Article publié dans l’hebdomadaire La Gazette des communes du 23 avril 2018.
Accès et usage : l’OPEN DATA désigne de façon générique l’accès et l’usage libres laissés au public quant aux données numériques.
Open data : la loi pour une République numérique (PRN) de 2016, déjà pour grande partie en vigueur, a introduit l’OPEN DATA dans le secteur public.
Opportunité : les collectivités territoriales, sauf les plus modestes, sont soumises à ses dispositions ; plutôt que de les subir, elles ont tout intérêt à s’en saisir.
1 – Connaître ses obligations
La loi PRN marque d’abord le passage pour les collectivités de la faculté de « rendre publics » à l’obligation de publier gratuitement en ligne certains documents (art. L.312-1-1 CRPA). Cette obligation s’applique à toutes les personnes soumises à l’obligation de communication de documents administratifs, à l’exception des collectivités territoriales de moins de 3500 habitants, et des personnes morales chargées d’une mission de service public comptant moins de 50 agents ou salariés en équivalent temps plein (ETP).
Elle est en vigueur, pour l’essentiel, puisque deux catégories principales de documents administratifs doivent déjà être publiés en ligne : tous ceux que les administrations ont communiqué classiquement sur demande des administrés et les documents listés dans le répertoire prévu par l’article L. 322-6 CRPA, parfois appelé Répertoire des informations publiques (RIP). Cependant, dès lors que l’obligation de tenir ce répertoire, qui s’applique à toutes les administrations quelle que soit leur taille, est à ce jour peu respectée, la mise en conformité commencera souvent par sa mise en place. Rappelons à cet égard que lorsque la collectivité dispose d’un site internet, elle doit rendre le RIP accessible en ligne.
Les deux autres types de documents devant être publiés devraient recouper en grande partie les deux catégories déjà évoquées : il s’agit des bases de données que les administrations produisent ou qu’elles reçoivent et qui ne font pas l’objet d’une diffusion publique par ailleurs et des données dont la publication présente un intérêt économique, social, sanitaire ou environnemental. Si toutefois ils ne sont pas déjà mis en ligne, ils devront l’être avant une date limite qui doit être fixée par décret et en tout état avant le 7 octobre 2018.
Les collectivités employant plus de 50 ETP (même si elles ont moins de 3500 habitants) doivent en outre d’ores-et-déjà publier en ligne les règles définissant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions lorsqu’ils fondent des décisions individuelles.
Les administrations sont également soumises au principe de libre réutilisation gratuite des informations publiques, y compris à des fins commerciales. Ce qui limite leur possibilité d’encadrer ces conditions de réutilisation, notamment par licences.
A Noter : Aucune sanction administrative n’est prévue à l’encontre des administrations qui ne se conformeraient pas à leurs obligations au titre de l’OPEN DATA.
2 – Gérer les risques liés à la protection des données personnelles
Il importe de garder à l’esprit qu’il est plus risqué, sur le plan des sanctions pénales et administratives, de violer les règles relatives à la protection des données personnelles que de ne pas respecter une obligation de publication, cette dernière n’étant pas directement sanctionnée.
Or il est courant que des documents administratifs contiennent de telles informations (Ex : informations sur les aides sociales attribuées à une famille nommément désignée).
Difficulté supplémentaire : tout document communicable sur demande n’est pas nécessairement publiable en ligne en l’état (et ce même s’il a déjà subi des occultations, liées par exemple au respect de la vie privée). Il faudra en conséquence vérifier que le document communicable ne comprend plus aucun élément permettant d’identifier directement ou indirectement une personne physique.
Cette dernière interdiction n’a cependant pas vocation à s’appliquer lorsque la loi en dispose autrement (Ex : noms des élus ayant participé aux discussions de l’assemblée délibérante, auteurs des actes ou des bénéficiaires de délégations de signature), ou si les personnes concernées ont donné leur accord, ou encore pour certaines catégories de documents qui seront listées dans un décret dont la parution se fait attendre.
3 – Respecter les interdictions de publication et de réutilisation liées au secret des affaires
Les documents dont la communication porterait atteinte au secret en matière commerciale et industrielle – « lequel comprend le secret des procédés, des informations économiques et financières et des stratégies commerciales ou industrielles et est apprécié en tenant compte, le cas échéant, du fait que la mission de service public de l’administration (…) est soumise à la concurrence » – ne peuvent être rendus publics qu’après avoir fait l’objet d’un traitement permettant d’occulter ces mentions.
Cette nouvelle définition, plus précise, du secret industriel et commercial a également des effets importants en termes de réutilisation : elle atténue grandement la possibilité désormais ouverte de réutilisation des bases de données publiées par les administrations exerçant une mission de service public industriel et commercial (SPIC). En pratique, un SPIC est assez souvent soumis à concurrence… ou risque de l’être…
L’application de l’exception n’en est que plus délicate : elle requiert une analyse fine du contexte et des conséquences qu’aurait la communication sur l’environnement concurrentiel, qui pourra être réalisée sur la base des avis déjà rendus par la CADA.
4 – Ne pas se croire tenu de créer des documents
En principe, l’obligation de diffusion en ligne et le droit de réutilisation des informations publiques, à l’instar du droit de communication, n’impliquent pas de créer de documents. Les documents n’existant pas sous forme électronique n’ont, en particulier, pas à être publiés ; et, pour épargner aux collectivités le risque que soit considérée comme obligatoire la publication des archives historiques numérisées, l’article L.312-1-2 in fine du CRPA précise que les administrations n’y sont pas tenues. Cette règle est d’autant plus importante que la diffusion et la réutilisation des informations publiques sont par principe gratuites, alors qu’elles représentent un coût réel pour les collectivités.
Trois atténuations importantes à ce principe sont cependant à signaler.
Il existe d’abord une obligation de transformation de certains documents pour permettre leur diffusion partielle. L’administration doit ainsi occulter les mentions non diffusables d’un document administratif, dans la mesure du raisonnable, c’est-à-dire dès lors que cela ne nécessite pas un travail trop important ou ne prive pas d’intérêt le document.
L’Administration peut ensuite être tenue de publier un document qui n’existe pas tel quel, mais peut être obtenu par un traitement automatisé d’usage courant. Ex : tableau qui peut être obtenu à partir d’un tel traitement. En revanche, dès lors que les informations sollicitées doivent, pour être extraites d’un fichier informatique, faire l’objet de requêtes informatiques complexes ou d’une succession de requêtes particulières qui diffèrent de l’usage courant pour lequel ce fichier a été créé, l’ensemble des informations sollicitées ne peut être regardé comme constituant un document administratif existant et donc publiable.
Enfin l’obligation de publier les règles définissant les principaux traitements algorithmiques utilisés par les collectivités dans l’accomplissement de leurs missions lorsqu’ils fondent des décisions individuelles implique de facto la création d’un document ad hoc.
5 – Mettre en place une dynamique commune RGPD/OPEN DATA
Un des principaux obstacles à l’OPEN DATA est la coexistence, dans des traitements complexes de l’administration, de données publiques et personnelles. La mise en conformité aux obligations renforcées de protection des données personnelles issues du Règlement général pour la Protection des Données (RGPD) va déjà permettre structurellement aux collectivités de limiter le traitement de données personnelles au strict nécessaire (privacy by design), d’identifier précisément ces dernières et de les isoler. Ce qui permettra accessoirement de les rendre plus facilement « OPEN DATA compatibles ». Au-delà, on peut imaginer une démarche volontariste des administrations, qui consisterait à concevoir, dès la mise en conformité avec le RGPD, le traitement automatisé d’usage courant qui permettrait de supprimer facilement les données personnelles résiduelles avant publication (disposition d’anonymisation ou de pseudonymisation). C’est la démarche à laquelle incite la CADA, qui semble considérer que s’impose aux Administrations une obligation de concevoir désormais les bases de données de sorte que leur partie communicable puisse être facilement extraite par un traitement automatisé d’usage courant. A défaut d’être financé par les usagers, l’OPEN DATA pourrait ainsi l’être par la mise en conformité au RGPD.
6 – Se lancer dans le mouvement
En matière d’OPEN DATA comme en matière de RGPD, « Le mieux est l’ennemi du bien ». A vouloir trop bien faire, les collectivités risquent de rester immobiles alors qu’il est d’abord attendu d’elles qu’elles se montrent de bonne volonté.
L’illustration la plus éclairante est celle du format des données publiées : l’article L.300-4 CRPA impose que toutes les publications électroniques apparaissent « dans un standard ouvert, aisément réutilisable et exploitable par un système de traitement automatisé ». Les textes ne donnent pas de définition technique plus précise de ce qui constitue un format ouvert, mais il est en pratique considéré que le format PDF (documents numérisés) n’est pas réutilisable et exploitable car les informations qu’il comprend ne peuvent pas être directement intégrées à un logiciel pour y être traitées. Pour autant, à défaut pour la collectivité de disposer dans l’immédiat de solution technique lui permettant de produire des documents dans un format plus ouvert, il est recommandé de publier lesdits documents au format PDF.
De la même façon, on encouragera les administrations à s’emparer des marges de manœuvre données par la loi quant à la définition des documents à publier : si, dès à présent, il est évident qu’un document administratif présente un intérêt économique, social, sanitaire ou environnemental pour les administrés et qu’il est par ailleurs publiable, il n’est pas nécessaire d’attendre d’avoir recensé tous les traitements de cette nature.
Elisa CORAZZA – avocat directeur
