El nuevo derecho se aplica con arreglo a tres condiciones acumulativas.
Primera: los datos personales solicitados deben estar tratados por medios automáticos (es decir, excluyendo los archivos en papel) sobre la base del consentimiento previo del interesado o de la ejecución de un contrato del que el interesado es parte.
Segunda: los datos personales solicitados deben ser relativos al interesado y haber sido facilitados por él. El Grupo de Trabajo del artículo 29 recomienda a los responsables del tratamiento que no adopten una interpretación demasiado restrictiva de la frase «datos personales relativos al interesado» cuando haya datos de terceros contenidos en un conjunto de datos relacionados con el interesado y proporcionados por este y el interesado que realiza la solicitud los utilice para fines personales. Son ejemplos típicos de conjuntos de datos que incluyen datos de terceros los registros telefónicos (que contienen llamadas entrantes y salientes) que un interesado desea recibir o un historial de cuenta que incluye pagos recibidos de terceros.
Los datos personales pueden considerarse como datos facilitados por el interesado cuando han sido «facilitados por» el interesado de manera consciente y activa, por ejemplo, datos de una cuenta (como dirección postal, nombre de usuario, edad) enviados a través de formularios en línea, pero también cuando se generan y recopilan a partir de actividades de los usuarios, mediante el uso del servicio o del dispositivo. Por el contrario, los datos personales que se obtienen o deducen de los datos facilitados por el interesado, como un perfil de usuario creado por el análisis de datos en bruto por un sistema de medición inteligente, quedan excluidos del ámbito de aplicación del derecho a la portabilidad de los datos, ya que no han sido facilitados por el interesado, sino creados por el responsable del tratamiento.
De conformidad con la tercera condición, el ejercicio de este nuevo derecho no debería afectar negativamente a los derechos y libertades de terceros. Por ejemplo, si el conjunto de datos transferido a petición del interesado contiene datos personales relativos a otras personas, el nuevo responsable del tratamiento debe tratarlos únicamente si existe un fundamento jurídico adecuado para ello. Normalmente, el tratamiento de datos bajo el control único del interesado, como parte de actividades puramente personales o domésticas, se considerará adecuado.
