Open data et protection des personnes : où placer la limite ?

L'ouverture des données publiques est l'une des évolutions majeures des politiques d'information de ces deux dernières décennies. Elle répond à des objectifs reconnus : transparence démocratique, redevabilité des institutions, innovation économique, recherche, lutte contre la fraude. Mais lorsque les données publiques concernent des personnes physiques, la question de la limite mérite d'être posée avec précision.

Une intention initiale légitime

L'open data n'a pas été conçu pour exposer les individus. Il a été conçu pour rendre l'État plus lisible, faciliter la production de statistiques, permettre la vérification d'informations économiques et sociales, ouvrir des usages nouveaux à des chercheurs, des journalistes, des entreprises ou des citoyens.

Dans la plupart des cas, l'open data porte sur des données agrégées, des informations institutionnelles, des indicateurs publics. Ces usages ne posent pas de question particulière en matière de protection des personnes.

Le glissement vers les données individuelles

Une partie des données ouvertes contient toutefois des informations directement rattachées à des personnes physiques : registres de mandats, déclarations d'intérêts, données électorales pour certains scrutins, registres professionnels, bases foncières dans certains pays, registres d'immatriculation des sociétés lorsque le dirigeant est une personne physique.

Ce glissement n'est pas anodin. Une donnée ouverte est, par définition, recopiable, réutilisable, exportable et réindexable. Une fois publiée, elle échappe largement au contrôle de l'institution qui l'a mise à disposition.

Le cadre européen : ouvrir sans exposer

Le règlement européen sur la protection des données ne s'oppose pas à l'open data. Il rappelle simplement que toute donnée à caractère personnel, même publique, reste soumise à un cadre de traitement. Cela signifie que la finalité de la rediffusion, sa proportionnalité, la durée de conservation et le contexte d'usage demeurent des paramètres juridiquement structurants.

Plusieurs autorités nationales et européennes ont rappelé ce principe : la publication initiale d'une donnée dans un cadre légitime n'autorise pas n'importe quelle réutilisation ultérieure. La proportionnalité, en particulier, est une notion centrale.

Quatre situations qu'il faut distinguer

Pour raisonner précisément, il est utile de distinguer quatre situations trop souvent confondues :

• la publication administrative initiale, encadrée par les textes qui l'organisent ;
• la réutilisation par un acteur privé, qui constitue un traitement distinct devant justifier sa propre finalité ;
• l'exposition publique générale — gratuite, nominative, indexable et consultable sans authentification ;
• l'accès plus ciblé, réservé à des utilisateurs authentifiés ou professionnels.

Un espace payant ou authentifié n'est pas pour autant automatiquement conforme : les règles de protection des données s'y appliquent également. HorsIndex concentre prioritairement son action sur l'exposition publique ouverte — la plus immédiate et la plus facilement exploitable — sans exclure l'analyse des espaces réservés lorsque la situation le nécessite.

Une question collective, pas seulement individuelle

Placer la limite, c'est aussi reconnaître qu'il existe des intérêts légitimes des deux côtés. L'ouverture des données publiques sert l'intérêt général. La protection des personnes physiques sert l'intérêt général également. Aucun des deux principes n'est absolu : leur articulation est une construction continue, jurisprudentielle, parfois lente.

Cette articulation est aujourd'hui un chantier en cours, à la fois pour les législateurs, les autorités de contrôle, les acteurs privés qui rediffusent les données, les juridictions saisies de litiges, et les personnes concernées qui découvrent leur exposition.

Ce que HorsIndex observe

Dans la pratique, les situations les plus problématiques ne tiennent pas tant à l'open data lui-même qu'à ses prolongements privés : agrégation, enrichissement, indexation extensive, durée de conservation déconnectée de la finalité initiale. C'est sur ces prolongements que des leviers juridiques peuvent souvent être activés.