Open data et souveraineté : pour ouvrir ses données, il faut d'abord les maîtriser

Neuvième et dernier article de ma série sur la souveraineté numérique, née d’une table ronde au salon Tech&Co : neuf articles, un par jour, pour montrer que la souveraineté de vos données tient à la maîtrise que vous en avez, bien plus qu’à leur adresse.

Hier, on comparait le vrai coût d’un serveur et celui du cloud. Pour finir, je reviens au thème qui a occupé l’essentiel de la table ronde : l’open dataL'open data (ou données ouvertes) désigne des données mises à la disposition de tous, librement et gratuitement, pour être consultées, réutilisées et….

Alliées, pas rivales

À la table ronde, l’open data a été défendue avec conviction, et je partage cette conviction. Je suis ambassadrice de l’open data du gouvernement de la Nouvelle-Calédonie, et je réutilise des données ouvertes dans mes propres projets.

On pourrait croire que l’open data et la souveraineté s’opposent : l’une ouvre, l’autre protège. En réalité, elles reposent sur la même chose.

Pour ouvrir ses données, il faut d’abord les maîtriser.

Savoir ce qu’on a, ce qu’on a le droit de publier, ce qu’il faut protéger, et garantir la qualité de ce qu’on met à disposition : c’est exactement la maîtrise dont parle cette série depuis le premier jour.

Dans l’article sur les garanties, j’écrivais que « gratuit ne veut pas dire sans coût : ça veut dire sans garant ». C’est vrai aussi pour l’open data. Les données ouvertes sont publiées en l’état, sans garantie : si un jeu de données contient une erreur et que vous engagez une dépense sur la foi de votre analyse, c’est votre problème, pas celui de l’organisme qui l’a publié. Il y a bien quelqu’un derrière la donnée, et vous pouvez lui signaler les anomalies que vous trouvez : il les corrigera peut-être. Mais il ne vous doit rien pour autant.

Ce n’est pas une raison pour s’en priver. C’est une raison de les maîtriser aussi quand on les réutilise : vérifier leur source, leur date, leur qualité, et les croiser avec d’autres données avant de prendre une décision qui coûte.

Ouvrir le plus possible

Pendant la table ronde, une idée a été évoquée : placer certaines données derrière une authentification NC Connect, pour les réserver aux Calédoniens. Je comprends l’intention. Mais une donnée réservée n’est plus une donnée ouverte. Et on retombe sur une logique d’adresse : c’est le lieu de résidence de celui qui consulte, cette fois, qui décide de l’accès.

Ma position est simple. Les données produites par l’administration sont financées par les impôts de tous. Tout ce qui peut être publié sans risque pour les personnes, et sans toucher à un secret protégé, devrait l’être, ouvertement. Plus ces données circulent, plus elles créent de valeur, et d’abord ici.

Ici, la loi en impose pourtant bien moins qu’en métropole. Un exemple : en métropole, l’administration fiscale publie en open data le prix des biens immobiliers vendus, à partir des actes de vente. Rien de tel n’existe en Nouvelle-Calédonie. Ces données serviraient pourtant à beaucoup : aux acheteurs, aux banques, aux urbanistes, aux agences elles-mêmes.

Et ces réutilisations peuvent être commerciales : c’est une bonne nouvelle, pas un détournement. Publier gratuitement ses données, pour une collectivité, c’est rendre quelque chose au tissu économique, faire naître des idées de services et d’entreprises, et en récolter les fruits sur le temps long : de l’activité, des emplois, des impôts.

Un cas réel : des offres d’emploi en PDF

Sur le portail data.gouv.nc, on trouve des offres d’emploi publiques, et c’est une très bonne chose. Mais le détail de chaque offre (missions, lieu, profil) y est souvent dans un PDFPortable document Format. Format d’échange de document permettant une lecture identique quelque soit le device ou l’OS sur lequel le document est utilisé. : lisible par un humain, pas par une machine. Impossible de filtrer par métier ou par lieu, ni de faire remonter l’offre dans un moteur de recherche d’emploi.

J’ai donc construit un prototype qui lit ces PDF, en extrait les informations, et produit trois choses : un site public avec carte et recherche, un jeu de données réutilisable par tous, et des offres que Google peut afficher dans ses résultats d’emploi. Le tout se met à jour sans intervention.

La leçon dépasse ce projet : publier ne suffit pas, il faut publier dans une forme qui se réutilise. Et cela demande, en amont, de maîtriser ses données.

La valeur qu’on ne voit pas

Un autre échange, sur le salon, m’a marquée. Il portait sur la dématérialisation des feuilles de soins et du dossier de santé. Des interfaces de programmation existent déjà, et la personne chargée du projet a annoncé que des chiffres publics sur la santé allaient suivre. J’ai demandé si l’on connaîtrait aussi le nombre de pages qui ne sont plus imprimées : avec les méthodes de calcul officielles, on pourrait en déduire le CO2 évité. La question ne s’était pas posée.

Ce n’est pas un reproche. Quand on porte un projet, on voit la donnée à travers son métier : ici, le soin et le remboursement. Pas son contexte, ni ce qu’elle permettrait de mesurer à côté.

Celui qui détient une donnée en perçoit rarement toute la valeur.

C’est un argument de plus pour ouvrir : ce sont souvent les autres qui trouvent les usages auxquels personne n’avait pensé. Et c’est un argument pour bien connaître ses données : savoir ce qu’on a, c’est aussi repérer ce qu’on pourrait compter au passage, un volume, une fréquence, un nombre de pages, avant que l’occasion soit perdue.

Les risques propres à l’ouverture

Ouvrir des données, c’est les rendre publiques pour toujours : une fois téléchargées, elles ne se reprennent pas. Quatre risques méritent donc qu’on s’y arrête avant de publier :

1. Les personnes. Retirer le nom ne suffit pas à anonymiser, et une donnée où le nom est remplacé par un code reste une donnée personnelle. Un âge, une commune et un métier suffisent parfois à reconnaître quelqu’un, surtout sur un petit territoire où tout le monde se connaît. Les petits effectifs se regroupent, et on teste le croisement avec d’autres données publiques.
2. Les droits. Avez-vous le droit de publier chaque colonne ? Certaines données viennent de fournisseurs ou de partenaires, d’autres relèvent d’un secret protégé (secret des affaires, sécurité, vie privée).
3. La licence. Sans licence clairement indiquée, personne ne sait ce qu’il a le droit d’en faire, et les réutilisateurs sérieux s’abstiennent.
4. La qualité. Des doublons, des valeurs manquantes, des unités mélangées, une mise à jour abandonnée : une donnée ouverte de mauvaise qualité trompe ceux qui la réutilisent, et nuit à la confiance dans toutes les autres.

Dans la carte des risques, l’ouverture touche surtout la famille 5, la conformité (les données personnellesLes données personnelles sont toutes les informations qui permettent d'identifier une personne, directement ou indirectement : nom, adresse, e-mail…), et la famille 7, la propriété intellectuelle (les droits et la licence).

La méthode, en trois temps

Savoir ce qu’on a

Un responsable pour chaque jeu de données, l’origine de chaque colonne, les données de tiers repérées, et un classement (public, interne, sensible), comme on l’a vu en classant vos données.

Protéger les personnes

Repérer les données personnelles, même indirectes. Ne garder que les colonnes utiles. Anonymiser pour de vrai, regrouper les petits effectifs, et tester le croisement avec d’autres données publiques. En cas de doute, demandez l’avis de la personne chargée de la protection des données dans votre organisation.

Publier proprement

Une licence ouverte clairement indiquée. Un format lisible par une machine : un tableau (CSVLe CSV est un format de fichier. Il signifie : “comma separated values”. Soit valeurs séparées par des virgules. Depuis des décennies, Excel en français…) ou une interface de programmation, pas un PDF. Une description des colonnes, de la source et de la date. Une qualité vérifiée. Et une mise à jour prévue, avec un rythme et un contact.

Et la localisation, dans tout ça ?

Ici, elle ne joue presque plus de rôle. Une donnée ouverte est publique : n’importe qui, n’importe où, peut la télécharger. Son adresse n’a plus d’importance.

Tout se joue donc avant l’ouverture, dans la maîtrise. C’est peut-être la meilleure illustration de toute la série.

Deux exemples concrets

Une petite entreprise. Elle veut publier les horaires et l’emplacement de ses points de vente, pour qu’ils apparaissent dans les applications de ses clients. Elle vérifie qu’aucune donnée de ses salariés ne s’y glisse, choisit une licence, publie un tableau plutôt qu’une page web, et désigne la personne qui le met à jour.

Une collectivité. Elle souhaite ouvrir les données de fréquentation de ses équipements. Avant de publier, elle regroupe les créneaux à très faible fréquentation, pour qu’on ne puisse reconnaître personne, documente chaque colonne, indique la licence, et annonce le rythme de mise à jour. Puis elle publie, et fait savoir que les données existent.

Ce qu’il faut retenir de la série

En neuf articles, on a parcouru les neuf familles de risques : les accès, la disponibilité, le contrat, les compétences, la conformité, les garanties, la propriété intellectuelle, la juridiction et le matériel. La localisation en touche quatre, et n’en règle complètement aucune.

Réduire la souveraineté à une adresse, c’est regarder un seul risque et oublier tous les autres.

La souveraineté de vos données, c’est la maîtrise : savoir ce que vous avez, qui peut y accéder, ce que dit votre contrat, qui sait faire fonctionner vos outils, et comment vous repartez si tout s’arrête.

Téléchargez le mémo

Savoir ce qu’on a, protéger les personnes, publier proprement : quinze cases à cocher, sur une page. Le mémo est gratuit, sans inscription. Passez-le en revue avant chaque publication.

Télécharger « Avant d’ouvrir un jeu de données » (PDF gratuit)

Toute la série

Chaque article approfondit une partie de la carte, avec son mémo gratuit. Les neuf mémos sont aussi réunis sur la page des outils.

Merci de m’avoir suivie pendant ces neuf jours.

Et si vous voulez préparer l’ouverture de vos données, ou faire le point sur la maîtrise de vos outils, je vous accompagne : strategiezenit.com.

La souveraineté ne se déclare pas : elle se prouve.