitement repose sur le consentement ou un contrat. Le format doit être structuré, couramment utilisé et lisible par machine. Les données inférées ou créées par l’organisme ne relèvent pas automatiquement du même périmètre. Cette analyse juridique ne se confond pas avec l’extraction de tout le patrimoine du cabinet.

La réversibilité organise la sortie du service

Elle regroupe le périmètre restitué, les formats, la documentation, l’assistance, le calendrier, le coût, la sécurité, la période de lecture et la suppression chez l’ancien fournisseur. Elle doit permettre au cabinet de poursuivre l’activité, d’archiver ce qui doit l’être ou de préparer une migration contrôlée vers un autre logiciel. Sa qualité dépend du contrat et de tests concrets.

Définir ce que signifie « complet » pour le cabinet

Le mot complet n’a de sens qu’avec un inventaire. Un cabinet peut considérer indispensables les notes et documents, mais oublier les auteurs, les dates de modification, les modèles, les droits ou les journaux qui rendent ces contenus interprétables. Partez des usages que vous devrez maintenir après la sortie.

Lister les objets métier

Recensez identités, coordonnées, rendez-vous, motifs, notes, antécédents structurés, documents, consentements, questionnaires, factures, règlements, avoirs, modèles, messages, utilisateurs, rôles, lieux, paramètres et journaux. Pour chaque famille, notez le volume, la plage de dates, le propriétaire fonctionnel et le niveau de réemploi attendu : lecture, recherche, import ou conservation probante.

Ajouter métadonnées et relations

Une note sans auteur ni date peut perdre sa valeur de compréhension. Une pièce sans identifiant de dossier devient orpheline. Un rendez-vous sans état ne distingue plus une consultation tenue d’une annulation. Demandez les clés qui relient chaque objet, les dates de création et de modification, les versions, les statuts, les unités, le fuseau horaire, les encodages et les référentiels de valeurs.

Transformer les exclusions en décisions

Certains éléments techniques ou propriétaires peuvent ne pas être exportés. L’éditeur doit les nommer, expliquer leur utilité et décrire l’effet de leur absence. Le cabinet décide ensuite si cette perte est acceptable, si une version lisible suffit ou si un mécanisme complémentaire est nécessaire. Une exclusion écrite et compensée est pilotable ; une catégorie découverte après résiliation ne l’est pas.

Évaluer les formats sans chercher un format magique

Aucun format unique ne représente toutes les fonctions d’un logiciel. Un export sérieux associe souvent des tables structurées, des fichiers binaires, un manifeste et une documentation. La bonne question n’est pas seulement « est-ce du CSV ? », mais « pouvons-nous comprendre, vérifier et réutiliser l’ensemble sans dépendre du service fermé ? ».

PDF : utile pour lire, limité pour reprendre

Le PDF facilite la consultation, l’impression et parfois l’archivage. Il fige cependant les données, mélange structure et présentation et ne restitue pas naturellement les relations. Une collection de PDF peut compléter un export structuré pour la lecture humaine, sans en être le substitut lorsque le besoin est de réimporter ou de rechercher finement.

CSV, JSON et XML : structurés mais pas autosuffisants

Ces formats peuvent être lus par machine, mais leur qualité dépend du schéma et du dictionnaire. Un CSV sans définition des colonnes, codage des statuts ou identifiant stable reste ambigu. Un JSON peut préserver une hiérarchie, mais utiliser des noms et valeurs propriétaires. Demandez un exemple, la version du schéma, les règles pour les valeurs absentes et la politique d’évolution.

Archives de fichiers : vérifier le manifeste

Les pièces jointes peuvent être regroupées dans des dossiers dont le nom ne correspond pas au patient. Un manifeste doit relier chaque fichier à son objet, préciser son type, sa taille et idéalement une empreinte. Testez les caractères accentués, les noms longs, les doublons et les extensions inattendues. Une archive qui s’extrait correctement peut encore contenir des liens rompus.

Les quinze questions à poser à l’éditeur

Posez-les avant la signature, puis vérifiez les réponses au renouvellement. Demandez que les éléments critiques figurent au contrat, dans une annexe versionnée ou dans un engagement opposable. Une démonstration commerciale et une FAQ modifiable ne suffisent pas à protéger la sortie.

Questions 1 à 5 : que contient réellement l’export ?

• Question 1 — Quelles familles de données et de métadonnées sont incluses ? Exigez une liste, pas « toutes vos données ».
• Question 2 — Quelles catégories sont exclues et pourquoi ? Demandez l’effet pratique de chaque exclusion.
• Question 3 — Comment les pièces restent-elles rattachées aux dossiers ? Vérifiez identifiants, manifeste et arborescence.
• Question 4 — Les auteurs, dates, versions et statuts sont-ils conservés ? Une valeur finale ne remplace pas toujours l’historique utile.
• Question 5 — Les droits et journaux sont-ils exportés ou restitués autrement ? Distinguez preuve d’accès, configuration et données métier.

Questions 6 à 10 : comment le résultat peut-il être contrôlé ?

• Question 6 — Quels formats, schémas et dictionnaires sont fournis ? Obtenez la version et un exemple.
• Question 7 — Des identifiants stables relient-ils les tables et les fichiers ? Testez-les sur plusieurs cas.
• Question 8 — Quels comptages, manifestes ou empreintes accompagnent l’archive ? Ils servent au rapprochement.
• Question 9 — L’export peut-il être ouvert avec un outil indépendant ? Demandez la procédure et les prérequis.
• Question 10 — Un export de test et une réimportation sont-ils autorisés avant engagement ? Définissez qui assiste et qui corrige.

Questions 11 à 15 : que se passe-t-il lorsque le cabinet part ?

• Question 11 — Qui peut déclencher l’export, avec quel délai et quelle authentification ?
• Question 12 — Quel canal, quel chiffrement et quelle durée de téléchargement sont utilisés ?
• Question 13 — Quels coûts couvrent la restitution, l’assistance et une extraction supplémentaire ?
• Question 14 — Combien de temps l’ancien accès reste-t-il disponible pour la recette ?
• Question 15 — Quand les données, copies de travail et sauvegardes sont-elles supprimées, et quelle attestation est fournie ?

Construire un test fictif qui sollicite les cas difficiles

Un jeu de trois patients identiques ne révèle presque rien. Construisez des cas fictifs variés, sans copier de dossier réel : homonymes, accents, apostrophes, adresse étrangère, champs vides, longue note, plusieurs auteurs, rendez-vous déplacé puis annulé, document PDF, image, facture, avoir, règlement partiel et compte utilisateur retiré.

Écrire le résultat attendu avant l’export

Pour chaque objet, conservez une fiche de référence : valeur, auteur, date, relation et fichier attendu. Ajoutez les totaux et empreintes des pièces. Cette préparation évite d’adapter les critères après avoir vu le résultat. Elle permet de distinguer une transformation prévue d’une perte.

Tester la lecture et la réutilisation

Ouvrez d’abord les fichiers avec un outil indépendant et vérifiez leur encodage. Demandez ensuite à la solution cible ou à un outil de test d’importer le jeu. Recherchez chaque patient, ouvrez les pièces, vérifiez les dates et auteurs, puis produisez un nouvel export depuis la cible. Ce dernier test révèle un risque de captivité déplacée.

Contrôler séparément quatre preuves

Le test produit un faisceau de preuves. Une archive téléchargeable peut être complète mais non documentée ; documentée mais altérée ; intacte mais inutilisable hors du service. Chaque dimension doit donc avoir son propre verdict.

Périmètre et structure

Comparez l’inventaire attendu à la liste des objets présents. Ouvrez le manifeste et rapprochez les pièces. Vérifiez ensuite le schéma, les types, les codes, les relations et les identifiants. Consignez les exclusions et les conversions. Une colonne non vide dont personne ne connaît le sens n’est pas une information réutilisable.

Intégrité

Comparez les empreintes avant et après transfert, puis les totaux par objet, période et statut. Ouvrez un échantillon de fichiers. Une empreinte prouve que le paquet n’a pas changé pendant le transport ; elle ne prouve pas que l’éditeur a inclus tout ce qui était attendu. Les comptages, le manifeste et l’échantillon complètent le contrôle.

Réemploi

Vérifiez la lecture indépendante, l’import pilote et la capacité à retrouver les relations dans une autre interface. Mesurez les transformations nécessaires et demandez qui les maintient. Un développement spécifique peut être acceptable s’il est documenté, estimé et reproductible ; il ne doit pas être découvert lorsque l’ancien accès est déjà fermé.

Sécuriser le déclenchement, le transfert et la conservation

L’export massif concentre plus de données qu’un écran ordinaire et peut contourner des contrôles applicatifs. Il doit être traité comme une opération sensible. Limitez les profils autorisés selon la méthode du guide sur les habilitations du cabinet, protégez les comptes et vérifiez que le déclenchement est journalisé.

Authentifier et alerter

Demandez si une authentification renforcée, une validation secondaire ou un délai de confirmation protège l’opération. Vérifiez qui reçoit l’alerte, ce qu’elle contient et si elle distingue un export courant d’une extraction complète. Révoquez immédiatement l’accès d’un ancien collaborateur et testez le refus attendu.

Protéger le canal et le secret

La fiche CNIL sur les échanges avec d’autres organismes recommande des mécanismes assurant confidentialité, authentification et intégrité. Utilisez un espace contractualisé, une durée de lien limitée et un chiffrement adapté. Si une archive possède un secret séparé, transmettez-le par un autre canal. N’utilisez pas l’e-mail ordinaire ou un stockage personnel comme solution de commodité.

Attribuer une date de suppression à chaque copie

Notez où se trouvent l’archive source, la copie de contrôle, l’environnement d’import et les journaux. Donnez à chaque élément un propriétaire et une date de purge. Une copie périodique utile à la continuité doit relever de la stratégie de sauvegarde et de restauration, pas d’un dossier de téléchargement oublié.

Contractualiser une sortie réellement praticable

La CNIL demande, dans sa fiche sur la gestion de la sous-traitance, de fixer notamment les conditions de restitution et de destruction des données en fin de contrat. L’article 28, paragraphe 3, point g du RGPD prévoit, selon le choix du responsable de traitement, la suppression ou le renvoi des données après la prestation, ainsi que la destruction des copies, sauf obligation légale contraire.

Créer une annexe de réversibilité versionnée

Regroupez le périmètre, les formats, la documentation, les délais, le canal, les responsabilités, l’assistance, les prix, la durée de lecture et le calendrier de suppression. Ajoutez la version du mécanisme testée et une obligation d’information en cas de changement. L’annexe doit rester compréhensible par le cabinet, pas seulement par l’équipe technique de l’éditeur.

Rendre les coûts et délais prévisibles

Une sortie techniquement possible peut être rendue impraticable par un prix non borné ou un délai incompatible avec la continuité. Fixez ce qui est inclus, les unités facturées, le tarif d’une extraction supplémentaire et le délai maximal. Prévoyez la période pendant laquelle une anomalie peut être corrigée sans fermer l’ancien accès.

Définir la preuve de suppression

L’attestation doit identifier le périmètre, la date, les environnements concernés et les éventuels délais propres aux sauvegardes. Elle ne doit pas exposer des secrets de sécurité. Demandez comment l’instruction atteint les sous-traitants ultérieurs et comment les exceptions légales sont isolées. Ne réclamez la suppression qu’après la recette et la période de surveillance décidée.

Rendre le test et ses résultats opposables

Une annexe peut décrire un export sans obliger l’éditeur à maintenir sa qualité. Ajoutez donc le droit de réaliser le test convenu, les critères minimaux, la procédure de signalement et le délai de correction. Précisez ce qui se passe si une évolution supprime un champ, change un identifiant ou rend un format illisible : retour à la version antérieure, export correctif, documentation mise à jour ou assistance sans coût supplémentaire selon le cas négocié.

Conservez le rapport accepté par les deux parties avec la version du logiciel et de l’annexe. Lors d’un renouvellement, comparez le nouveau test à ce référentiel. Cette traçabilité évite qu’une démonstration réussie trois ans plus tôt soit invoquée alors que le produit, son schéma ou son infrastructure ont changé. Elle donne aussi un point de départ concret pour traiter un écart, sans présumer de la qualification juridique d’une inexécution contractuelle.

Prévoir l’indisponibilité ou la défaillance du fournisseur

Le plan de sortie ne doit pas dépendre uniquement d’une équipe support disponible. Vérifiez si le cabinet peut produire un export autonome, à quelle fréquence et avec quelle documentation. Demandez ce qui se passe en cas de suspension, incident majeur, changement de propriétaire ou procédure collective.

Conserver une capacité de lecture proportionnée

Selon le risque, une extraction périodique protégée peut réduire la dépendance. Elle doit être automatisée ou tracée, contrôlée, chiffrée et supprimée selon une durée définie. Testez sa lecture après une évolution majeure du logiciel. Une pile d’archives jamais ouverte peut reproduire silencieusement la même erreur pendant des mois.

Garder la documentation hors du service

Conservez le schéma, le dictionnaire, la procédure de déchiffrement, les contacts et les preuves dans un espace accessible si le logiciel devient indisponible. Ne gardez pas la clé uniquement dans la plateforme qu’elle doit permettre de quitter. Le dispositif doit rester cohérent avec le plan de continuité et la procédure de réaction à un incident de données.

Répondre à une demande d’une personne sans confondre les droits

Lorsqu’une personne demande « mes données », identifiez d’abord le droit exercé : accès, portabilité, rectification, copie d’un document ou transmission dans un parcours. Le vocabulaire utilisé par la personne n’est pas toujours juridique. Le cabinet qualifie la demande et l’éditeur l’assiste selon le contrat ; l’éditeur ne décide pas seul du périmètre.

Vérifier les conditions de la portabilité

La page officielle de la CNIL destinée aux professionnels sur le droit à la portabilité précise notamment les données concernées et les formats possibles. Vérifiez la base juridique, le caractère automatisé et l’origine des données. Les informations fournies activement par la personne et celles observées dans l’usage peuvent entrer dans le périmètre selon les conditions ; les données déduites ou créées par l’analyse de l’organisme ne sont pas automatiquement portables.

Ne pas transformer l’absence de portabilité en refus d’accès

Une donnée hors du droit à la portabilité peut relever du droit d’accès ou d’une autre obligation. Évitez la réponse binaire « ce n’est pas portable, donc nous ne communiquons rien ». Vérifiez l’identité de manière proportionnée, les droits d’autrui, la sécurité du canal et le délai applicable. Conservez la décision et le contenu transmis.

Encadrer la transmission directe

Le RGPD prévoit une transmission directe à un autre responsable lorsque cela est techniquement possible, dans le périmètre du droit. Cette possibilité ne crée pas une obligation générale de compatibilité entre tous les logiciels. Définissez le destinataire, sécurisez le canal, protégez les données de tiers et tracez l’opération. Un format ouvert facilite la réutilisation sans garantir une intégration automatique.

Protéger les droits d’autrui sans opposer un refus global

Le jeu transmis peut contenir des données relatives à d’autres personnes, des observations produites par le cabinet ou des éléments protégés. Isolez ce qui appartient au périmètre demandé et examinez les droits et libertés d’autrui. Lorsque certains éléments ne peuvent pas être transmis sous la forme demandée, documentez l’analyse et recherchez une réponse proportionnée : extraction partielle, séparation des données, autre format ou traitement au titre d’un autre droit. Une difficulté technique, un secret d’affaires ou un droit de propriété intellectuelle ne doivent pas devenir une formule automatique empêchant toute réponse.

Répéter le test après les changements importants

Une démonstration avant signature ne protège pas indéfiniment. Le schéma, les pièces, les modules et le prestataire d’hébergement peuvent évoluer. Inscrivez le test dans la gouvernance du logiciel et reliez-le à l’audit annuel de la checklist RGPD du cabinet.

Définir les déclencheurs

Rejouez tout ou partie du protocole après une évolution majeure, l’ajout d’un module, une modification du format, un changement de sous-traitant, un renouvellement contractuel, un incident ou une anomalie d’export. Une cadence annuelle peut être un point de départ de gestion pour certains cabinets, mais ce n’est pas une obligation universelle ; adaptez-la au rythme des changements et au risque.

Versionner le résultat

Conservez la date, la version du logiciel, le jeu fictif, le schéma, les empreintes, les écarts et la décision. Comparez les tests successifs : une colonne disparue ou un format modifié devient visible. Fermez chaque écart par une correction, une compensation ou une acceptation motivée.

Noter la réversibilité sans masquer un blocage

Une note facilite la comparaison, mais elle ne doit pas moyenner un risque critique. Évaluez chaque domaine de zéro à deux : absent, partiel, démontré. Un total élevé ne compense pas l’absence d’un document indispensable, un canal non sécurisé ou une clause de sortie impraticable.

Domaine	Grille de preuve
Périmètre	0 : promesse globale. 1 : liste incomplète. 2 : inventaire et exclusions testés.
Structure	0 : fichiers opaques. 1 : format lisible sans dictionnaire. 2 : schéma, codes et relations documentés.
Intégrité	0 : aucun contrôle. 1 : totaux seuls. 2 : empreintes, manifestes et échantillon.
Réemploi	0 : dépendance source. 1 : lecture seulement. 2 : lecture indépendante et import pilote.
Sécurité	0 : canal informel. 1 : mesures non testées. 2 : accès, chiffrement et journaux vérifiés.
Sortie	0 : non définie. 1 : délais ou coûts ouverts. 2 : assistance, prix, recette et purge écrits.

Traiter les bloqueurs indépendamment du score

Déclarez bloquants l’absence d’un périmètre critique, l’impossibilité d’ouvrir le résultat hors du service, un transfert non maîtrisé, des conditions de sortie unilatérales ou l’absence de délai compatible avec le besoin. Le choix du logiciel de cabinet doit intégrer ce verdict avec les critères fonctionnels, économiques et de sécurité.

Plan d’action avant signature ou renouvellement

Jours 1 à 5 : cadrer

1. Inventorier les objets, relations et usages de sortie.
2. Classer lecture, conservation et import attendus.
3. Envoyer les quinze questions à l’éditeur.
4. Rassembler contrat, annexe de sous-traitance et documentation.

Jours 6 à 15 : tester

1. Construire le jeu fictif et ses résultats attendus.
2. Déclencher l’export selon la procédure normale.
3. Contrôler périmètre, structure, intégrité et sécurité.
4. Tester la lecture indépendante, l’import et le nouvel export.

Jours 16 à 30 : décider et contractualiser

1. Noter chaque domaine et isoler les bloqueurs.
2. Faire corriger le format, la documentation ou la procédure.
3. Versionner l’annexe de réversibilité, les coûts et les délais.
4. Planifier le prochain test et ranger les preuves hors du service.

Checklist de preuve avant de croire l’export

• [ ] Export, portabilité et réversibilité sont définis séparément.
• [ ] Les usages de lecture, conservation et import sont écrits.
• [ ] Toutes les familles de données sont inventoriées.
• [ ] Les pièces, auteurs, dates, versions et statuts sont inclus ou compensés.
• [ ] Les relations et identifiants stables sont documentés.
• [ ] Les exclusions sont nommées et justifiées.
• [ ] Les formats et leur version sont connus.
• [ ] Un dictionnaire décrit champs, codes, unités et valeurs absentes.
• [ ] Un manifeste relie les fichiers aux objets.
• [ ] Le jeu fictif couvre homonymes, accents, pièces, dates et droits.
• [ ] Les résultats attendus sont écrits avant le test.
• [ ] Les empreintes et comptages sont comparés.
• [ ] Les fichiers s’ouvrent avec un outil indépendant.
• [ ] Un import pilote a préservé les relations.
• [ ] Un nouvel export depuis la cible a été obtenu.
• [ ] Les profils capables d’exporter sont limités et testés.
• [ ] Le déclenchement est journalisé et signalé.
• [ ] Le transfert et les archives sont protégés.
• [ ] Chaque copie temporaire a un propriétaire et une date de purge.
• [ ] Délais, assistance et coûts de sortie sont écrits.
• [ ] La période de recette avant fermeture est prévue.
• [ ] La suppression et son attestation couvrent le périmètre convenu.
• [ ] Les conditions du droit à la portabilité sont distinguées du droit d’accès.
• [ ] Le test sera rejoué après les évolutions significatives.

Le bon indicateur n’est pas le nombre de formats affichés dans la brochure, mais la capacité du cabinet à obtenir, comprendre, vérifier et réutiliser ses données dans des conditions écrites. Un éditeur qui accepte ce test avant l’engagement transforme une promesse en preuve ; un refus ou une réponse vague devient un risque à traiter avant de dépendre du service.

Limites et suivi éditorial

Ce guide ne remplace ni l’analyse d’un contrat, ni une qualification juridique de chaque demande de droit, ni un test technique adapté au logiciel. Les formats et fonctions varient ; certaines reprises nécessitent une transformation spécifique. Les données de production ne doivent jamais être copiées dans un environnement non autorisé pour démontrer une fonctionnalité.

Sources contrôlées le : 29 août 2026. Prochaine revue prévue : 29 novembre 2026, ou plus tôt en cas d’évolution des recommandations CNIL, du RGPD ou du service audité.

Sources primaires

• CNIL — Professionnels : répondre à une demande de droit à la portabilité.
• CNIL — Sécurité : gérer la sous-traitance.
• CNIL — Sécurité : sécuriser les échanges avec d’autres organismes.
• Union européenne — Règlement général sur la protection des données, articles 12, 15, 20 et 28.

À lire ensuite

• Changer de logiciel en gardant un retour arrière
• Choisir un logiciel de cabinet sur des preuves
• Tester la restauration des données du cabinet
• Contrôler les droits d’accès et les exports massifs
• Organiser la conservation des dossiers patients