Reutiliser un jeu de donnees ouvert parait sans risque : la donnee est publique, donc supposee libre. L’intuition trompe. Une information diffusee en open data reste soumise au RGPD des qu’elle concerne une personne identifiable. Le sujet touche autant les start-up data que les grands comptes. Voici comment exploiter la richesse des donnees publiques sans exposer votre organisation a une sanction.
Open data signifie-t-il donnees libres de droits ?
L’open data designe un mode de diffusion, jamais un statut de la donnee. La loi pour une Republique numerique de 2016 impose l’ouverture par defaut des donnees des administrations.
Cette ouverture facilite l’acces. Elle ne supprime pourtant ni les droits des tiers, ni le RGPD. Le droit de reutiliser une donnee publique n’efface jamais le reglement europeen. Une donnee personnelle publiee reste protegee.
Le reutilisateur ne consomme pas un simple fichier. Il cree un nouveau traitement. A ce titre, il devient responsable de traitement et assume ses obligations. Confondre disponibilite et liberte d’usage reste l’erreur la plus frequente des equipes data.
Une donnee publique peut-elle rester personnelle ?
Oui. Le caractere public ne retire jamais le caractere personnel. Le RGPD vise toute donnee se rapportant a une personne identifiee ou identifiable. Le doute doit toujours pencher vers la protection de la personne.
Un dirigeant dans SIRENE, un proprietaire au cadastre, un gerant au BODACC : autant de personnes concernees. Ces sources nourrissent quantite de projets, mais elles restent encadrees par les principes du RGPD.
Plusieurs gisements publics contiennent des donnees personnelles :
- Base SIRENE : identite et adresse des entrepreneurs individuels.
- Cadastre et publicite fonciere.
- Registre des beneficiaires effectifs des societes.
- Annonces legales et BODACC.
- Jeux de donnees de sante agreges ou pseudonymises.
Les donnees de sante, meme agregees, appellent une vigilance renforcee. Un jeu ouvert n’est jamais un blanc-seing.
Quelle base legale pour reutiliser des donnees publiques ?
Reutiliser un jeu de donnees constitue un traitement. Une base legale reste donc obligatoire.
L’interet legitime est frequemment invoque. Il n’a pourtant rien d’automatique. Vous devez documenter la mise en balance entre votre interet et les droits des personnes.
La finalite initiale compte tout autant. Un usage detourne de la source fragilise votre position. La CNIL rappelle les conditions precises de l’interet legitime.
| Reutilisation | Base envisageable | Point de vigilance |
|---|---|---|
| Enrichir un fichier B2B | Interet legitime | Droit d’opposition, finalite |
| Recherche statistique | Interet legitime | Anonymisation testee |
| Prospection ciblee | Interet legitime encadre | Attentes raisonnables |
Chaque ligne suppose une analyse propre. Aucune base ne se presume sans dossier solide.
Comment limiter le risque de re-identification ?
Le vrai danger vient du croisement de plusieurs sources ouvertes. Des donnees anonymes prises isolement redeviennent identifiantes une fois recoupees.
L’anonymisation se teste. Elle ne se suppose jamais. Quelques reflexes reduisent nettement l’exposition :
- Minimiser : ne conserver que les champs utiles a votre finalite.
- Tester la re-identification avant toute diffusion.
- Tracer chaque source et sa date de collecte.
- Securiser l’acces aux fichiers recoupes.
- Prevoir une duree de conservation adaptee.
Un croisement mal maitrise transforme un projet utile en fichier illicite. Documentez enfin chaque decision : la preuve fait la difference lors d’un controle.
Cartographier vos sources publiques, securiser vos bases legales et documenter vos croisements prend du temps. Un DPO externalise securise vos reutilisations de donnees et vous evite les mauvaises surprises lors d’un controle.
FAQ
L’open data dispense-t-il du consentement ?
Non. L’ouverture ne vaut jamais consentement. Selon votre finalite, vous devez identifier une base legale valable. Le consentement reste rare pour ce type de reutilisation. L’interet legitime, documente et proportionne, s’impose le plus souvent, a condition de respecter les droits des personnes.
Puis-je reutiliser SIRENE pour prospecter ?
Oui, sous conditions. Les donnees SIRENE des entrepreneurs individuels restent personnelles. Vous devez informer les personnes, respecter leur droit d’opposition et limiter l’usage a votre finalite annoncee. Une prospection non maitrisee expose a une plainte et a un controle de la CNIL.
Une donnee anonymisee sort-elle du RGPD ?
Oui, si l’anonymisation est irreversible. En pratique, beaucoup de jeux dits anonymes restent re-identifiables par recoupement. Testez la robustesse avant d’ecarter le RGPD. Une simple pseudonymisation ne suffit pas : la donnee demeure personnelle et pleinement protegee.
Qui est responsable en cas de reutilisation ?
Vous. Le reutilisateur cree un nouveau traitement et en devient responsable. Le diffuseur initial n’assume pas vos choix d’usage. Documentez votre base legale, votre finalite et vos mesures de securite pour prouver votre conformite a tout moment.
