Qu'implique réellement la démarche ?

Si le passage à l'open data est un chantier d'envergure, pour ne pas dire un Everest, pour nombre de collectivités territoriales, et si depuis deux ans seules 150 collectivités de plus de 3 500 habitants sur 5 000 disposent d'un portail open data, c'est bien parce que l'ouverture des données implique une refonte complète des systèmes d'information. Autant dire une phase très lourde, tant au niveau organisationnel que financier. On se dirige doucement mais sûrement vers une révision totale de l'architecture du SI achats publics. " Les projets évoluent lentement car les collectivités manquent de méthodologie et de moyens pour piloter la donnée. Or, les contraintes liées au RGPD peuvent permettre d'accompagner et de développer des sujets d'open data ", estime Stéphane Astier. La cartographie SI imposée par le RGPD va donner un mapping précis de la donnée et permettre aux organismes publics d'identifier quels jeux de données peuvent être mis à disposition.

Être en mesure d'identifier les sources de données et de les remonter dans les portails acheteurs est le gros travail qui attend les organisations publiques. De là pourront être mises en place des mesures techniques et organisationnelles pour atteindre le niveau de sécurisation approprié. Il s'agira de définir avec tous les prestataires qui est propriétaire de quoi. " Si la démarche en elle-même est vertueuse et va permettre de moderniser l'achat public, ce qui est compliqué à gérer pour les collectivités et les petits établissements publics, c'est le temps et les moyens informatiques. Ce ne sera pas neutre financièrement, un arbitrage différent s'imposera à nous ", juge Céline Debuiche, responsable de la commande publique de Savigny-sur-Orge.

La question de l'habilitation des agents pour la mise en ligne et le téléchargement des offres se pose et impliquera a minima une formation spécifique. L'encadrement juridique devra être très précis. La double démarche open data et RGPD impliquera de mener des études d'impact pour définir le niveau de sensibilité des données, la mise en place d'un référentiel de sécurité avec, par exemple, l'élaboration d'une charte utilisateur pour sensibiliser les agents et les prestataires ; une politique de conservation et d'archivage devra également être formalisée.