Quatre obligations, un même prérequis
- Protéger. Le RGPD impose aux autorités publiques de désigner un délégué à la protection des données, de tenir un registre des traitements et d’analyser les risques des traitements les plus sensibles.
- Ouvrir. Depuis la loi pour une République numérique de 2016, les administrations d’au moins cinquante agents et les collectivités de plus de 3 500 habitants publient par défaut leurs données d’intérêt général, hors secrets protégés.
- Partager. Le principe « dites-le-nous une fois » suppose que les administrations échangent entre elles les informations déjà détenues plutôt que de les redemander à l’usager.
- Archiver. Les documents et données produits par un service public sont des archives publiques, leur conservation et leur élimination obéissent à des règles.
Chacune de ces obligations suppose de savoir quelles données l’organisation détient, où, et sous quelle responsabilité. C’est l’objet de la gouvernance des données.
Le problème réel : des données sans propriétaire
Dans la plupart des organisations, la même information existe en plusieurs exemplaires qui divergent. L’adresse d’un usager n’est pas la même dans le logiciel de facturation, dans celui de l’action sociale et dans celui de la petite enfance. Personne n’a autorité pour dire laquelle fait foi. Les conséquences sont concrètes : courriers mal adressés, droits ouverts à tort, statistiques contestées, et impossibilité de répondre proprement à une demande d’accès ou d’effacement.
Des rôles avant des outils
| Rôle | Tenu par | Répond de |
|---|---|---|
| Propriétaire de données | Une direction métier | La définition, la qualité et les règles d’accès d’un domaine de données |
| Référent de données | Un agent du métier | La qualité au quotidien, les corrections, la documentation |
| Délégué à la protection des données | Fonction indépendante | La conformité des traitements de données personnelles |
| RSSI | Sécurité | La protection contre la perte, la fuite, l’altération |
| Archiviste | Service d’archives | Les durées de conservation et le sort final |
| DSI | Direction des systèmes d’information | Les moyens techniques, non le contenu |
La règle qui débloque tout : la donnée appartient au métier qui la produit, pas à l’informatique qui l’héberge.
Par où commencer
- Choisir trois ou quatre données de référence : les personnes (usagers, agents), les tiers (fournisseurs, partenaires), les adresses, la structure de l’organisation. Ce sont celles que tous les logiciels se partagent.
- Désigner un propriétaire pour chacune et décider quelle application fait foi.
- Cartographier les flux : où la donnée est créée, où elle est copiée, où elle est modifiée. La cartographie du SI fournit la trame.
- Classer par sensibilité, ce qui sert ensuite au choix d’hébergement. Voir cloud et SecNumCloud.
- Fixer deux ou trois indicateurs de qualité simples : doublons, fiches incomplètes, délai de correction.
Un seul inventaire pour plusieurs registres
Le registre des traitements du RGPD, le catalogue des données ouvertes, le tableau de gestion des archives et la cartographie applicative décrivent en grande partie les mêmes objets. Les tenir séparément garantit qu’ils se contredisent. Un inventaire unique des données, relié aux applications et aux processus, permet d’en tirer chaque registre réglementaire comme une vue.
La condition de l’intelligence artificielle
Aucun projet d’intelligence artificielle ne donne de résultat fiable sur des données dont on ignore l’origine, la qualité et le statut juridique. Les organisations qui ont structuré leurs données de référence sont celles qui pourront utiliser ces outils sans exposer leurs usagers. La page intelligence artificielle dans le service public prolonge ce point.
La gouvernance des données n’est pas un projet informatique. C’est une décision d’organisation : dire, pour chaque donnée importante, quelle direction en répond.
Dans la méthode DYNAMAP SI
Dans DYNAMAP SI, les données forment une couche à part entière de la cartographie, entre les objets métier et les logiciels.
- 1Phase 1 · Analyse de l’existant : inventorier les actifs, les processus et les risques tels qu’ils sont réellement.
- 3Phase 3 · Cartographies et points de vue : relier processus, données, logiciels et infrastructures dans des vues lisibles par chaque public.
- 6Phase 6 · Collaboration IT et métiers : installer un dialogue régulier entre la DSI et les directions métiers.
La méthode appliquée au secteur public · Le framework complet sur dynamap.fr
Pour approfondir : les livres de la collection
Manuel de gouvernance de la donnée
Un programme de gouvernance de la donnée de bout en bout : rôles, qualité, cycle de vie, sécurité, conformité, culture. Le socle pour concilier protection des données personnelles, ouverture des données publiques et projets d’intelligence artificielle.
Architecture d’entreprise pour l’intelligence artificielle
Une méthode de gouvernance de l’intelligence artificielle fondée sur les données de référence : cas d’usage, agents, coûts, risques, conformité au RGPD et au règlement européen sur l’IA, conduite du changement.
Toute la collection est présentée sur la page livres sur le système d’information.
Sources et références
Yann-Eric Devars
Architecte d’entreprise · créateur du framework DYNAMAP SI
Fondateur de Solve DSI, il accompagne depuis près de dix ans des organisations dans la cartographie et la gouvernance de leur système d’information. Il publie sur LinkedIn ses analyses sur les systèmes d’information publics ; les échanges entre pairs y sont ouverts.