Vie privée et open data : Harvard propose des règles du jeu

Les relations entre le sujet "vie privée" et le sujet "open data" ont souvent été compliquées, et sources de nombreuses incompréhensions.

Comment en effet concilier deux objectifs en apparence contradictoires, à savoir accroitre la transparence et "libérer" des données en permettant toutes sortes d'utilisations et en même temps garantir la protection des droits des personnes qui pourraient être concernées par ces données ?

Conscients de ces difficultés le centre Berkman et Klein de Harvard a identifié et réuni un ensemble de bonnes pratiques à destination des responsables open data des villes. Ces pratiques, fermement ancrées dans un territoire institutionnel et légal nord-américain, touchent cependant à un enjeu essentiel : plus l'open data gagnera de nouveaux territoires de données, plus il concernera des informations concernant des personnes directement ou indirectement identifiées ou identifiables, à savoir les habitants, usagers, visiteurs, résidents et travailleurs des villes. 

Le document s'appuie sur un corpus de travaux académiques (essentiellement étatsuniens), comme par exemple les cas célébres de réidentification de personnes à partir de données jugées a priori anonymes, telles que celles des taxis New-Yorkais, qui ont donné naissance à notre expérimentation CabAnon. 

Pour autant, il se présente comme un vrai manuel opérationnel (un "playbook", selon le titre choisi par les auteurs) avec des exemples et modèles de documents quasiment prêts à l'emploi. 

Les auteurs recommandent de passer systèmatiquement par 4 étapes :

1.  Réaliser une analyses risques / bénéfices pour alimenter la conception et la mise en œuvre des programmes open data.
2.  Intégrer la protection de la vie privée à chaque étape du cycle de vie des données: "collecter, conserver, libérer, supprimer".
3.  Élaborer des structures et des processus opérationnels pour encadrer la protection de la vie privée à l'échelle de l'ensemble de la ville.
4.  Mettre l'accent sur l'engagement du public et les priorités publiques car elles sont essentielles aux programmes de gestion des données.

Il n'est pas anodin de relever que ces axes mettent en avant des principes très proches de ceux qui sont au coeur du Réglement général à la protection des données europennes (RGPD) tels que le privacy by design et le privacy by default, l'analyse de risques, ... 

Comme le disent les auteurs : "une bonne gouvernance des données est une condition préalable à la réussite des programmes open data".