Sources ouvertes en entreprise : quelles données publiques exploiter légalement en veille

La veille fondée sur des sources ouvertes, une pratique utile mais encadrée

La veille en sources ouvertes consiste à recueillir, vérifier et analyser des informations accessibles légalement au public. En entreprise, elle peut éclairer l’évolution d’un marché, l’activité d’un secteur, les changements réglementaires, les mouvements d’acteurs ou les signaux faibles liés à une technologie. Elle ne se réduit pas à une recherche rapide sur un moteur de recherche. Sa valeur dépend de la qualité des sources, de la méthode de vérification et du respect du cadre juridique.

Une donnée accessible sans mot de passe n’est pas automatiquement libre de toute utilisation. La consultation, la copie, l’indexation, l’enrichissement, la conservation et la diffusion répondent parfois à des règles différentes. Une page publique peut contenir des données personnelles, une œuvre protégée par le droit d’auteur ou des informations soumises à une licence précise. Une base de données peut également bénéficier d’une protection particulière, même lorsque les éléments qu’elle contient sont connus séparément.

La première question à poser n’est donc pas seulement « cette information est-elle publique ? », mais aussi « quel usage est envisagé, pour quelle finalité, sur quelle durée et avec quelles garanties ? ». Cette distinction permet de transformer une collecte documentaire en démarche d’intelligence économique responsable.

Définir les données publiques avant de les collecter

Les données publiques peuvent provenir d’administrations, d’autorités indépendantes, de juridictions, d’organismes de normalisation, de collectivités, de registres légaux ou de publications professionnelles. Elles peuvent prendre la forme de textes, de statistiques, de décisions, de jeux de données, de cartes, de rapports, d’avis, de documents budgétaires ou d’informations relatives à des marchés publics.

Il faut distinguer plusieurs catégories :

• Les données produites par les pouvoirs publics, comme les textes réglementaires, les statistiques officielles ou certains jeux de données administratifs.
• Les informations légales sur les entreprises, publiées dans des registres ou des annonces selon les règles applicables à chaque registre.
• Les publications d’acteurs privés, telles que les communiqués, catalogues, rapports, offres d’emploi ou pages institutionnelles.
• Les contenus éditoriaux et scientifiques, qui peuvent être consultables librement tout en restant protégés par le droit d’auteur.
• Les données personnelles rendues accessibles, dont la collecte et la réutilisation restent soumises au règlement général sur la protection des données.

Le caractère public décrit principalement l’accessibilité de l’information. Il ne détermine pas à lui seul les droits de reproduction ou les obligations liées à la réutilisation. Une licence ouverte peut autoriser certains usages, mais imposer une attribution, interdire la modification ou limiter l’utilisation commerciale. La licence applicable doit donc être identifiée avant toute intégration dans un outil de veille.

Les principales familles de sources à examiner

Une veille solide croise plusieurs familles de sources au lieu de dépendre d’un seul canal. Les sources institutionnelles sont particulièrement utiles pour suivre les normes, les politiques publiques et les évolutions réglementaires. Les textes publiés par les autorités compétentes permettent de distinguer une annonce, une consultation, une proposition et une règle effectivement entrée en vigueur.

Les registres et publications légales peuvent fournir des indications sur la création, la modification ou la cessation d’activités, les dirigeants déclarés, certaines opérations juridiques ou les procédures collectives. Ces informations doivent toutefois être interprétées avec prudence. Une donnée administrative correspond à un périmètre et à une date de mise à jour. Elle ne constitue pas toujours une description complète de la situation économique d’une organisation.

Les sources techniques comprennent les normes accessibles, les publications de recherche, les demandes et titres de propriété industrielle lorsqu’ils sont consultables, ainsi que les documents de consultation. Elles permettent d’identifier des orientations technologiques, des domaines d’innovation ou des contraintes de conformité. Pour éviter les contresens, il est nécessaire de vérifier les définitions, les classifications et la date des documents.

Les sources commerciales et éditoriales, comme les catalogues, les brochures, les communiqués ou les pages de recrutement, peuvent compléter cette analyse. Elles sont utiles pour observer un positionnement déclaré, une évolution de vocabulaire ou une présence sur un segment. Elles doivent cependant être distinguées des faits indépendamment vérifiés. Une promesse marketing est une information sur le discours d’un acteur, pas une preuve automatique de la réalité de ses performances.

Le droit d’auteur et le droit des bases de données

Le droit d’auteur protège les œuvres originales, y compris certains textes, images, graphiques, vidéos, cartes et documents de présentation. La mise en ligne d’un contenu ne supprime pas cette protection. Dans une veille interne, il est généralement possible de conserver une référence, un titre, une date, un résumé factuel et une courte citation justifiée, sous réserve du respect des règles applicables. En revanche, reproduire intégralement un rapport ou alimenter une base interne avec des copies systématiques peut dépasser ce qui est autorisé.

Le Code de la propriété intellectuelle prévoit des règles particulières pour les bases de données. Le producteur d’une base peut bénéficier d’un droit sur l’investissement consacré à la constitution, à la vérification ou à la présentation du contenu. L’extraction ou la réutilisation d’une partie substantielle de la base peut être interdite. Des extractions répétées de petites parties peuvent également poser difficulté si elles reconstituent une part importante de la base ou nuisent à son exploitation normale.

La prudence est particulièrement importante lors de l’aspiration automatisée de catalogues, d’annuaires ou de listes structurées. Avant de copier, il convient de rechercher les conditions de réutilisation, la licence, les limites techniques et les mentions relatives à la propriété intellectuelle. Une veille peut souvent fonctionner avec des métadonnées, des liens internes, des résumés et des alertes plutôt qu’avec la duplication complète des contenus.

Les données personnelles accessibles publiquement restent protégées

Le règlement général sur la protection des données, appliqué en France sous le contrôle de la Commission nationale de l’informatique et des libertés, ne réserve pas ses obligations aux informations confidentielles. Un nom, une adresse électronique professionnelle nominative, un numéro de téléphone direct, une photographie ou une fonction rattachée à une personne identifiable peuvent constituer des données personnelles, même si ces éléments sont publiés sur une page accessible à tous.

Une entreprise qui collecte ces informations pour sa veille doit déterminer une finalité précise et une base légale appropriée. L’intérêt légitime peut parfois être envisagé, mais il doit faire l’objet d’une analyse mettant en balance les intérêts poursuivis et les droits des personnes. Cette base légale n’est ni automatique ni interchangeable avec une simple intention commerciale.

Les principes à appliquer comprennent notamment :

• La minimisation : ne conserver que les informations nécessaires à l’objectif défini.
• La limitation des finalités : ne pas réutiliser ultérieurement les données pour un but incompatible.
• L’exactitude : prévoir la correction des informations obsolètes ou erronées.
• La durée de conservation : fixer une période cohérente avec la valeur de la veille.
• La sécurité : limiter les accès et protéger les exports, tableaux et outils de collecte.
• L’information des personnes : respecter les obligations de transparence prévues par le RGPD, sauf exception applicable.

Les données dites sensibles, comme certaines informations relatives à la santé, aux opinions politiques, aux convictions religieuses ou à l’appartenance syndicale, appellent une vigilance renforcée. Elles ne doivent pas être aspirées ou profilées par routine au seul motif qu’elles sont visibles publiquement.

Scraper une page publique n’est pas un droit général de copie

La collecte automatisée, souvent appelée scraping, peut faciliter la surveillance de nombreuses pages. Elle ne bénéficie toutefois pas d’une autorisation générale. Le responsable de la collecte doit examiner les conditions contractuelles affichées, la licence des contenus, la nature des données, la protection éventuelle de la base et l’impact technique sur le service consulté.

Un fichier robots.txt indique principalement des consignes destinées aux robots d’exploration. Il ne constitue pas à lui seul une réponse complète à toutes les questions de propriété intellectuelle, de contrat ou de protection des données. À l’inverse, l’absence de consigne technique ne signifie pas que toute extraction est autorisée.

Une démarche raisonnable peut suivre plusieurs précautions :

1. Définir précisément les pages, les champs et la finalité de la collecte.
2. Vérifier les conditions d’utilisation et les licences avant le développement.
3. Éviter les volumes et fréquences susceptibles de perturber le fonctionnement du service.
4. Ne pas contourner un dispositif d’accès, une authentification ou une mesure de sécurité.
5. Documenter la date, la source, la méthode et les transformations appliquées.
6. Prévoir une procédure de retrait, de correction et d’effacement lorsqu’une donnée n’est plus nécessaire.

Dans de nombreux cas, une API officiellement proposée, un flux de données ou un jeu de données sous licence claire constitue une solution plus sûre qu’une extraction directe de pages. Cette option n’élimine pas toutes les obligations, mais elle clarifie souvent les modalités d’accès et de réutilisation.

Une grille de lecture pour qualifier chaque source

Avant d’intégrer une information dans une plateforme de veille, il est utile de la qualifier selon plusieurs critères. Cette étape évite de mélanger des documents juridiquement réutilisables avec des contenus seulement consultables.

Cette grille doit être proportionnée au risque. Une note interne résumant une décision réglementaire n’appelle pas le même niveau d’analyse qu’un traitement automatisé de milliers de profils individuels. Dans le second cas, une consultation du délégué à la protection des données, du service juridique ou du responsable de la conformité peut être nécessaire avant le lancement.

De la collecte à l’analyse, construire une chaîne de preuve

Une donnée de veille n’a de valeur que si son origine et son contexte peuvent être retrouvés. La traçabilité ne consiste pas à accumuler des captures d’écran sans méthode. Elle suppose de conserver les éléments utiles à la compréhension du signal : source, auteur ou organisme, date de publication, date de consultation, titre, version, périmètre et éventuelles réserves.

La vérification peut s’organiser en plusieurs niveaux :

• Identifier le fait observé : distinguer une décision, une annonce, une opinion ou une hypothèse.
• Comparer avec une source indépendante lorsque l’information est sensible ou susceptible d’avoir des conséquences importantes.
• Contrôler la temporalité : vérifier si le document a été modifié, remplacé ou rendu caduc.
• Repérer les biais : comprendre l’intérêt de l’auteur, le public visé et le contexte de publication.
• Qualifier le niveau de confiance : fait établi, indice convergent, signal à confirmer ou information non vérifiée.

Cette discipline est particulièrement importante pour les contenus générés ou reformulés automatiquement. Un outil peut accélérer le classement et le rapprochement de documents, mais il ne remplace pas la vérification de la source originale. Les résumés automatiques doivent rester rattachés aux documents qui les fondent et être relus lorsque l’enjeu est juridique, financier ou réputationnel.

Les erreurs fréquentes dans une veille de sources ouvertes

La première erreur consiste à confondre visibilité et réutilisabilité. Une information publiée sur une page accessible au public peut être consultée sans que sa reproduction intégrale ou son exploitation commerciale soit permise. La seconde est de collecter davantage de données que nécessaire. Cette pratique augmente les risques liés au RGPD, les coûts de stockage et la difficulté de maintenir des informations exactes.

Une autre erreur consiste à présenter une information isolée comme une conclusion. Un changement de dirigeant enregistré, une nouvelle offre d’emploi ou une publication technique sont des signaux qui nécessitent un contexte. Ils ne suffisent pas toujours à établir une stratégie, une capacité de production ou une intention future.

Il faut également éviter :

• de conserver indéfiniment des données personnelles au cas où elles seraient utiles un jour ;
• de partager des documents protégés dans un espace accessible à des personnes non autorisées ;
• de contourner une restriction technique ou une authentification ;
• de supprimer la mention de la source lors d’une reformulation ;
• de confondre une licence de consultation avec une licence de redistribution ;
• de laisser un outil automatisé décider seul de la fiabilité d’un contenu.

Ces erreurs ne sont pas seulement juridiques. Elles dégradent aussi la qualité de l’analyse, car une base volumineuse mais mal qualifiée produit des alertes nombreuses et difficiles à interpréter.

Mettre en place une procédure interne proportionnée

Une organisation peut formaliser une procédure courte, compréhensible par les personnes chargées de la veille. Elle doit commencer par une cartographie des objectifs : suivi réglementaire, analyse concurrentielle, observation technologique, surveillance des risques ou connaissance d’un écosystème. Chaque objectif détermine les sources utiles et les données réellement nécessaires.

La procédure peut ensuite préciser :

1. les sources autorisées et leur niveau de fiabilité ;
2. les catégories de données exclues ou soumises à validation ;
3. les règles de citation, de conservation et de partage ;
4. les personnes habilitées à accéder aux données personnelles ;
5. la fréquence de réexamen des licences et des durées de conservation ;
6. la conduite à tenir en cas de demande d’effacement, d’erreur ou de contestation.

Un registre des traitements peut être nécessaire lorsque des données personnelles sont collectées de manière organisée. La CNIL recommande également de documenter les décisions prises en matière de protection des données. Cette documentation permet de démontrer la cohérence de la démarche et d’identifier plus rapidement les points à corriger.

La formation des utilisateurs doit porter autant sur la lecture critique que sur le droit. Savoir reconnaître une source primaire, distinguer une date de publication d’une date d’entrée en vigueur et repérer une licence sont des compétences essentielles pour une veille fiable.

Une méthode pratique en sept étapes

Pour exploiter légalement des sources ouvertes, une méthode simple peut être appliquée à chaque nouveau dispositif de veille :

1. Formuler la question de veille avec un périmètre, une période et un destinataire.
2. Sélectionner les sources en privilégiant les producteurs identifiés et les documents présentant une date et une version.
3. Qualifier les droits attachés au contenu, à la base et aux éventuelles données personnelles.
4. Limiter la collecte aux champs utiles, plutôt que de copier systématiquement l’intégralité des pages.
5. Conserver les références et la date de consultation afin de rendre l’analyse vérifiable.
6. Vérifier et contextualiser les signaux avant toute décision ou diffusion.
7. Réévaluer régulièrement la pertinence, la licence, l’exactitude et la durée de conservation.

Cette méthode favorise une veille plus sobre. Elle protège les droits des personnes et des producteurs de contenus, tout en améliorant la qualité des décisions. Elle rappelle surtout qu’une source ouverte n’est pas une matière première sans règles, mais un élément documentaire dont l’usage doit rester justifié, traçable et proportionné.

FAQ : exploiter les données publiques en veille

Une information publique peut-elle être copiée librement ?

Non. L’accessibilité publique ne suffit pas à autoriser toute copie. Il faut examiner le droit d’auteur, le droit des bases de données, les conditions de réutilisation et la présence éventuelle de données personnelles. Un résumé factuel accompagné d’une référence peut être préférable à la reproduction intégrale.

Le RGPD s’applique-t-il à une donnée professionnelle ?

Oui, lorsqu’elle permet d’identifier directement ou indirectement une personne physique. Une adresse électronique nominative, un numéro direct ou une fonction associée à un nom peuvent relever du RGPD. La finalité, la base légale, la minimisation, l’information et la durée de conservation doivent être examinées.

Le scraping est-il toujours interdit ?

Non, mais il n’est pas automatiquement autorisé. La licéité dépend notamment du contenu collecté, des licences, de la protection de la base, des conditions contractuelles, du respect des dispositifs d’accès et de l’impact sur le service. Une API ou un jeu de données sous licence claire peut offrir un cadre plus approprié.

Faut-il conserver une copie complète de chaque source ?

Pas nécessairement. Pour de nombreux usages, les métadonnées, la référence, un résumé et un extrait limité suffisent. La conservation doit répondre à une finalité définie et respecter les droits applicables. Les documents indispensables à la preuve d’une analyse peuvent être archivés selon une procédure interne contrôlée.

Qui doit valider une veille comportant des données personnelles ?

La validation dépend de l’organisation et du niveau de risque. Le responsable de la veille peut travailler avec le délégué à la protection des données, le service juridique ou le responsable de la conformité. Une analyse préalable est particulièrement recommandée lorsque la collecte est massive, automatisée ou destinée à établir des profils.