Moins collecter pour mieux protéger : c’est, en résumé, le message que porte une note rédigée par le professeur de droit public Raphaël Maurel pour l’Observatoire de l’éthique publique. Face à une administration française qui accumule les données personnelles bien au-delà de ce que la loi exige, l’auteur formule une dizaine de recommandations concrètes pour changer de cap, et de culture.
Une culture du « toujours plus » qui contredit le droit
Le Règlement général sur la protection des données (RGPD), adopté en 2018, impose pourtant un principe clair : ne collecter que les informations « strictement nécessaires à la finalité poursuivie ». Un principe dit de minimisation des données, gravé dans le marbre du droit européen. Mais son application par les entités publiques françaises est, selon Raphaël Maurel, « particulièrement défaillante ».
Paradoxalement, la France est allée encore plus loin que le droit européen sur certains aspects : le principe « Dites-le nous une fois » ou le dispositif FranceConnect permettent théoriquement d’éviter de demander plusieurs fois les mêmes informations aux usagers. Sauf que, dans les faits, ces outils restent sous-exploités. Des justificatifs d’état civil sont encore réclamés alors que l’administration pourrait, via ce même dispositif, les obtenir directement. Des hôpitaux conservent des données dont « la finalité première est éteinte depuis plusieurs années ». L’écart entre l’intention réglementaire et la réalité du terrain est saisissant.
Plusieurs facteurs expliquent cette persistance : une culture administrative du justificatif « pour tout », l’absence d’une nomenclature claire sur les pièces réellement nécessaires, une formation insuffisante des agents concernés, et des sanctions trop rares pour faire changer les habitudes.
Des fuites en cascade, révélatrices d’un problème structurel
Les conséquences ne sont pas abstraites. La multiplication des fuites de données depuis 2024 en dit long sur la vulnérabilité du système. L’épisode le plus marquant reste le vol de données fiscales touchant 350 000 contribuables, qui a ébranlé la direction générale des finances publiques. Un incident qui, selon l’auteur, illustre un « point de rupture de confiance » après une série d’attaques similaires.
Face à ces incidents, la réponse publique s’est jusqu’ici concentrée sur deux axes : renforcer les défenses techniques et accroître les capacités de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Deux leviers « essentiels, mais insuffisants », juge Raphaël Maurel, si l’on ne s’attaque pas, en amont, à la quantité même de données exposées. La logique est implacable : chaque donnée inutilement collectée est une donnée inutilement exposée, résume-t-il dans sa note.
L’article publié sur le piratage de la DGFiP et le débat autour d’une nouvelle unité cyber illustre d’ailleurs bien la dimension politique que ces incidents ont prise en France ces derniers mois.
L’Estonie, modèle d’une administration sobre en données
Pour sortir de l’impasse, l’auteur regarde du côté de Tallinn. L’Estonie a construit, dès 2001, une infrastructure numérique radicalement différente : aucune centralisation des données, mais une interconnexion sécurisée, chiffrée et journalisée entre les registres publics (population, cadastre, entreprises, foncier, assurance maladie). Le principe fondateur ? « Un citoyen ne doit pas produire une information qu’une administration détient déjà : il appartient à l’administration demandeuse d’aller la chercher. » Une philosophie à l’opposé du réflexe français du justificatif systématique.
Des recommandations concrètes, et un chiffrage à l’appui
Former les agents, rendre des comptes publiquement
Parmi la dizaine de recommandations formulées dans la note, deux se distinguent par leur portée structurelle. La première concerne la formation : tous les agents publics devraient recevoir un socle minimal de formation au droit des données. Pour cela, Raphaël Maurel appelle à mobiliser le Centre national de la fonction publique territoriale, les écoles de la fonction publique, le Secrétariat général du gouvernement et la direction interministérielle du numérique, afin d’organiser une campagne nationale de sensibilisation.
La seconde recommandation phare : imposer un rapport public annuel de minimisation à chaque entité publique. Ce document, intégré au rapport d’activité, recenserait les catégories de données collectées, leur justification, leur durée de conservation, et le nombre de dossiers supprimés dans l’année. La CNIL serait chargée de publier ces données de manière comparative entre entités similaires.
Un argument économique difficile à ignorer
L’auteur rappelle qu’en 2019, la direction interministérielle du numérique avait estimé à environ 320 millions d’euros les économies potentielles si le principe « Dites-le nous une fois » était réellement appliqué. Sur cette base, il propose d’élargir le périmètre des pièces justificatives couvertes par ce principe et de rendre obligatoire pour toute entité publique l’interconnexion avec FranceConnect.
Une partie des économies ainsi dégagées pourrait abonder les moyens de la CNIL, dont les missions seraient alourdies par la mise en place d’un régime d’amendes et d’obligations renforcées. Raphaël Maurel estime à une vingtaine d’agents supplémentaires le renfort nécessaire pour opérationnaliser l’ensemble du dispositif.
Questions fréquentes
Qu’est-ce que le principe de minimisation des données ?
Il s’agit d’un principe inscrit dans le RGPD qui impose aux organisations, publiques comme privées, de ne collecter que les données strictement nécessaires à l’objectif poursuivi. En théorie, cela interdit toute collecte préventive ou par habitude.
Pourquoi l’administration française collecte-t-elle trop de données ?
Selon Raphaël Maurel, plusieurs raisons se cumulent : une culture historique du justificatif, l’absence de liste claire des pièces réellement obligatoires, des agents insuffisamment formés et des sanctions trop peu dissuasives.
Qu’est-ce que FranceConnect et en quoi cela concerne-t-il ce sujet ?
FranceConnect est un dispositif public qui permet le pré-remplissage automatique de données personnelles déjà transmises à l’administration. Son déploiement plus large et son interconnexion obligatoire avec toutes les entités publiques figurent parmi les recommandations de la note.
Quel est le rapport entre accumulation de données et risque cyber ?
Plus une administration stocke de données, plus elle offre une surface d’attaque étendue aux cybercriminels. Réduire la quantité de données collectées et conservées limite mécaniquement l’impact potentiel d’une intrusion ou d’une fuite.
