Données accessibles en ligne : comment les réutiliser selon les règles de la CNIL

Les données accessibles sur internet, dans une base ouverte ou auprès d’un organisme tiers sont devenues une matière première précieuse pour la recherche, les services numériques et l’intelligence artificielle. Pourtant, la facilité d’accès peut donner une impression trompeuse : consulter une information n’autorise pas nécessairement à la copier, l’agréger, l’analyser à grande échelle ou l’intégrer dans un nouveau produit. La Commission nationale de l’informatique et des libertés, la CNIL, invite donc les organisations à distinguer soigneusement l’accessibilité d’une donnée de la légalité de sa réutilisation.

Cette prudence concerne en premier lieu les données personnelles, c’est-à-dire toute information se rapportant à une personne identifiée ou identifiable. Un nom, une adresse électronique, une photographie, une localisation, mais aussi un ensemble d’indices permettant de reconnaître indirectement quelqu’un peuvent entrer dans cette catégorie. Pour une entreprise, un laboratoire ou une administration, l’enjeu n’est pas seulement d’éviter une erreur administrative : la confiance des personnes, la qualité des données et la solidité juridique du projet sont en jeu.

Une donnée publique n’est pas nécessairement libre de réutilisation

Le mot « accessible » recouvre des situations très différentes. Une information peut être affichée sur un site web, contenue dans un registre public, partagée sur un réseau social, fournie par un partenaire ou publiée au titre de l’open data. Ces cas n’emportent pas les mêmes droits.

Une base placée en open data a précisément vocation à être réutilisée dans les conditions prévues par sa licence. À l’inverse, une page consultable sans mot de passe peut rester protégée par le droit d’auteur, le droit sui generis des producteurs de bases de données, des conditions d’utilisation ou les règles relatives à la protection des données personnelles. Surtout, le fait qu’une personne ait rendu une information visible ne signifie pas qu’elle a accepté tous les usages ultérieurs qui pourraient en être faits.

Le contexte est déterminant. Une personne qui publie un message dans un espace de discussion peut s’attendre à ce qu’il soit lu par les autres participants. Elle ne s’attend pas forcément à ce que ses propos soient aspirés en masse, recoupés avec d’autres sources, conservés durablement et utilisés pour établir un profil ou entraîner un système automatisé.

La première vérification : une source qui n’est pas manifestement illicite

La CNIL recommande de commencer par l’origine des données. Avant de les intégrer à un nouveau traitement, le responsable doit s’assurer que leur constitution ou leur partage ne présente pas un caractère manifestement illicite. Cette approche vise à éviter de tirer parti d’une base qui aurait été obtenue ou diffusée dans des conditions clairement contraires au droit.

Il ne s’agit pas d’exiger de chaque réutilisateur qu’il reconstitue toute l’histoire d’un jeu de données ou qu’il réalise un audit complet de tous les responsables de traitement précédents. La CNIL souligne qu’une enquête approfondie sur chaque régime juridique éventuellement applicable n’est pas nécessaire. En revanche, ignorer des signaux évidents d’irrégularité ne saurait être une méthode de conformité.

Dans la pratique, cette vérification suppose de pouvoir répondre à quelques questions simples et documentées : d’où viennent les données, qui les a mises à disposition, dans quel but, selon quelles conditions et avec quelles garanties apparentes ? Une documentation incomplète, une provenance opaque ou des données présentées comme issues d’une fuite doivent conduire à un examen renforcé, voire à l’abandon du projet.

La notion de caractère « manifestement » illicite est importante. Elle ne dispense pas l’organisation de toute prudence, mais elle évite de transformer le réutilisateur en enquêteur chargé de contrôler exhaustivement l’ensemble des traitements passés. Le bon niveau d’exigence consiste à identifier les indices clairs de non-conformité et à ne pas fermer les yeux sur une source douteuse.

Après la source, les obligations du nouveau traitement

Une source qui ne paraît pas manifestement illicite n’est que le point de départ. L’organisation qui réutilise les données devient elle-même responsable de son projet et doit respecter les règles applicables à ce nouveau traitement. Le RGPD impose notamment de déterminer une finalité précise, de limiter les données à ce qui est nécessaire et de mettre en place des mesures de sécurité appropriées.

La réutilisation ne doit pas faire perdre de vue le sens initial des données. Une même information peut changer de portée selon le contexte : une donnée publiée pour informer le public, fournir un service ou participer à une étude ne produit pas les mêmes effets lorsqu’elle est associée à d’autres fichiers, analysée automatiquement ou employée pour prendre une décision concernant une personne.

L’organisation doit également identifier une base légale valable. Le consentement est l’une des bases prévues par le RGPD, mais il n’est pas requis dans tous les cas. Selon la situation, un traitement peut aussi reposer sur une obligation légale, l’exécution d’une mission d’intérêt public ou un intérêt légitime, à condition que les droits et libertés des personnes ne prévalent pas. Ce choix doit être réel, justifié et adapté à l’usage envisagé.

Les personnes concernées conservent par ailleurs leurs droits : être informées, accéder aux données, demander une rectification, s’opposer dans certaines situations ou demander l’effacement lorsque les conditions sont réunies. Rendre ces droits effectifs exige une information claire sur la provenance des données, le projet poursuivi, la durée de conservation et les destinataires éventuels.

Open data et données simplement visibles : deux cadres distincts

L’open data représente une ressource utile pour la recherche, l’innovation publique et le développement de services. Mais une licence ouverte ne fait pas disparaître les règles de protection des personnes. Une administration ou une organisation qui publie des informations doit déjà veiller à ce que leur diffusion soit licite. De son côté, le réutilisateur doit respecter la licence, attribuer la source lorsque cela est demandé et analyser son propre usage au regard du RGPD.

La différence avec des données seulement visibles en ligne mérite d’être explicitée, car elle évite beaucoup de confusions.

Pourquoi ce sujet est crucial pour les projets d’intelligence artificielle

La question de la réutilisation prend une ampleur particulière avec les systèmes d’intelligence artificielle. Construire, tester ou améliorer un modèle peut nécessiter des volumes importants de textes, d’images, d’enregistrements ou de données structurées. À cette échelle, une faible incertitude sur l’origine d’un fichier peut se répéter des milliers ou des millions de fois.

Les équipes qui développent un outil d’IA ont donc intérêt à traiter la gouvernance des données comme une étape de conception, et non comme un contrôle tardif. Cela implique d’établir un inventaire des sources, de conserver les licences et autorisations pertinentes, de décrire les catégories de données, de fixer une durée de conservation et d’organiser la sécurité des accès.

Cette démarche améliore aussi la qualité technique. Des données mal documentées, sorties de leur contexte ou manifestement obtenues de manière irrégulière fragilisent les résultats d’un système. Elles peuvent introduire des biais, des erreurs factuelles ou des risques d’atteinte à la vie privée. La traçabilité est donc à la fois une exigence juridique et un outil de fiabilité.

Une attention renforcée est nécessaire lorsque les jeux de données contiennent des informations sur la santé, les opinions, les convictions, la vie sexuelle ou l’orientation sexuelle, l’origine raciale ou ethnique, ou encore des données biométriques. Ces catégories bénéficient d’une protection particulière dans le RGPD et ne peuvent pas être traitées comme de simples informations disponibles en ligne.

Une méthode concrète avant de lancer la réutilisation

Pour passer de principes généraux à une décision opérationnelle, une organisation peut suivre une séquence simple. L’objectif n’est pas de créer une formalité supplémentaire, mais de rendre les choix contrôlables et compréhensibles.

1. Définir l’usage envisagé. Il faut préciser ce que les données permettront de faire : étude statistique, recherche, enrichissement d’un service, entraînement d’un outil ou évaluation d’un modèle.
2. Cartographier les données. L’organisation identifie les catégories d’informations, leur volume, leur provenance et les éventuelles données personnelles ou sensibles.
3. Vérifier la source. Elle recherche les conditions de diffusion, la licence applicable et les éventuels signaux d’une constitution ou d’un partage manifestement illicite.
4. Choisir et documenter la base légale. Le responsable du traitement explique pourquoi le projet est permis et comment il protège les intérêts des personnes.
5. Limiter les risques. Minimisation des données, pseudonymisation lorsque c’est pertinent, restrictions d’accès et mesures de sécurité réduisent l’exposition inutile.
6. Prévoir l’information et les droits. Les modalités d’information des personnes et de traitement de leurs demandes doivent être anticipées avant le déploiement.

Lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données peut être nécessaire. Dans les cas complexes, l’avis du délégué à la protection des données, le DPO, ou d’un conseil compétent permet de vérifier les choix avant que les données ne soient intégrées à un produit ou à un modèle.

Des risques qui ne se limitent pas au RGPD

Réutiliser une base de données collectée ou diffusée illégalement peut entraîner des conséquences sérieuses. La CNIL rappelle qu’une telle réutilisation est susceptible, selon les circonstances, de relever du recel. Le code pénal prévoit pour ce délit une peine pouvant atteindre 5 ans d’emprisonnement et 375 000 euros d’amende.

Cette sanction ne s’applique pas automatiquement à toute erreur de conformité. La qualification relève des juridictions et dépend des faits, notamment de la connaissance de l’origine irrégulière des données. Mais ce risque illustre un principe fondamental : une organisation ne peut pas sécuriser son projet en se contentant de dire qu’elle n’est pas à l’origine de la collecte.

Les conséquences peuvent aussi être opérationnelles : retrait de données d’un système, difficulté à répondre aux personnes, perte de confiance des clients ou partenaires et remise en cause d’un projet de recherche ou de produit. Prévenir ces situations coûte généralement moins cher que tenter de régulariser une base après son intégration.

Ce qu’il faut surveiller pour une innovation responsable

La réutilisation des données est appelée à rester un sujet central, à mesure que les usages de l’IA, de l’analyse de données et de l’open data se diffusent. Le défi consiste à ne pas opposer artificiellement innovation et protection de la vie privée. Des données accessibles, correctement documentées et utilisées dans un cadre clair peuvent soutenir des projets utiles. À l’inverse, l’opacité sur les sources et les finalités affaiblit durablement la confiance.

Pour les responsables de projets, le réflexe à retenir est donc double : ne pas présumer qu’une donnée trouvée est libre d’emploi, puis ne pas confondre la licéité apparente de sa source avec la conformité de son propre usage. La méthode promue par la CNIL donne un cap pragmatique : vérifier les signaux évidents, documenter les décisions et placer les droits des personnes au cœur du projet dès le départ.