Open data administratif : publication en ligne et données personnelles

Le décret n°2018-1117 du 10 décembre 2018, publié au Journal officiel du 12 décembre 2018, complète l’article 6 de la loi du 7 octobre 2016 pour une République numérique. Ce texte précise les règles applicables à la publication en ligne des documents administratifs, dans le cadre de l’open data public.

La loi pour une République numérique a instauré un principe de publication en ligne des documents administratifs communicables ou accessibles à toute personne, lorsqu’ils sont disponibles sous forme électronique. Cette obligation s’applique dans le respect du Code des relations entre le public et l’administration, notamment des règles relatives aux documents non communicables ou protégés.

Sont concernés les documents produits ou reçus dans le cadre d’une mission de service public par l’État, les collectivités territoriales, les autres personnes de droit public ainsi que les personnes de droit privé chargées d’une mission de service public. L’obligation vise notamment les administrations employant plus de 50 agents ou salariés en équivalents temps plein, ainsi que les collectivités territoriales de plus de 3 500 habitants.

Lorsque les documents administratifs comportent des données à caractère personnel, leur publication en ligne suppose en principe une anonymisation préalable, sauf accord de la personne concernée ou disposition législative contraire. Le décret n°2018-1117 précise toutefois les catégories de documents pouvant être rendus publics sans anonymisation.

Sont notamment concernés certains documents nécessaires à l’information du public relatifs à l’organisation de l’administration, à la vie économique, associative et culturelle, aux professions réglementées, à l’enseignement et à la recherche, aux activités sportives, à la vie politique, aux activités touristiques, aux démarches administratives ou encore aux archives publiques communicables.

La publication de documents administratifs contenant des données personnelles implique une vigilance renforcée. Les administrations doivent veiller à l’exactitude des données diffusées, à leur mise à jour régulière et au respect des droits des personnes concernées. La CNIL recommande également de mettre en place des mesures destinées à limiter l’indexation des données identifiantes par les moteurs de recherche externes.

Enfin, toute réutilisation des données personnelles publiées en ligne, notamment à des fins commerciales, doit respecter le droit d’opposition des personnes concernées et tenir compte de la finalité initiale de la collecte des données.