Réutilisation des données publiques : le guide 2026

Un million d’euros. C’est le plafond de l’amende encourue par une entreprise qui réutilise des informations publiques à des fins commerciales en méconnaissance des conditions applicables (art. L. 326-1 du code des relations entre le public et l’administration). Cette amende n’est pas prononcée par la CNIL mais par la commission d’accès aux documents administratifs — et elle se cumule avec le RGPD. Ce régime reste très largement ignoré des réutilisateurs.

C’est symptomatique d’une confusion plus large : « librement accessible » et « librement réutilisable » sont deux choses différentes. Voici le cadre complet, côté diffuseur comme côté réutilisateur.

Ce qu’est une « information publique » — et ce qui n’en est pas

Le principe est posé à l’article L. 321-1 du CRPA : les informations publiques figurant dans des documents communiqués ou publiés par les administrations « peuvent être utilisées par toute personne qui le souhaite à d’autres fins que celles de la mission de service public pour les besoins de laquelle les documents ont été produits ou reçus ».

Autrement dit : le droit de réutiliser est le principe, les restrictions sont l’exception. Cette logique prolonge celle de l’article 86 du RGPD, qui laisse aux États membres le soin de concilier accès du public aux documents officiels et protection des données. Mais l’article L. 321-2 du CRPA exclut deux catégories du champ de la réutilisation :

• les informations contenues dans des documents dont la communication ne constitue pas un droit pour toute personne — sauf si ces informations font l’objet d’une diffusion publique conforme aux articles L. 312-1 à L. 312-1-2 ;
• les informations sur lesquelles des tiers détiennent des droits de propriété intellectuelle.

Ce même article précise un point souvent mal compris en collectivité : l’échange d’informations publiques entre administrations, aux fins de l’exercice de leur mission de service public, n’est pas une réutilisation. Une commune qui transmet un fichier à une intercommunalité pour l’exercice d’une compétence ne délivre pas une licence de réutilisation — elle reste, en revanche, pleinement soumise au RGPD.

Dernier point technique, mais décisif pour qui exploite des bases publiques : l’article L. 321-3 neutralise le droit sui generis du producteur de bases de données (art. L. 342-1 et L. 342-2 du code de la propriété intellectuelle) pour les bases que les administrations publient au titre du 3° de l’article L. 312-1-1. Une administration ne peut donc pas invoquer son droit de producteur pour bloquer la réutilisation de ses données ouvertes. L’exception concerne les bases produites dans le cadre d’une mission de service public industrielle ou commerciale soumise à la concurrence.

Le socle : les neuf jeux de « données de référence »

L’article L. 321-4 crée un service public des données de référence. La liste, posée par le décret n° 2017-331 du 14 mars 2017, figure à l’article R. 321-5 du CRPA, dans sa rédaction en vigueur depuis le 1^er juillet 2024 (décret n° 2024-606 du 26 juin 2024, qui a substitué France Travail à Pôle emploi) :

Jeu de données	Producteur
Répertoire Sirene des entreprises et établissements	INSEE
Répertoire national des associations (RNA)	Ministère de l’intérieur
Plan cadastral informatisé	DGFiP
Registre parcellaire graphique	Agence de services et de paiement
Référentiel à grande échelle (RGE)	IGN
Base adresse nationale	IGN
Base de données de l’organisation administrative de l’État	DILA
Répertoire opérationnel des métiers et des emplois (ROME)	France Travail
Code officiel géographique	INSEE

Le répertoire Sirene est mis à disposition « sous réserve des exceptions prévues à l’article R. 123-232 du code de commerce », qui délimite les informations publiques du répertoire. S’y ajoute le droit d’opposition à la diffusion ouvert aux personnes physiques inscrites, prévu à l’article R. 123-232-1 du même code et matérialisé par le « statut de diffusion » de l’INSEE. J’y reviens plus bas : c’est l’un des pièges les plus coûteux en prospection.

Les obligations du réutilisateur, presque toujours ignorées

L’article L. 322-1 pose trois conditions cumulatives, sauf accord contraire de l’administration :

1. les informations ne doivent pas être altérées ;
2. leur sens ne doit pas être dénaturé ;
3. leurs sources et la date de leur dernière mise à jour doivent être mentionnées.

La troisième est celle qui est violée en permanence. Une application qui republie des données cadastrales ou des indicateurs de qualité de l’air sans horodater sa source s’expose au régime de sanction décrit plus bas — indépendamment de toute question de données personnelles. La deuxième est plus subtile mais tout aussi opérante : agréger, recouper et recalculer des indicateurs peut, selon la présentation retenue, dénaturer le sens des données d’origine.

Licences : deux seulement, sauf homologation

La réutilisation « peut donner lieu à l’établissement d’une licence » (art. L. 323-1). Cette licence devient obligatoire dès lors que la réutilisation est payante.

Pour la réutilisation gratuite, l’article D. 323-2-1 ferme le jeu à deux licences :

• la Licence Ouverte de réutilisation d’informations publiques (dite Licence Ouverte / Etalab) ;
• l’Open Database License (ODbL).

Pour les informations publiques revêtant la forme d’un logiciel, le décret ouvre deux familles : licences permissives (BSD, Apache, CeCILL-B, MIT) et licences avec obligation de réciprocité (MPL, GNU GPL, CeCILL, EUPL, EPL). Une administration qui souhaite recourir à une autre licence doit demander son homologation à la direction interministérielle des systèmes d’information et de communication de l’État, la décision étant prise par le Premier ministre dans un délai de deux mois (art. D. 323-2-2).

La différence entre les deux licences gratuites n’est pas cosmétique. La Licence Ouverte impose la seule attribution ; l’ODbL y ajoute une obligation de partage à l’identique de la base dérivée. Un éditeur SaaS qui construit un produit propriétaire sur un jeu sous ODbL doit avoir tranché cette question avant d’écrire la première ligne de code, pas après.

Redevances : la gratuité est le principe

L’article L. 324-1 pose la gratuité de la réutilisation. Une redevance n’est possible que si l’administration est tenue de couvrir par des recettes propres une part substantielle des coûts de ses missions, et son produit total ne peut excéder les coûts de collecte, production, mise à disposition et diffusion.

L’article R. 324-4-1, issu du décret n° 2016-1036 du 28 juillet 2016, chiffre le critère : seules peuvent établir une redevance les administrations dont l’activité principale consiste en la collecte, la production, la mise à disposition ou la diffusion d’informations publiques, lorsque la couverture des coûts de cette activité est assurée à moins de 75 % par des recettes fiscales, des dotations ou des subventions.

En pratique, la liste des informations susceptibles d’être soumises à redevance est fixée par décret et reste étroite : informations géographiques de l’IGN, données et modèles de Météo-France, données bathymétriques et cartographiques du SHOM. À ce régime s’ajoute une dérogation légale distincte, posée par l’article L. 324-2 du CRPA, pour les informations issues de la numérisation des fonds et collections des bibliothèques, musées et archives.

Exclusivités : dix ans maximum

La réutilisation ne peut faire l’objet d’un droit d’exclusivité accordé à un tiers, sauf si un tel droit est nécessaire à l’exercice d’une mission de service public (art. L. 325-1). La durée est plafonnée à dix ans, avec réexamen au moins tous les trois ans (art. L. 325-2). Par dérogation, l’exclusivité consentie pour la numérisation de ressources culturelles peut atteindre quinze ans, avec réexamen la onzième puis la treizième année. Dans ce cas, une copie des ressources numérisées doit être remise gratuitement à l’administration, dans un standard ouvert et librement réutilisable.

Le régime de sanction du CRPA : distinct de celui de la CNIL

C’est le point aveugle. L’article L. 326-1 confie à la CADA — la commission mentionnée au titre IV du livre III — un pouvoir de sanction propre :

Manquement	Plafond
Réutilisation non commerciale en méconnaissance de L. 322-1, des conditions d’une licence, ou sans licence obligatoire	Contravention de 5e classe (art. 131-13 du code pénal), soit 1 500 €
Réutilisation commerciale — premier manquement	Amende proportionnée à la gravité et aux avantages tirés, plafond 1 000 000 €
Réutilisation commerciale — manquement réitéré dans les 5 ans	2 000 000 € ou, pour une entreprise, 5 % du chiffre d’affaires HT du dernier exercice clos, dans la limite de 2 M€

La commission peut en outre, à la place ou en sus de l’amende, interdire la réutilisation d’informations publiques pendant deux ans — cinq ans en cas de récidive dans les cinq ans — et ordonner la publication de la sanction aux frais de l’intéressé.

Une précision d’honnêteté : je n’ai connaissance d’aucune sanction publiée prise sur ce fondement. Cela ne rend pas le régime théorique pour autant. Dans mon expérience de conseil auprès d’éditeurs qui construisent un produit sur des données publiques, le risque réel n’est pas la sanction spontanée : c’est le signalement par un concurrent, ou par l’administration productrice elle-même lorsqu’elle découvre son jeu de données republié sans mention de source. Et l’interdiction temporaire de réutilisation est, pour un modèle économique fondé sur l’open data, plus destructrice que l’amende.

Là où tout se joue : les données personnelles dans les jeux « ouverts »

Deux obligations d’anonymisation coexistent, et on les confond régulièrement.

Côté diffuseur, l’article L. 312-1-2 du CRPA impose, par principe, que les documents administratifs contenant des données à caractère personnel ne soient rendus publics qu’après un traitement rendant impossible l’identification des personnes.

Côté détenteur sollicité, l’article L. 322-2 dispose que « lorsque la réutilisation n’est possible qu’après anonymisation des données à caractère personnel, l’autorité détentrice y procède sous réserve que cette opération n’entraîne pas des efforts disproportionnés ».

La nuance est importante : l’administration n’a pas d’obligation absolue d’anonymiser à la demande. Si l’effort est disproportionné, elle peut refuser — par une décision écrite et motivée, comportant l’indication des voies et délais de recours (art. L. 322-3). Pour les communes et EPCI, cet arbitrage entre obligation de publication et protection des données est l’un des sujets les plus délicats de la conformité RGPD des collectivités territoriales.

Accessible n’est pas anonyme

Une donnée publiée en ligne reste une donnée personnelle si elle permet, directement ou indirectement, d’identifier une personne. La différence entre pseudonymisation et anonymisation est ici structurante : un jeu de données dont on a retiré les noms mais conservé la date de naissance, le code postal et la profession n’est pas anonyme. Il est pseudonymisé, donc toujours soumis au RGPD. J’ai détaillé ailleurs comment anonymiser une base sans en détruire la valeur — c’est le vrai sujet technique de l’open data.

La CJUE l’a rappelé de façon spectaculaire dans son arrêt du 1^er août 2022, OT c. Vyriausioji tarnybinės etikos komisija (C-184/20), à propos de la publication en ligne des déclarations d’intérêts privés des responsables d’organismes recevant des fonds publics : d’une part, une telle publication constitue une ingérence qui doit satisfaire au test de proportionnalité ; d’autre part, des données susceptibles de révéler indirectement des informations sensibles — en l’espèce l’orientation sexuelle, déduite du nom du conjoint — relèvent de l’article 9(1) du RGPD. La déduction suffit ; il n’est pas nécessaire que la donnée sensible soit publiée en clair. Cet arrêt figure parmi ceux que j’ai retenus dans ma sélection de jurisprudence RGPD à connaître, et il devrait être la première lecture de tout responsable open data en collectivité.

Le réutilisateur est responsable de traitement

En juin 2024, la CNIL a publié deux jeux de recommandations distincts : l’un pour les diffuseurs publics et privés de données ouvertes, l’autre pour les réutilisateurs de données publiées sur internet. Le second est le plus utile pour les entreprises, et sa fiche n° 1 pose la règle de base : le réutilisateur qui détermine les finalités et les moyens de son traitement est responsable de traitement au sens de l’article 4(7) du RGPD, pas sous-traitant de l’administration.

Conséquence directe : il ne peut pas s’abriter derrière la licéité de la diffusion initiale. La publication conforme au CRPA le dispense de recueillir un consentement au titre du droit d’accès aux documents administratifs, mais elle ne lui fournit aucune base légale pour son propre traitement. Il doit la construire lui-même.

Six questions à traiter avant de réutiliser un jeu de données

1. Quelle est ma qualification ? Responsable de traitement dans la quasi-totalité des cas. Sous-traitant seulement si l’administration vous confie un traitement pour son compte et selon ses instructions — configuration rare en open data.

2. Quelle base légale ? En pratique, l’intérêt légitime de l’article 6(1)(f) est la voie principale. Il suppose un test de mise en balance documenté : légitimité de l’intérêt poursuivi, nécessité du traitement, absence de prévalence des droits et libertés des personnes. Le facteur décisif est presque toujours le même : les attentes raisonnables des personnes. Un citoyen dont l’adresse figure dans un registre public ne s’attend pas à recevoir de la publicité ciblée. Les six bases légales du RGPD ne sont pas interchangeables, et le consentement est ici matériellement impraticable.

3. Comment informer les personnes ? L’article 14 du RGPD s’applique : les données n’ont pas été collectées auprès de la personne concernée. Délai maximal d’un mois. L’exception d’« effort disproportionné » de l’article 14(5)(b) existe, mais elle est d’interprétation stricte et impose alors des mesures appropriées, notamment de rendre l’information publiquement accessible. Une page « sources de nos données » clairement indexée est le minimum défendable.

4. Comment traiter les droits ? Le droit d’opposition de l’article 21 est absolu en matière de prospection (art. 21(2)) et doit être exercé sans motivation. Le droit à l’effacement s’applique aussi — avec une difficulté opérationnelle réelle : si vous rechargez le jeu source chaque mois, une personne effacée réapparaîtra à la mise à jour suivante si vous ne tenez pas une liste de suppression persistante. C’est l’erreur d’architecture la plus fréquente que je rencontre.

5. Minimisation, exactitude, conservation. Les principes de l’article 5 du RGPD s’appliquent au jeu réutilisé, pas au jeu source. Télécharger l’intégralité de Sirene pour n’exploiter que trois codes NAF vous expose sérieusement sur le terrain de l’article 5(1)© : la minimisation s’apprécie au regard de la finalité, et une finalité étroite se concilie mal avec une copie intégrale. De même, conserver un extrait de 2021 sans le rafraîchir fragilise le principe d’exactitude de l’article 5(1)(d), qui impose de prendre « toutes les mesures raisonnables » pour effacer ou rectifier les données inexactes. La donnée publique périme vite, et une donnée fausse republiée engage votre responsabilité, pas celle de l’administration.

6. Faut-il une AIPD ? Souvent oui. Les lignes directrices WP248 rév.01 retiennent parmi leurs neuf critères le traitement de données à grande échelle et le croisement ou la combinaison d’ensembles de données ; elles précisent que, dans la plupart des cas, la réunion de deux critères doit conduire à réaliser une analyse d’impact — présomption réfragable, qui se documente dans les deux sens. Surtout, la liste CNIL adoptée par la délibération n° 2018-327 du 11 octobre 2018 vise expressément les traitements de profilage faisant appel à des données provenant de sources externes. Un enrichissement de base à partir de données publiques y entre presque toujours. La méthode d’AIPD en sept étapes et le champ exact de l’article 35 du RGPD sont détaillés ailleurs sur ce site.

Chacune de ces six réponses doit être tracée dans votre registre des activités de traitement : la source du jeu, sa licence, la date de dernière mise à jour, la base légale retenue et le test de mise en balance. C’est exactement le type de traçabilité que Legiscope automatise, parce qu’elle est ingérable à la main dès qu’on dépasse quelques jeux de données.

Le cas le plus contentieux : la prospection commerciale

La CNIL consacre une fiche entière (cas d’usage n° 2 de ses recommandations aux réutilisateurs) à la constitution ou à l’enrichissement de fichiers de prospection à partir de données publiquement accessibles. Trois points de vigilance dominent.

Le statut de diffusion Sirene. Les personnes physiques inscrites au répertoire — entrepreneurs individuels, micro-entrepreneurs, professions libérales — peuvent s’opposer à la diffusion publique de leurs informations. Réutiliser un export ancien, ou ignorer l’indicateur de diffusion, revient à prospecter des personnes qui ont exercé leur droit. C’est une non-conformité facile à prouver et impossible à justifier.

La frontière B2B / B2C. Le fait qu’une donnée soit professionnelle ne la fait pas sortir du RGPD : prenom.nom@entreprise.fr reste une donnée personnelle. Les règles applicables sont détaillées dans mon guide de la prospection commerciale B2B et B2C.

La chaîne d’acquisition. Si vous achetez un fichier constitué à partir de données publiques plutôt que de le constituer vous-même, les vérifications vous incombent : origine des données, base légale du cédant, information des personnes, preuve de la possibilité d’opposition. Dans un contexte voisin — des données achetées à des courtiers et à des éditeurs de sites de jeux-concours, et non des données publiques —, la CNIL a sanctionné la société Foriou à hauteur de 310 000 € pour n’avoir pas vérifié la validité du consentement en amont (délibération SAN-2024-003 du 31 janvier 2024). Le raisonnement est directement transposable : c’est au réutilisateur d’auditer sa source. J’ai détaillé les vérifications attendues dans l’article consacré à l’achat de fichier de prospection.

Enfin, la collecte automatisée obéit à ses propres règles : la publication d’une donnée n’emporte pas autorisation de la moissonner à l’échelle. Voir sur ce point ce que le RGPD permet en matière de scraping.

Le régime spécial de l’open data des décisions de justice

Les décisions de justice sont mises à disposition du public à titre gratuit sous forme électronique (art. L. 111-13 du code de l’organisation judiciaire, issu de la loi n° 2019-222 du 23 mars 2019). Deux garde-fous encadrent leur réutilisation.

D’abord, les éléments permettant d’identifier les parties et les tiers sont occultés avant diffusion. Ensuite — et c’est la règle la plus méconnue — les données d’identité des magistrats et des membres du greffe ne peuvent faire l’objet d’une réutilisation ayant pour objet ou pour effet d’évaluer, d’analyser, de comparer ou de prédire leurs pratiques professionnelles réelles ou supposées. La violation de cette interdiction est punie des peines prévues aux articles 226-18, 226-24 et 226-31 du code pénal : cinq ans d’emprisonnement et 300 000 € d’amende pour une personne physique (art. 226-18) et, pour une personne morale, le quintuple de cette amende en application de l’article 131-38 du code pénal, soit 1 500 000 €, outre les peines complémentaires de l’article 131-39. Le tout sans préjudice des mesures et sanctions prévues par la loi du 6 janvier 1978.

Toute legaltech construisant un produit d’analyse jurisprudentielle doit donc avoir intégré cette interdiction dans son architecture, pas dans ses CGU. Le groupe de travail présidé par Daniel Ludet a remis au garde des Sceaux, le 11 juillet 2025, un rapport sur l’évolution du dispositif ; le calendrier de mise à disposition progressive des différentes juridictions se poursuit.

Ce que le droit européen ajoute par-dessus

Trois textes se superposent au CRPA, et ils sont régulièrement confondus.

La directive (UE) 2019/1024 dite « open data » harmonise le régime de réutilisation des informations du secteur public ; le titre II du livre III du CRPA en constitue le véhicule en droit français. Son prolongement le plus concret est le règlement d’exécution (UE) 2023/138 du 21 décembre 2022, dont l’échéance de mise à disposition était fixée au 9 juin 2024 : il identifie six catégories d’ensembles de données de forte valeur devant être mis à disposition gratuitement, dans des formats lisibles par machine, via des API et en téléchargement en masse — données géospatiales, observation de la Terre et environnement, données météorologiques, statistiques, entreprises et propriété d’entreprises, mobilité. L’ajout de nouvelles catégories thématiques relève d’un acte délégué de la Commission ; la désignation d’ensembles de données à l’intérieur de ces catégories passe, elle, par un acte d’exécution comme le règlement 2023/138 lui-même. Des travaux préparatoires en vue d’une extension ont été publiés.

Le Data Governance Act ne crée aucun droit d’accès : il organise la réutilisation des données protégées détenues par le secteur public (secret d’affaires, données personnelles, propriété intellectuelle) — précisément celles que la directive open data laisse de côté — et encadre les intermédiaires de données et l’altruisme en matière de données.

Le Data Act, enfin, joue dans l’autre sens : il organise l’accès du secteur public aux données détenues par les entreprises en cas de besoin exceptionnel. Ce n’est pas de l’open data, c’est du B2G.

La règle mnémotechnique que j’utilise en formation : la directive open data régit les données publiques ouvertes, le DGA les données publiques fermées, le Data Act les données privées que le public peut réclamer.

Ce qu’il faut retenir

• « Accessible » n’est pas « réutilisable ». L’article L. 322-1 du CRPA impose trois conditions à tout réutilisateur : ne pas altérer les données, ne pas en dénaturer le sens, mentionner la source et la date de dernière mise à jour.
• Un second régime de sanction existe, distinct de la CNIL. La CADA peut prononcer jusqu’à 1 M€ d’amende (2 M€ ou 5 % du CA en réitération) et interdire la réutilisation pendant deux à cinq ans (art. L. 326-1 du CRPA).
• Le réutilisateur est responsable de traitement. La licéité de la diffusion initiale ne lui fournit aucune base légale : il doit construire la sienne, généralement sur l’intérêt légitime de l’article 6(1)(f), avec un test de mise en balance documenté.
• Deux licences gratuites seulement : Licence Ouverte et ODbL (art. D. 323-2-1). La clause de partage à l’identique de l’ODbL est incompatible avec beaucoup de modèles propriétaires — à trancher avant le développement.
• L’AIPD doit être sérieusement envisagée dès qu’il y a croisement de jeux de données ou profilage à partir de sources externes : ce dernier cas figure expressément dans la liste CNIL (délibération n° 2018-327).
• Prévoyez une liste de suppression persistante. Sans elle, toute personne ayant obtenu l’effacement réapparaîtra à la prochaine synchronisation du jeu source.

FAQ

Peut-on réutiliser librement les données de data.gouv.fr ?

Presque, mais pas inconditionnellement. La réutilisation est gratuite par principe (art. L. 324-1 du CRPA) et le droit sui generis du producteur ne peut y faire obstacle pour les bases publiées en open data (art. L. 321-3). Il reste à respecter la licence attachée au jeu — Licence Ouverte ou ODbL —, l’obligation de mention de la source et de la date de mise à jour, et l’intégralité du RGPD si le jeu comporte des données personnelles.

Quelle base légale pour réutiliser des données publiques contenant des données personnelles ?

Dans la très grande majorité des cas, l’intérêt légitime de l’article 6(1)(f) du RGPD, documenté par un test de mise en balance. Le consentement est matériellement impraticable puisque vous n’avez pas de relation préalable avec les personnes, et l’obligation légale ne s’applique qu’à des situations spécifiques. Attention : la base légale de l’administration diffusante ne se transfère pas au réutilisateur.

Une administration peut-elle refuser d’anonymiser un jeu de données que je demande ?

Oui. L’article L. 322-2 du CRPA subordonne l’obligation d’anonymisation à l’absence d’« efforts disproportionnés ». Le refus doit prendre la forme d’une décision écrite et motivée mentionnant les voies et délais de recours (art. L. 322-3), et peut être contesté devant la CADA puis le juge administratif.

Le RGPD s’applique-t-il aux données publiques concernant des personnes décédées ?

Non : le RGPD ne s’applique qu’aux personnes physiques vivantes. Mais la loi Informatique et Libertés prévoit un régime propre, notamment des directives que la personne a pu formuler de son vivant, et les héritiers disposent de prérogatives spécifiques. Le sujet est traité en détail dans l’article consacré aux données des personnes décédées.

Faut-il une AIPD pour un produit construit sur des données publiques ?

Le plus souvent oui. La liste CNIL du 11 octobre 2018 vise les traitements de profilage faisant appel à des données provenant de sources externes, et les critères WP248 rév.01 retiennent le croisement d’ensembles de données ainsi que le traitement de données à grande échelle. La réunion de deux critères conduit, dans la plupart des cas, à réaliser l’analyse d’impact — la conclusion inverse reste possible, à condition d’être documentée.

---

Vous suivez les évolutions de l’économie de la donnée ? Chaque semaine, je publie une analyse des textes, décisions et sanctions qui comptent réellement pour votre conformité — sans paraphrase de communiqué. Inscrivez-vous à la newsletter.