Données en open data : décider ce qui peut être publié
Avant une publication en open data, vérifiez le cadre légal, les identifiants indirects, les recoupements et les versions du jeu.
Un fichier peut être utile au public sans que ses lignes individuelles puissent être publiées. Avant d’ouvrir un jeu de données, il faut décider si la diffusion de personnes identifiables est autorisée, puis vérifier le contenu exact livré. Retirer les noms, choisir une licence ouverte ou publier sur un portail institutionnel ne répond pas à ces deux questions.
La décision porte aussi sur les versions précédentes : deux tableaux peu détaillés, pris ensemble, peuvent révéler ce que chacun semble protéger. Voici comment préparer une publication, justifier un refus partiel et conserver une trace exploitable de l’arbitrage.
Identifier le régime de publication avant de transformer le fichier
Documents administratifs : trois vérifications distinctes
Le code des relations entre le public et l’administration vise notamment les documents produits ou reçus dans une mission de service public par l’État, les collectivités et les autres personnes concernées, y compris certaines personnes privées. Le statut commercial ou associatif de l’organisme ne suffit donc pas à décider. Il faut rattacher le document à sa mission. CRPA, Art. L. 300-2.
Première vérification : existe-t-il une obligation de publication, ou seulement une faculté ? Les Art. L. 312-1 et L. 312-1-1 organisent ces situations avec leurs conditions. Une politique interne de transparence ne devient pas une obligation légale de publier toutes les colonnes d’une base. CRPA, règles générales de diffusion.
Deuxième vérification : quelles mentions sont protégées ? L’Art. L. 312-1-2, premier alinéa, exige leur occultation, sauf disposition législative ou réglementaire contraire. Le secret de la vie privée ou des affaires ne disparaît pas parce que le document comporte aussi des informations publiques. CRPA, Art. L. 311-6.
Troisième vérification : peut-on conserver les données personnelles restantes ? Le deuxième alinéa de L. 312-1-2 pose le principe d’un traitement empêchant l’identification, sauf disposition législative contraire ou accord des personnes. Des catégories de documents bénéficient également du régime fixé par D. 312-1-3. Cette exception ne lève pas, par elle-même, les secrets protégés. CRPA, Art. L. 312-1-2 et D. 312-1-3.
Ainsi, D. 312-1-3(1°) mentionne les annuaires administratifs nécessaires à l’information du public. Cela ne transforme pas l’export interne comprenant les coordonnées privées des agents en annuaire publiable intégralement. La bonne unité d’analyse est la mention à diffuser dans le document concerné.
La CNIL rappelle aussi qu’un document communicable à une personne n’est pas nécessairement diffusable en ligne dans les mêmes conditions. Une autorisation d’affichage ne vaut pas automatiquement autorisation de publication nominative sur Internet. CNIL, contenu des documents publiés.
Publication volontaire d’une entreprise ou d’une association
Hors de ce régime, l’organisme doit justifier son propre traitement. S’il publie des données personnelles, il identifie notamment une base légale, une finalité compatible avec la collecte, les informations à fournir et les garanties nécessaires. Le consentement initial à une enquête confidentielle ne couvre pas, à lui seul, une diffusion mondiale des réponses.
L’intérêt légitime exige une analyse concrète de nécessité et de mise en balance ; l’intérêt du public pour un sujet ne suffit pas à la démontrer. Les données sensibles imposent en outre une condition de l’Art. 9(2). RGPD, Art. 5(1)(a–c), 6(1)(f), 6(4), 7 et 9.
Si le résultat publié est effectivement anonyme, il sort du champ des données personnelles. Les opérations réalisées sur la base nominative pour le produire restent toutefois à justifier. Une licence règle des conditions de réutilisation ; elle ne rend pas licite une divulgation qui ne l’était pas.
Choisir la sortie qui répond réellement au besoin
Commencez par écrire la question à laquelle le public doit pouvoir répondre. « Comprendre l’évolution annuelle des demandes » appelle un résultat différent de « retrouver chaque intervention à une adresse ».
| Besoin identifié | Sortie à préparer | Décision qui reste nécessaire |
|---|---|---|
| Connaître les volumes et leur évolution | Statistiques avec période et catégories définies | Évaluer l’identification et les recoupements, y compris entre versions |
| Trouver un interlocuteur administratif | Annuaire limité à la fonction publique utile | Vérifier le texte applicable et les mentions admises |
| Étudier des trajectoires individuelles | Examiner un accès contrôlé à un projet déterminé | Établir les conditions du partage ; ne pas appeler cet accès « open data » |
| Rendre publiques des réponses identifiantes | Publication personnelle explicitement qualifiée | Justifier la base, l’information et les éventuelles règles spéciales |
L’accès dans un consortium de recherche illustre la troisième voie. Il ne permet pas de remplacer une publication légalement obligatoire par un accès discrétionnaire. Il offre une option pour un autre besoin dont la diffusion générale n’est pas justifiée.
Une cellule masquée peut rester calculable
Exemple entièrement hypothétique. L’association Atelier Lande organise des réparations. Elle souhaite montrer les volumes et les dépenses, sans publier l’identité des bénéficiaires. Son fichier de travail contient noms, dates, objets, lieux et montants. Le projet public présente trois ateliers : A, B et C. Les deux premiers regroupent plusieurs interventions ; le troisième n’en comprend qu’une, chez Nora, déjà identifiée dans une annonce publique.
Le tableau préparé affiche 410 € pour A, 445 € pour B et « montant masqué » pour C. Il indique également le total des dépenses : 940 €. La suppression visuelle de la troisième cellule paraît protéger Nora, mais le montant reste calculable : 940 − 410 − 445 = 85 €.
La fiche de contrôle doit retenir deux faits ensemble : le montant de C est déductible, et l’annonce publique permet de rattacher son unique intervention à Nora. Le nom ne figure jamais dans le tableau. Une simple inspection des colonnes nominatives manquerait donc le problème.
Supprimer également le total de ce fichier n’est pas forcément suffisant. S’il figure déjà, avec le même périmètre, dans un bilan public, la soustraction reste possible. Il faut comparer les sorties disponibles, leurs périodes et les éventuelles corrections. Deux nombres portant sur des périmètres différents ne doivent pas être rapprochés comme s’ils étaient équivalents.
L’association refuse cette ventilation avant sa mise en ligne. Elle prépare une synthèse annuelle plus large, sans montants par atelier, puis examine les autres publications. Elle ne déclare pas la synthèse anonyme sur le seul fondement du regroupement. La réserve ne concerne pas seulement la cellule de C, mais la combinaison de résultats qui rend cette cellule calculable.
Les tableaux à petits effectifs demandent ce même raisonnement : vérifier ce qu’un lecteur peut apprendre, plutôt que chercher un nombre magique de lignes à atteindre.
Constituer le dossier du jeu effectivement livré
La CNIL distingue trois angles d’examen : isoler une personne, relier des jeux la concernant et déduire une information sur elle. Si l’un des critères n’est pas satisfait, une analyse approfondie est nécessaire avant de conclure à l’anonymat. CNIL, anonymisation.
Pour Atelier Lande, le dossier de décision peut être rempli ainsi :
| Rubrique | Contenu du dossier O-12 |
|---|---|
| Objectif | Expliquer l’activité annuelle, sans détailler les dépenses individuelles |
| Source | Fichier nominatif des interventions, conservé dans l’espace métier |
| Version refusée | Dépenses par atelier, avec cellule C masquée mais total conservé |
| Motif précis | Soustraction 940 − 410 − 445 = 85 €, attribuable à une intervention connue |
| Nouvelle proposition | Synthèse annuelle élargie ; aucune diffusion des lignes sources |
| Réserve ouverte | Évaluer les recoupements avec les anciennes publications et les annonces publiques |
| Responsable de la décision | Direction de l’association, avec analyse du référent protection des données |
| Condition de mise en ligne | Conclusion documentée sur le fichier final et ses recoupements ; réserve levée ou publication réduite |
Cette fiche n’atteste pas une publication déjà autorisée. Elle décrit une décision partielle : la première sortie est écartée, la seconde attend son analyse. Si celle-ci ne permet pas de conclure, l’association conserve la réserve et choisit une information moins détaillée. Elle peut présenter l’organisation de ses ateliers sans livrer les dépenses individuelles.
Le fichier final doit être contrôlé séparément du document de travail. Un onglet masqué, une colonne auxiliaire, un commentaire ou une pièce jointe peut conserver ce que la feuille visible semble avoir retiré. Préparer une sortie dédiée évite de distribuer, par commodité, le classeur complet.
Conservez la description des transformations, la version examinée et les sources de recoupement considérées. La personne qui dépose le fichier doit pouvoir vérifier qu’il correspond à celui autorisé. Une validation portant sur un tableau de juin ne couvre pas automatiquement l’export enrichi de septembre.
Prévoir les actualisations et les signalements
L’ouverture est une activité suivie. Chaque ajout de variable, changement de granularité ou nouvelle série peut modifier l’analyse. Le responsable du jeu conserve un historique des versions diffusées et un contact capable de faire retirer rapidement une version problématique. L’historique de contrôle doit lui-même être protégé : il ne justifie pas une archive publique de fichiers personnels retirés.
Si un lecteur signale une identification plausible, examinez son raisonnement sans lui demander de diffuser davantage de preuves personnelles. Mettez à l’abri le fichier concerné lorsque nécessaire, recherchez les autres points de diffusion sous votre contrôle et préservez les éléments utiles à l’analyse.
Une divulgation non autorisée peut constituer une violation de données. Documentez les faits et évaluez les notifications selon les risques : notification à l’autorité sauf risque improbable, et information des personnes lorsque le risque est élevé, sous les conditions prévues. Le délai de l’autorité court à partir de la prise de connaissance ; attendre une prochaine édition statistique ne le reporte pas. RGPD, Art. 33(1), 33(5) et 34(1).
Retirer la source ne prouve pas la disparition de toutes les copies. Indiquez précisément ce qui a été retiré, corrigé ou signalé à un réutilisateur. Pour remonter à la collecte, la méthode du questionnaire annoncé anonyme aide à rechercher les identifiants indirects conservés dès l’origine.
Ce qu’il faut retenir
- Distinguez régime administratif, secrets protégés et conditions de publication des données personnelles.
- Évaluez les versions et les sources externes ensemble : le retrait des noms ne suffit pas.
- Une décision peut autoriser une sortie limitée tout en maintenant une réserve sur le reste.
- Conservez la preuve de l’analyse du fichier livré et organisez sa correction.
FAQ
Une donnée déjà sur Internet peut-elle être republiée librement ?
Sa disponibilité ne supprime pas les règles applicables. La nouvelle publication doit avoir ses propres conditions de licéité ; des regroupements ou recoupements peuvent aussi modifier ses conséquences pour les personnes.
Faut-il toujours recueillir un consentement pour publier ?
Non. Le régime dépend notamment de l’organisme, du document et du texte applicable. Lorsqu’un consentement est utilisé, il doit couvrir la publication envisagée et respecter les exigences du RGPD ; une simple absence d’opposition ne le démontre pas.
Peut-on annoncer une anonymisation en cours et publier immédiatement ?
Cette mention ne protège pas les personnes identifiables. Tant que la diffusion personnelle n’a pas son fondement et ses garanties, ou que l’anonymat annoncé n’est pas établi, la réserve doit être résolue avant la mise en ligne concernée.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.