B. SECONDE FAILLE : DES ADMINISTRATIONS PARFOIS DÉMUNIES FACE AU DÉFI DE L'OUVERTURE DES BASES DE DONNÉES
Même si, à travers Etalab et le secrétariat général à la modernisation de l'action publique (SGMAP), les gouvernements récents ont donné une forte impulsion en faveur de l'ouverture des données publiques, la conduite decette politique d' open data relève de chaque administration, pour ce qui concerne ces propres données.
Or, faute d'un pilotage ou d'un accompagnement suffisant, beaucoup se trouvent démunies face au défi que cela représente pour elles, s'agissant de la protection des données personnelles des administrés.
1. La nécessité, pour les administrations, de s'adapter à la nouvelle donne de l'open data
Pour les administrations, l'ouverture de bases de données établies à partir d'informations personnelles représente un double changement.
Il s'agit d'abord d'un changement d'usage, comme l'a souligné le président du conseil d'orientation de l'édition publique et de l'information administrative (COEPIA), M. Michel Pinault, lors de son audition. Une base de données conçue à l'origine pour une fin strictement gestionnaire doit être adaptée ou reconvertie, afin de pouvoir la publier en ligne. Or, la façon dont cette base a été conçue à l'origine est susceptible de rendre cette reconversion particulièrement difficile.
Ce premier changement se double d'un changement d'approche. Jusqu'à présent, sauf exception 50 ( * ) , la façon dont l'administration préservait le secret sur les informations personnelles contenues dans ses bases de données était d'en contrôler la diffusion. Cette diffusion, dans le respect de la vie privée des administrés, devenant la règle avec l' open data , l'administration doit s'efforcer de garantir la correcte anonymisation de la base de données, ce qui suppose d'une part de développer une compétence technique différente, et, d'autre part, de mobiliser des moyens humains ou financiers supplémentaires.
L'assistance qu'elles peuvent recevoir pour faire face à ce double changement est donc cruciale. Or, vos rapporteurs ne peuvent que dresser le constat, à cet égard, d'un défaut de pilotage et d'accompagnement.
2. Un défaut de pilotage et d'accompagnement pour garantir la protection des données personnelles
S'attachant uniquement à la question de la protection de la vie privée, la mission d'information n'a envisagé le pilotage mis en place par le Gouvernement en matière d' open data , que sous cet angle. Or, force est de constater qu'en dépit de quelques initiatives bienvenues, celui-ci fait défaut et laisse certaines administrations plus démunies que d'autres face à l'ampleur de la tâche qui leur incombe.
a) Etalab : un rôle d'impulsion plus que de direction
Structure légère, comptant, comme on l'a vu, à peine une dizaine de collaborateurs, Etalab joue un rôle d'impulsion, comme son directeur, M. Henri Verdier, l'a précisé à vos rapporteurs lors de son audition : elle laisse les ministères libres de décider de la stratégie d'ouverture des données qu'ils souhaitent mettre en place.
Etalab échange avec les administrations, en particulier grâce à un réseau de correspondants appartenant aux secrétariats généraux des principaux ministères, mais elle ne paraît pas en mesure de leur assurer une assistance technique, notamment en matière d'anonymisation, au-delà de quelques recommandations générales.
Il n'entre pas non plus dans ses attributions de surveiller les jeux de données mis en ligne et de contrôler qu'ils ne présentent pas de risque vis-à-vis de la vie privée. D'ailleurs Etalab ne procède pas à un contrôle a priori des jeux de données qui lui sont transmis pour publication sur son site internet data.gouv.fr , limitant sa fonction à celle d'un hébergeur plutôt qu'un éditeur de contenus.
Ni instance de contrôle, ni instance de pilotage, Etalab se cantonne donc à un rôle d'animation, laissant aux administrations la charge de conduire elles-mêmes l'ouverture de leurs données.
b) Des administrations qui s'organisent empiriquement, faute d'accompagnement suffisant
Quelques initiatives ont été lancées pour aider les administrations à s'assurer que les données qu'elles envisageaient de publier ne posaient pas de problème vis-à-vis de la protection de la vie privée des administrés. Elles demeurent cependant isolées ou limitées.
Ponctuellement, la commission nationale de l'informatique et des libertés a publié des recommandations relatives à l'anonymisation de certains fichiers. Ainsi, dès le début des années 2000, elle s'est penchée sur la question de l'anonymisation des décisions de justice, qui étaient publiées sans que le nom des parties soit occulté, à l'exception des décisions rendues en matière pénale ou familiale. La recommandation adoptée le 23 novembre 2001, qui détaille les éléments à anonymiser, et préconise de bloquer l'indexation par les moteurs de recherche, fait aujourd'hui encore référence auprès des juridictions, des entreprises ou des sites publics qui éditent les décisions de justice.
Plus récemment, le COEPIA a, comme on l'a vu précédemment, rédigé un mémento spécialement dédié à cette question en juillet 2013. Ce document - qui n'est étonnamment pas mentionné sur le site d' Etalab - s'attache à clarifier le droit applicable en la matière et les obligations qui incombent aux administrations, renvoyant notamment à deux guides pratiques édités par la CNIL les questions plus techniques relatives à l'anonymisation. Il s'agit là d'un outil pertinent qui gagnerait à faire l'objet d'une diffusion plus systématique, notamment auprès des administrations locales.
À l'initiative de plusieurs collectivités territoriales, qui s'étaient engagés dans un projet d' open data , une association, Open Data France, a été créée pour favoriser les échanges d'expérience et la diffusion des bonnes pratiques. Lors de leur audition, les représentantes de cette association, Mmes Erwane Monthubert et Sandrine Mathon, ont toutefois indiqué que si un groupe de travail sur les enjeux relatifs aux données personnelles avait été constitué en son sein, cette réflexion ne faisait que commencer, ces données ne constituant selon elles qu'une minorité des données détenues par les collectivités territoriales.
Utiles aux administrations, de telles initiatives demeurent cependant circonscrites et ne lèvent pas toutes les difficultés que ces administrations peuvent rencontrer.
Vos rapporteurs constatent à cet égard un manque de cohérence dans les approches des différents ministères ou collectivités territoriales.
Certains paraissent mieux armés que d'autres pour faire face aux enjeux de l'anonymisation. Ainsi, comme l'a souligné M. Michel Isnard, chef de l'unité « affaires juridiques et contentieuses » de l'institut national de la statistique et des études économiques (INSEE), les ministères dotés d'un service statistique sont plus familiers des techniques employées par l'INSEE pour garantir le respect du secret statistique et permettre la diffusion de vastes jeux de données.
De la même manière, certaines administrations, comme celles des finances ou des affaires sociales, habituées à protéger le secret fiscal ou le secret médical, ont une attention plus vigilante à la protection des données personnelles, ainsi qu'une compétence particulière en la matière.
Les lacunes du réseau des correspondants informatiques et libertés (CIL) 51 ( * ) ou des personnes responsables de l'accès aux documents administratifs (PRADA) 52 ( * ) , constituent une autre source d'inégalité entre les administrations, puisque les premiers comme les seconds pourraient utilement les accompagner dans leurs démarches d' open data .
Un exemple présenté à la fois par M. Simon Chignard et les représentantes d'Open Data France, Mmes Erwane Monthubert et Sandrine Mathon, illustre bien le défaut d'accompagnement auquel sont confrontées les collectivités et les administrations, et l'incertitude qui s'ensuit pour la protection des données personnelles .
De nombreuses communes publient sur leur site internet la liste, par année, des prénoms des enfants nés sur leur territoire. Cette liste est très incomplète, puisque n'y figurent, par précaution, que les prénoms attribués plus de cinq fois dans l'année. Toutes les communes respectent cette même règle, estimant qu'il s'agit d'une prescription de l'INSEE. Or, il n'en est rien, même si l'institut conseille en cas de risque d'identification de ne diffuser que les données qui présentent un nombre suffisant d'occurrences.
La règle suivie paraît donc arbitraire. En outre, sa légitimité, en l'espèce, pourrait être discutée, puisque l'identification précise des intéressés supposerait qu'on possède déjà l'information sur leur nom complet, leur année et leur commune de naissance, ce qui reviendrait à disposer de plus d'informations qu'on ne pourrait en apprendre par cette liste.
* 50 Certaines bases de données particulièrement sensibles, comme le SNIIRAM, sont anonymisées dès l'origine, indépendamment de toute possibilité de diffusion. Ainsi le numéro de sécurité sociale de bénéficiaires est systématiquement codé.
* 51 Au cours de son audition, M. Paul-Olivier Gibert, président de l'association française des correspondants à la protection des données à caractère personnel (AFCDP) a regretté le retard des administrations françaises en matière de désignation de CIL.
* 52 Le rapport d'activité de la CADA pour 2012 recense 1 598 PRADA en 2013. S'il se félicite de compter un correspondant dans tous les grands ministères et les agglomérations les plus importantes, il juge en revanche la situation insatisfaisante dans les moyennes agglomérations.