Données personnelles et open data : anonymisation, vie privée et RGPD

9. Réutilisation des données diffusées : obligations issues du CRPA

23. La quatrième partie du guide analyse les règles applicables à la réutilisation des données diffusées. Par principe, les informations publiques figurant dans des documents communiqués ou publiés par les administrations peuvent être utilisées par toute personne, physique ou morale, publique ou privée, à d’autres fins que celles de la mission de service public pour les besoins de laquelle les documents ont été produits ou reçus. Sont donc librement réutilisables les données figurant dans des documents publiés et celles figurant dans des documents communiqués, sous réserve du respect des occultations nécessaires. La réutilisation est indépendante du régime juridique initial de communication ou de publication (CRPA ou autres obligations légales).

24. Plusieurs obstacles peuvent toutefois restreindre la libre réutilisation. D’abord, les droits de propriété intellectuelle détenus par des tiers à l’administration, ainsi que ceux des administrations sur certaines bases de données produites ou reçues dans le cadre d’une mission de service public à caractère industriel ou commercial soumise à la concurrence. Les administrations ne peuvent, en principe, faire obstacle à la réutilisation du contenu des bases de données qu’elles publient en application de l’article L. 312‑1‑1 du CRPA. Ensuite, le paiement d’une redevance peut être exigé dans des cas limités (administrations productrices d’informations publiques financées par des recettes propres, bibliothèques, musées, archives pour la numérisation de collections). Enfin, la réutilisation est soumise à des conditions de qualité : ne pas altérer les informations, ne pas en dénaturer le sens, mentionner les sources et la date de dernière mise à jour, et respecter l’interdiction de droits d’exclusivité sauf exceptions encadrées (accords d’exclusivité limités dans le temps, notamment pour la numérisation de ressources culturelles ou les accords entre personnes publiques).

25. Le guide insiste sur la situation particulière des agents publics auteurs d’œuvres de l’esprit. Les informations contenues dans des documents sur lesquels des agents détiennent des droits de propriété intellectuelle ne sont pas automatiquement des informations publiques au sens du CRPA. Leur exploitation par des tiers suppose un accord avec l’agent titulaire des droits, sauf dans deux hypothèses : lorsque les données grevées de droits d’auteur sont strictement nécessaires à l’accomplissement de la mission de service public (transfert des droits à l’autorité publique) ou lorsque l’agent cède ses droits par contrat, l’administration disposant alors d’un droit de préférence. Dans ces cas, l’administration peut consentir à la réutilisation par des tiers. Par ailleurs, la présence de données à caractère personnel dans les documents réutilisés impose le respect du RGPD et de la loi du 6 janvier 1978 (voir infra).

10. Réutilisation et RGPD : bases légales, finalités et droits des personnes

26. Pour les documents dont la communication constitue un droit pour toute personne (titre Ier du livre III du CRPA ou autres dispositions législatives) et pour les informations ayant fait l’objet d’une diffusion publique conforme aux articles L. 312‑1 à L. 312‑1‑2, il n’est plus nécessaire de recueillir le consentement des personnes concernées, de procéder à une anonymisation ou de s’appuyer sur une disposition législative autorisant expressément la réutilisation. Toutefois, le réutilisateur devient à son tour responsable de traitement au sens du RGPD, la réutilisation (y compris la rediffusion de données initialement diffusées en open data) constituant un traitement de données à caractère personnel. Il doit donc respecter l’ensemble des principes de protection des données.

27. La réutilisation doit d’abord être licite, c’est‑à‑dire fondée sur l’une des bases légales de l’article 6‑1 du RGPD : consentement des personnes, nécessité pour l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ou intérêt légitime du responsable de traitement. Par exemple, une réutilisation à des fins de prospection commerciale B to B peut être fondée sur l’intérêt légitime si celui‑ci est démontré et si les intérêts des personnes ne prévalent pas ; à défaut, le consentement est requis, ou une anonymisation doit être mise en œuvre. La réutilisation doit ensuite poursuivre une finalité déterminée, explicite et légitime, en cohérence avec l’activité du réutilisateur et les attentes raisonnables des personnes, compte tenu du contexte initial de collecte. Les traitements ne doivent pas aboutir à un degré d’identification supérieur à celui du jeu de données mis à disposition, sauf nécessité démontrée et absence de préjudice pour les personnes (par exemple, un annuaire d’administration ne devrait pas être utilisé pour un profilage ou un traçage des agents).

28. Le principe de minimisation impose de ne traiter que des données adéquates, pertinentes et proportionnées au regard de la finalité poursuivie. Les réutilisateurs doivent veiller à la mise à jour des données, en prenant des mesures raisonnables pour éviter le traitement de données obsolètes (recours recommandé à des API pour rafraîchir les données de manière régulière et automatisée). La réutilisation doit être effectuée en toute transparence : une information générale conforme à l’article 14 du RGPD doit accompagner tout traitement issu d’une réutilisation, et, lorsque cela est possible sans efforts disproportionnés, une information directe doit être délivrée aux personnes concernées. Les réutilisateurs doivent également respecter les droits des personnes : droit d’opposition (notamment à la prospection commerciale), droit d’accès, droit de rectification, droit à la limitation, droit à la portabilité lorsque le traitement est fondé sur le consentement, et droit à l’effacement dans les conditions de l’article 17.

29. Le principe de limitation de conservation impose de fixer une durée déterminée de conservation en fonction de la finalité. À l’issue du traitement, les données doivent être soit archivées (à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou statistiques, avec des mesures de protection appropriées), soit détruites lorsqu’aucune nécessité d’archivage ne subsiste. Enfin, les réutilisateurs doivent garantir la sécurité des données en prenant toutes précautions utiles, au regard de la nature des données et des risques, pour empêcher leur déformation, endommagement ou accès non autorisé. Le guide rappelle que ces exigences s’appliquent également aux données relatives à des personnes physiques liées à des personnes morales (gérants, actionnaires, salariés, etc.).

11. Glossaire : notions clés de l’open data des données publiques

30. Le glossaire du guide précise plusieurs notions essentielles dans le contexte de l’open data des données publiques. Un algorithme est défini comme la description d’une suite finie et non ambiguë d’étapes permettant d’obtenir un résultat à partir d’éléments fournis en entrée ; lorsqu’il est exprimé dans un langage informatique, il devient un programme ou code source. L’anonymisation est un traitement rendant impossible, de façon irréversible, l’identification des personnes ; lorsque l’anonymisation est effective, le RGPD ne s’applique plus. Une archive publique est tout document produit ou reçu dans l’exercice d’une activité de service public, y compris les documents administratifs, les archives définitives étant celles conservées à l’issue de leur durée d’utilité administrative. Une base de données est un recueil d’œuvres, de données ou d’éléments indépendants, disposés de manière systématique ou méthodique et individuellement accessibles, correspondant à un ensemble de données organisé pour faciliter leur utilisation par des programmes.

31. Le document administratif est défini par l’article L. 300‑2 du CRPA comme tout document produit ou reçu par l’État, les collectivités territoriales, les autres personnes de droit public ou les personnes de droit privé chargées d’une mission de service public, quels que soient sa date, sa forme ou son support (y compris les codes sources). Une donnée à caractère personnel est toute information relative à une personne physique identifiée ou identifiable. Une donnée publique est une donnée communicable contenue dans un document administratif ou, plus largement, dans tout document détenu dans le cadre d’une mission de service public ; une information publique est une information obtenue par interprétation de plusieurs données publiques. Un jeu de données est un ensemble cohérent de données brutes compilées de façon logique (par thème, par année, etc.) en vue d’une réutilisation. Une licence de réutilisation fixe les conditions de réutilisation des données publiées, dans le respect des principes d’intérêt général et de non‑restriction de la concurrence. Les métadonnées décrivent un contenu (date de création, auteur, format, etc.). L’open data désigne les politiques d’ouverture et les données ouvertes elles‑mêmes, librement accessibles en ligne dans un format compréhensible, non propriétaire et réutilisable. La pseudonymisation est distinguée de l’anonymisation : elle vise à ce que les données ne puissent plus être attribuées à une personne sans informations supplémentaires conservées séparément. Enfin, le secret de la vie privée, consacré par l’article 9 du code civil et l’article L. 311‑6 du CRPA, protège certaines informations, tout en laissant hors de son champ certaines données (comme le nom et le prénom) que les citoyens doivent légitimement pouvoir connaître.