Données personnelles dans l’open data : demander le retrait ou l’anonymisation

Un jeu de données publié en open data peut rendre des informations personnelles accessibles et faciles à réutiliser. Il peut s’agir, par exemple, de coordonnées, d’informations liées à une activité professionnelle ou de données contenues dans un document public. La publication en accès ouvert ne fait pas disparaître les règles de protection des données : le responsable de traitement doit disposer d’une base légale et respecter les principes du RGPD. Vous pouvez donc demander des explications ou exercer vos droits, sans que cela garantisse le retrait du jeu de données. La réponse dépend notamment de la nature des informations et des obligations de publication applicables.

Commencez par identifier l’organisme qui met le jeu de données à disposition : une collectivité, une administration ou un établissement public, par exemple. Consultez la page de présentation du jeu, sa fiche descriptive et les mentions relatives à la réutilisation ; elles indiquent souvent l’éditeur ou le contact responsable. Si le fichier est hébergé sur un portail national ou territorial, l’opérateur de la plateforme n’est pas nécessairement le responsable de traitement : adressez votre demande à l’organisme qui a décidé de publier les données. Son délégué à la protection des données (DPO) peut vous orienter. Conservez l’adresse de la page, le nom du fichier, la date de consultation et, si possible, une copie du passage concerné. Évitez de republier ces informations pour illustrer votre demande.

Écrivez ensuite au responsable de traitement en décrivant précisément les données et leur emplacement, puis expliquez en quoi elles vous concernent. Vous pouvez demander leur effacement, leur rectification, leur occultation ou leur anonymisation, selon la situation. L’anonymisation consiste à rendre une personne impossible à identifier ; masquer seulement son nom peut être insuffisant si d’autres éléments permettent de la reconnaître. Vous pouvez aussi demander quelle est la base légale de la publication et si une obligation impose de maintenir ces informations accessibles. Joignez uniquement les pièces utiles, comme une capture d’écran où les données sont masquées pour les tiers, ou un justificatif permettant de vérifier votre identité si cela est nécessaire. Ne transmettez pas spontanément une pièce d’identité complète si une vérification moins intrusive suffit.

Le droit à l’effacement n’est pas absolu. L’organisme peut devoir publier certaines informations en vertu d’une obligation légale ou d’une mission d’intérêt public. Le RGPD prévoit aussi des exceptions, notamment lorsque le traitement répond à certaines exigences légales ou à une mission d’intérêt public. Il peut alors refuser l’effacement, mais doit vous expliquer les raisons de sa décision et les voies de recours. Une solution intermédiaire reste parfois envisageable : corriger une erreur, retirer un champ non nécessaire, limiter la diffusion ou remplacer les données par des informations réellement anonymisées. Le fait qu’un fichier soit proposé sous une licence de réutilisation ne dispense pas l’organisme de respecter les règles applicables aux données personnelles.

En principe, le responsable de traitement répond à votre demande dans un délai d’un mois. Il peut prolonger ce délai de deux mois si la demande est complexe ou s’il reçoit de nombreuses demandes, mais doit vous en informer dans le premier mois. En l’absence de réponse ou si le refus vous paraît insuffisamment justifié, vous pouvez déposer une réclamation auprès de la CNIL, en joignant votre demande et les échanges avec l’organisme. Une démarche auprès de la CNIL ne signifie pas que le fichier sera automatiquement retiré : l’autorité examine les circonstances et les obligations en jeu. Distinguez également cette démarche de la demande de déréférencement adressée à un moteur de recherche, qui vise les résultats associés à votre nom sans supprimer la publication à la source.