La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;

Après avoir entendu le rapport M. Anne Debet, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement

Formule les observations suivantes :

Les pratiques d’ouverture et de réutilisation de données publiées sur internet sont en plein développement. En effet, le mouvement réglementaire en faveur du partage des données publiques s’est accéléré ces dernières années. Parallèlement, ces données, et plus largement toutes celles qui sont accessibles en ligne (ex. : celles figurant sur des réseaux sociaux), font l’objet de multiples exploitations, pour des finalités diverses et dans des conditions variées, par des organismes aussi bien publics que privés (ex. : lutte contre la fraude, démarchage commercial, recherche scientifique, etc.).

Les saisines pour avis de la CNIL sur des projets de texte législatif ou réglementaire, les demandes de conseils de professionnels, ou encore les plaintes qu’elle reçoit au sujet de traitements de diffusion ou de réutilisation de données témoignent largement de ces évolutions. Sont soulignés, plus particulièrement, toutes les opportunités comme les risques qu’elles peuvent présenter pour les droits, libertés et intérêts des personnes concernées.

Dans ce contexte, la CNIL adopte deux recommandations relatives à l’application du RGPD à ces catégories de traitements :

l’une s’adresse spécifiquement aux acteurs (administrations, entreprises, particuliers, etc.) qui mettent à disposition du public des données à caractère personnel en open data , c’est-à-dire dans un format ouvert, aisément réutilisable et exploitable par machine ;

l’autre, aux acteurs qui souhaitent réutiliser tous types de données à caractère personnel publiées sur internet (données en open data et autres données accessibles en ligne) pour divers objectifs.

Ces recommandations prennent la forme d’une série de fiches pratiques qui ont été soumises à consultation publique.

La première recommandation consiste en un jeu de fiches « principes » devant aider les diffuseurs de données ouvertes à :

identifier les responsabilités des différents organismes susceptibles d’être impliqués dans le traitement ;

déterminer la base légale du traitement ;

connaître la portée de leurs obligations en matière d’information des personnes concernées ;

tenir compte des droits des personnes ;

garantir la pertinence et la proportionnalité des données traitées, leur exactitude et leur sécurité.

La seconde recommandation, destinée aux réutilisateurs de données à caractère personnel, comprend, outre un jeu de fiches « principes » conçu sur le modèle de celui précédemment évoqué, des fiches « cas d’usage » déclinant les conditions de mise en œuvre de ces principes à certaines réutilisations de données :

la réutilisation de données aux fins de diffusion d’annuaires de professionnels ;

la réutilisation de données aux fins de constitution et d’enrichissement de bases destinées à la prospection commerciale ;

la réutilisation de données à des fins de recherche scientifique (hors santé) ;

l’aspiration de données par des autorités publiques dans le cadre de leurs missions.

Décide :

Article 1 er : Les recommandations figurant en annexe sont adoptées.

Article 2 : La présente délibération sera publiée au Journal officiel de la République française.

La présidente,

M.-L. Denis

Annexe

Vous pouvez consulter l’intégralité du texte avec ses images à l’adresse suivante :

https://www.cnil.fr/fr/recommandations-diffuseurs-donnees-ouvertes

https://www.cnil.fr/fr/recommandations-reutilisateurs-donnees-internet