Données publiques : poursuite de la construction du régime

Un décret (encore un) du 30 décembre 2005 et publié au JO le 31 décembre 2005 est venu compléter le dispositif inséré par ordonnance en matière d'accès et diffusion des données publiques. Précisons que ces données servent de base à de nombreux produits et services en matière de commerce électronique. Le texte vient apporter des précisions aux dispositions introduites par l'ordonnance du 6 juin 2005. Revenons sur quelques unes de ces précisions.

Le régime de la publication des documents administratifs

Le décret prévoit, en matière de liberté d'accès aux documents administratifs, toute une obligation de publication des documents administratifs mentionnés à l'article 7 de la loi du 17 juillet 1978 dans un Bulletin officiel ou une publication apparentée (recueil des actes administratifs par exemple).

Cette obligation pourrait paraître superfétatoire dès lors qu'une publicité d'un acte devait, d'ores et déjà, avoir lieu pour le rendre opposable aux citoyens. Seulement, parmi les documents administratifs, sont visés des actes qui ne font pas nécessairement grief comme "les notes et réponses ministérielles qui comportent une interprétation du droit positif ou une description des procédures administratives".

Le texte ne va pas jusqu'à imposer une diffusion en ligne de ces documents, mais la possibilité d'une publication par voie électronique est expressément retenue. Néanmoins, elle complète l'ordonnance du 20 février 2004 prévoyant, en son article 5-1, que "la publication des actes et documents administratifs au bulletin officiel d'un ministère diffusé sous forme électronique dans des conditions garantissant sa fiabilité produit les mêmes effets de droit que leur publication sous forme imprimée".

La réutilisation des informations publiques

Le premier point (que l'on peut regretter) demeure l'ambigüité que revêt le terme "réutilisation". En effet, et à la lecture du décret et de l'ordonnance, le doute n'est pas levé. Dans certains articles, il semble que ce terme vise "la mise à disposition" d'une donnée publique par le producteur au bénéfice d'un réutilisateur, public ou privé. Dans d'autres dispositions, la notion semble viser le fait "d'exploiter", postérieurement à leur mise à disposition, des données publiques. Regardons de plus près les articles 36 et suivants du décret.

Le texte précise le régime du répertoire des données publiques. Il s'agirait, pour chaque producteur, de mettre à disposition (notamment sur son site) un listing des données produites par celui-ci et quelques informations complémentaires (nature, titre, objet, date de création, conditions de réutilisation, date et objet des mises à jour). Cette mesure - qui existait déjà en matière d'accès aux documents administratifs - était restée lettre morte. Peut-on espérer mieux pour ces nouveaux répertoires. La réponse me semble positive. Deux obstacles sont levés : il revient tout d'abord à chaque administration de réaliser son propre répertoire (mieux on connaît ce que l'on réalise, mieux c'est pour le dire). Ensuite, ce répertoire sera finalement sous la répertoire de ce "correspondant données publiques" (visé aux articles 42 et suivants) qui saura créer une sorte de synergie au sein du producteur qui permettra une alimentation efficace dudit répertoire.

Autre disposition : la protection des données personnelles. Le décret prévoit en l'article 40 que "lorsque la réutilisation n'est possible qu'après l'anonymisation des données à caractère personnel, l'autorité détentrice y procède sous réserve que cette opération n'entraîne pas des efforts disproportionnés". Ici l'ambigüité relevée précédemment surgit. Que signifie cet article ? Cela veut-il dire que :
1/ si l'administration ne peut pas anonymiser les données, elles ne peuvent être mises à disposition des réutilisateurs ou ;
2/ si l'administration n'anonymise pas, les données pourront être transmises, quitte au réutilisateur de procéder à l'anonymisation.

La réponse à cette question nécessite de revenir au texte de la loi du 17 juillet 1978. L'article 13 prévoit que "les informations publiques comportant des données à caractère personnel peuvent faire l'objet d'une réutilisation soit lorsque la personne intéressée y a consenti, soit si l'autorité détentrice est en mesure de les rendre anonymes ou, à défaut d'anonymisation, si une disposition législative ou réglementaire le permet". En pratique cela signifie qu'un producteur public ne peut transmettre des données publiques à un autre acteur que :
- si la personne physique qui y est visée y a consenti (très rare !) ;
- si les données sont anonymisées par l'autorité détentrice ;
- ou si une disposition législative ou réglementaire permet une transmission d'informations comportant des données personnelles.

L'article 40 du décret offre ainsi un pouvoir immense au producteur public. Celui-ci a les moyens de refuser la mise à disposition de données publiques dès lors que celles-ci contiennent des données personnelles et que leur anonymisation constitue un effort "disproportionné". La CADA (appelée à apprécier les potentielles dérives) et le juge risquent de devoir adopter rapidement une jurisprudence de la disproportion.

Seulement, ces potentielles dérives auraient pu être évitées. En effet, l'article 40 du décret semble oublier l'article 15 de la loi du 17 juillet 1978 qui permet, au producteur, d'insérer dans le coût de mise à disposition celui nécessaire à l'anonymisation des données. En pratique, l'effort disproportionné serait transformé en "coût disproportionné" pour les besoins du réutilisateur et aurait ainsi pu être moins discriminatoire.

Autre disposition intéressante : l'article 41 du décret. Celui-ci prévoit les informations qui devront figurer dans les licences (en effet, depuis l'ordonnance du 6 juin 2005, la mise à disposition des données publiques relève désormais d'un mécanisme de licence). Ces clauses doivent ainsi porter sur les informations, leur source, leur date de mise à disposition (et ainsi imposer à un réutilisateur de mentionner ces informations à leurs clients finaux sous la forme "information obtenue auprès de l'INSEE le 2 janvier 2006") ou les droits et obligations du licencié "dont le montant de la redevance et les modalités de son paiement".

Plus surprenant, il est prévu que les clauses mentionnent "le caractère commercial ou non de leur réutilisation". Ici encore, l'ambigüité du terme "réutilisation" est fortement présente. En effet, on pourrait estimer rapidement que le décret impose au producteur d'indiquer dans ses licences si les données sont mises à disposition de tout réutilisateur de manière gratuite ou payante ... seulement, cette question est réglée par la fin de l'article 41 qui vise "les droits et obligations du licencié". Il semble ici que le terme "réutilisation" vise l'exploitation qui en est faite. En pratique, cela pourrait signifier que le producteur d'une donnée publique pourrait imposer un mode d'exploitation de celle-ci à un réutilisateur et ainsi exiger de lui qu'il ne puisse proposer que des produits gratuits ou des produits payants. Si cette interprétation se confirme, elle pourrait vite s'avérer contraire à la directive du 17 novembre 2003 dont le régime est issu.

Le nouveau rôle régulatoire de la CADA

Avec l'ordonnance du 6 juin 2005, dont les dispositions figurent au sein de la loi du 17 juillet 1978, la CADA est doté d'un rôle de régulation important dans le secteur de l'accès et de la diffusion des données publiques. Deux mesures symbolisent cette modification : la CADA est dorénavant dotée de pouvoir de sanctions et, surtout, sa composition est modifiée afin d'intégrer des représentants du secteur privé (personnalité qualifiée en matière de diffusion de données publiques, un enseignant, etc).

Seulement, cet apport ne va pas jusqu'au bout. En effet, en matière de sanction, le décret prévoit que la CADA siègera en formation restreinte (article 4). Elle est alors composée exclusivement de représentants d'organismes publics à savoir un membre du Conseil d'Etat, un magistrat de la Cour de cassation, un magistrat de la Cour des comptes, un représentant de la CNIL et un représentant du Conseil de la concurrence. C'est sans doute à l'occasion de la procédure de sanction qu'une formation "multi-acteur" aurait pu être intéressante.