Gouvernance des données

Dans la course engagée pour lutter contre la COVID-19, le monde est confronté à de nouvelles demandes de données pour suivre la propagation du virus, rechercher les contacts et développer des vaccins. Les systèmes de santé ont besoin de partenariats et d’accords de partage des données avec différentes parties prenantes. Les gouvernements ont besoin de données pour lutter contre le virus et doivent donc coopérer avec le secteur privé, des groupes non gouvernementaux et des organisations multinationales. Si les données collectées et passant d’un pays à l’autre sont de plus en plus nombreuses et prometteuses pour la lutte contre la maladie, elles présentent aussi davantage de risques, notamment pour la vie privée. Tous ces défis nécessitent de nouvelles règles et une nouvelle gouvernance. Comment les institutions s’organisent-elles pour faire face à ces nouvelles exigences ?

Qu’est-ce que l’écosystème de la gouvernance des données ?

La pandémie de COVID-19 souligne clairement la nécessité d’améliorer les institutions et la gouvernance des données pour gérer le flux toujours croissant de données dans le monde. Le rôle de la gouvernance des données est double : d’une part, contrôler les risques en assurant la sécurité, l’intégrité et la protection des données et des systèmes et, d’autre part, les valoriser en établissant des règles et des normes techniques pour assurer le transfert, la combinaison et l’échange des données de manière plus efficace.

Ces paliers de gouvernance créent un climat de confiance autour de la façon dont les données sont produites, collectées, traitées et utilisées. La gouvernance des données va au-delà de leur bonne gestion. Elle établit également des normes et des règles concernant les droits, les principes et les obligations liés à l’utilisation des données.

Ces principes, stratégies, politiques, lois, règlements et normes de gouvernance des données sont élaborés par les institutions et les acteurs de l’écosystème des données. Cet écosystème s’étend au-delà des gouvernements jusqu’aux acteurs non gouvernementaux, y compris les organisations de la société civile (OSC), le secteur privé, les universitaires et d’autres acteurs qui ont un intérêt et donc un rôle à jouer dans la façon dont les données devraient être gouvernées.

L’adoption d’une approche multipartite de la gouvernance des données fondée sur la collaboration, la coordination et le renforcement mutuel permet de donner vie au contrat social. Les entités du secteur public, les acteurs non gouvernementaux et d’autres parties prenantes peuvent travailler ensemble pour développer l’infrastructure, les règles et les normes permettant de tirer le meilleur parti des données de manière équitable, transparente et responsable. Ainsi, les institutions sont un moteur essentiel des données pour le développement.

Pour que ces objectifs soient atteints, les institutions et les acteurs de l’écosystème de la gouvernance des données doivent avoir la capacité, les ressources et les incitations nécessaires pour remplir leurs rôles et valoriser les données.

Que font les institutions ?

Les institutions sont les premières responsables de l’élaboration et de la mise en œuvre des cadres de gouvernance des données. Elles peuvent prendre de nombreuses formes, notamment celle d’acteurs étatiques et non étatiques. Cette forme varie considérablement d’un pays à l’autre. Dans le secteur public, les principaux acteurs sont les instituts nationaux de la statistique (INS), les départements, les agences et les unités qui élaborent et mettent en œuvre les politiques et pilotent le changement, les autorités chargées de la protection des données, les agences de cybersécurité et les organismes de normalisation.

Pour concevoir et mettre en œuvre des cadres de gouvernance des données de façon efficace, les institutions doivent assumer de nombreuses fonctions, lesquelles peuvent être regroupées en quatre catégories : planification stratégique, élaboration et mise en œuvre de règles, conformité, et apprentissage et données probantes. Les institutions qui assument ces fonctions varient considérablement à travers le monde, et leur configuration optimale dépend des conditions locales et des structures organisationnelles.

Institutions de planification stratégique

Afin de maximiser l’utilisation des données au service du développement, une approche stratégique descendante est nécessaire pour intégrer l’utilisation des données dans la prise de décision. L’un des principaux aspects de cette planification stratégique consiste à élaborer une stratégie de gouvernance des données pour l’ensemble des entités gouvernementales et non gouvernementales..

Les autres fonctions principales des institutions de planification stratégique consistent à élaborer des plans pour exploiter les données de manière éthique et à concevoir des mécanismes institutionnels nationaux. Il peut ainsi s’agir d’identifier les entités gouvernementales qui doivent être créées ou désignées, ainsi que les indicateurs de performance clés permettant de mesurer l’efficacité des institutions à la lumière des résultats obtenus. Dans certains cas, cela prend la forme de la création d’une entité publique chargée des données, à savoir un organisme distinct ou une unité intégrée à l’administration.

Il est peu probable que les pays à faible revenu disposent d’une entité de gouvernance des données, et celle-ci est plus susceptible d’être intégrée dans un autre département.

« Aucun pays à faible revenu ne dispose d’une entité de gouvernance des données, contre 53 % des pays à revenu élevé. »

D’autres pays optent pour une approche décentralisée, avec un réseau de ministères, de départements et d’organismes qui se partage la responsabilité de la gouvernance des données, parfois par l’intermédiaire d’un institut national de la statistique.

Dans un cas comme dans l’autre, il est essentiel de veiller à ce que le programme d’action bénéficie d’un leadership de haut niveau et tire parti, dans la mesure du possible, d’un « champion des données » capable d’orienter les efforts de réforme et de promouvoir une culture de meilleure utilisation des données dans l’ensemble de l’administration. Les pays qui sont à l’avant-garde de la valorisation des données grâce à une meilleure gouvernance de ces dernières ont souvent de solides défenseurs de la valeur des données aux postes de pouvoir.

Les efforts de réforme du secteur public peuvent être soutenus par des organisations internationales et régionales qui cherchent à harmoniser les flux de données transfrontaliers. Le système de règles transfrontalières de protection de la vie privée (CBPR) de l’APEC offre une certification de la protection des données soutenue par les gouvernements qui permet la mise en œuvre du cadre de protection de la vie privée de l’APEC. Le cadre et le CBPR sont conçus pour soutenir la convergence réglementaire par le biais de règles transfrontalières et d’une coopération à l’application de ces dernières, tout en permettant aux pays d’adopter une législation relative à la protection des données au niveau national.

Institutions chargées de l’élaboration et la mise en œuvre des règles

La sécurité et la transparence étant des éléments importants de la gouvernance des données, des institutions chargées de fixer des règles sont nécessaires pour légiférer et réglementer l’utilisation des données. Les lois et règlements qu’elles créent servent à la fois de garanties et de moyens d’action. Les garanties protègent les droits, la sécurité et l’intégrité des données tout au long de leur cycle de vie. Les moyens d’action régissent la gestion, l’accès et le partage des données afin de maximiser leur impact.

Ces institutions sont également celles qui fixent les normes permettant de rendre les données universellement compréhensibles. Enfin, elles peuvent fournir des conseils et des précisions aux participants qui sont tenus de suivre leurs règles.

Au sein du secteur public, les institutions chargées d’élaborer les règles peuvent être spécifiques à un secteur. Par exemple, un ministère de l’économie numérique peut proposer une règlementation sur la classification des données, ou un régulateur du secteur des télécommunications ou du secteur bancaire peut élaborer des règles spécifiques concernant l’utilisation des enregistrements de données d’appel (CDR) ou des données financières, respectivement. Les organisations non gouvernementales peuvent également établir par exemple des normes pour l’interopérabilité des données et la cybersécurité.

Institutions qui assurent la conformité

Une fois que les règles sont en place, elles doivent être suivies. Les institutions chargées de la mise en conformité sont responsables de l’application des règles, de l’examen des plaintes, ainsi que de l’audit, de l’arbitrage et de la réparation de toute violation de ces règles. Dans le contexte de la protection des données, les institutions chargées de faire respecter les règles sont responsables de la conformité.

Elles peuvent prendre la forme d’une autorité nationale de protection des données — bien que dans les pays qui n’ont pas les ressources nécessaires pour créer une nouvelle entité, les institutions existantes puissent assumer ces fonctions. Les pays à faible revenu sont moins susceptibles de disposer d’une autorité de protection des données indépendante et active, même lorsque la loi nationale sur la protection des données prévoit sa création. Cela affecte la capacité des individus à faire valoir leurs droits conformément à la loi. Même lorsqu’une telle autorité existe, il est important de prévoir d’autres mécanismes de recours et de réparation par l’entremise des tribunaux.

« Seuls 24 % des pays à faible revenu ont mis en place des autorités de protection des données, contre 81 % des pays à revenu élevé. »

Institutions qui favorisent l’apprentissage et l’élaboration de politiques fondées sur des données probantes

Le dernier groupe de fonctions institutionnelles est celui de l’évaluation et de l’apprentissage. Il existe deux grandes catégories : le suivi et l’évaluation, tournés vers le passé, et l’apprentissage et la gestion des risques, tournés vers l’avenir.

Les institutions et les acteurs dont le travail porte sur le suivi et l’évaluation rétrospectifs jouent un rôle essentiel pour ce qui est de déterminer si les objectifs des stratégies et des politiques de gouvernance des données ont été atteints, et utilisent ces informations pour améliorer la qualité de la prise de décision et de la planification stratégique dans les cycles futurs. Ces institutions favorisent l’apprentissage et l’élaboration de politiques fondées sur des données probantes. Il peut s’agir d’agences nationales comme le Government Accountability Office (GAO), qui contrôle les activités du gouvernement fédéral américain.

La fonction d’apprentissage prospectif et de gestion des risques est essentielle dans un domaine comme la gouvernance des données, car de nouveaux problèmes et risques apparaissent très rapidement. Ces entités (souvent des OSC et des institutions universitaires) peuvent jouer un rôle crucial en aidant les gouvernements à aborder ces questions de manière proactive avant que les risques sociétaux ne se matérialisent, en utilisant des outils tels que la gouvernance anticipative et l’analyse prospective.

Nombre d’organisations indépendantes identifient et aident également à combler les lacunes dans l’élaboration des politiques ou la prestation des services publics. Par exemple, pendant la pandémie de COVID-19, l’université Johns Hopkins a décelé et comblé une lacune dans le suivi des données sur les cas, en mettant à disposition au niveau mondial sa base de données comme outil fiable basé sur des éléments probants à l’intention des décideurs responsables de la lutte contre le virus.

De quoi les institutions ont-elles besoin pour être efficaces ?

Les différents acteurs de l’écosystème de la gouvernance des données doivent avoir les caractéristiques et les ressources appropriées pour jouer efficacement leurs rôles respectifs.

Capacités techniques

Les institutions jouent souvent un double rôle dans la gouvernance des données : elles aident à élaborer et à mettre en œuvre des cadres de gouvernance des données, mais produisent et consomment également des données. Pour appréhender la valeur potentielle des données, nous devons comprendre comment les utiliser et les analyser. Par conséquent, Les institutions doivent disposer de ressources et de compétences suffisantes en matière de données.

Il faudra des compétences spécialisées pour assumer certains rôles. Par exemple, les employés d’une équipe d’intervention en cas d’atteinte à la sécurité informatique devront posséder des compétences techniques en cybersécurité, tandis que les agents d’une autorité de protection des données devront souvent justifier d’une combinaison de compétences en matière d’application de la loi et d’une compréhension des processus technologiques qui permettent les transactions de données.

En tant qu’utilisateurs de données, les fonctionnaires et les acteurs non gouvernementaux ont besoin de ressources et de formation pour leur permettre d’utiliser et d’analyser efficacement les données afin d’en exploiter la valeur potentielle. Au-delà de l’investissement dans les capacités techniques et la maîtrise des données par le personnel, les institutions doivent investir dans une infrastructure numérique adaptée pour favoriser la transition vers un mode de travail axé sur les données.

La maîtrise des données est particulièrement ténue au sein des organismes publics des pays à faible revenu et à revenu intermédiaire. Les salaires sont souvent plafonnés dans le secteur public, ce qui affecte leur capacité à concurrencer le secteur privé pour attirer les talents. Souvent, les OSC locales ou les entités du secteur privé peuvent renforcer la formation et les capacités des fonctionnaires par des ateliers autonomes ou un engagement continu. Lorsque les ressources locales font défaut, les organisations internationales à but non lucratif peuvent apporter leur aide, notamment par le biais de programmes d’accompagnement personnalisé, d’ateliers, de cours et de cliniques de projets de la GovLab Academy, qui visent à soutenir une meilleure utilisation des données pour trouver des solutions aux problèmes publics. Outre l’amélioration des compétences en matière de données, des initiatives à but non lucratif telles que les projets pilotes OPAL (Open Algorithms) de la Data Pop Alliance visent à soutenir des approches à intervenants multiples pour une meilleure utilisation des données, en réunissant des représentants des secteurs public et privé et de la société civile.

Une culture de l’innovation

Même lorsque les personnes les plus talentueuses ont accès aux meilleures infrastructures techniques et à des données utiles, l’innovation peut parfois être compromise par un obstacle plus intangible : la culture. Pour que les données améliorent la vie des populations les plus pauvres, leur utilisation doit obéir à des méthodes nouvelles et imaginatives. La politique et la prise de décision en vase clos peuvent souvent empêcher les pays de valoriser au maximum les données pour le développement. Pour être efficaces, les réformes de la gouvernance des données doivent être associées à des techniques de gestion du changement et de leadership collaboratif.

Sur le plan individuel, le personnel peut être incité à innover au moyen de primes, de salaires et de l’autonomie dans la prise de décision aux échelons inférieurs de la hiérarchie. L’évolution de la culture des données peut être encouragée par des hackathons et des concours. Par exemple, le ministère marocain de l’Économie, des Finances et de la Réforme administrative décerne chaque année un prix Emtiaz pour soutenir la concurrence entre les entités du secteur public et les prestataires de services qui développent des services électroniques innovants.

Autonomie

Pour être en mesure de gouverner l’écosystème des données, les institutions doivent être véritablement autonomes, tant sur le plan financier que juridique, ce qui est essentiel pour qu’elles puissent prendre les meilleures décisions sans subir aucune influence politique ou commerciale.

Outre l’autonomie fonctionnelle, certaines institutions ont besoin d’une indépendance formelle. Cela est particulièrement important pour les entités qui jouent un rôle dans l’application des lois et règlements, l’instruction des plaintes ou l’octroi de réparations aux plaignants. L’indépendance est essentielle dans le secteur public (par exemple, pour une autorité de protection des données ou un régulateur sectoriel). Il est tout aussi important que les fonctions de responsabilisation dans le secteur privé soient indépendantes des décideurs dans la hiérarchie de l’entreprise (par exemple, un responsable de la protection des données qui rend compte directement au conseil d’administration).

Comment assurer le bon fonctionnement de l’écosystème de la gouvernance des données

Pour que l’écosystème fonctionne bien, les institutions doivent travailler ensemble. Et tant les institutions prises individuellement que l’écosystème de gouvernance des données dans son ensemble doivent être considérés comme légitimes. On peut y parvenir de plusieurs façons, et chacune d’entre elles permet de renforcer le contrat social entre les utilisateurs de données.

Gagner la confiance du public

Le grand public fait partie de l’écosystème de la gouvernance des données, aussi bien en participant aux données qu’en demandant des comptes aux pouvoirs publics. La transparence contribue à faire en sorte que le public ait confiance dans l’intégrité des institutions, étant entendu que les possibilités de contrôle public peuvent renforcer cette confiance. Par exemple, le projet britannique Connected Health Cities à Manchester réunit un jury composé de citoyens pour entendre des témoignages d’experts avant d’approuver une approche retenue pour le projet.

Être inclusif

En tant que responsables de la gouvernance des données, les institutions sont souvent chargées de veiller à ce que les utilisateurs de données soient inclusifs. Les groupes marginalisés ont tendance à être exclus des méthodes traditionnelles de collecte de données, et l’implication des communautés locales est un moyen de résoudre ce problème. Par exemple, dans le bassin amazonien, une vaste initiative régionale de science citoyenne met en commun les connaissances et les efforts autochtones, locaux et internationaux pour étudier et protéger les systèmes d’eau douce de l’Amazonie.

Adopter une approche collaborative et multipartenaire en matière de prise de décision

Compte tenu du grand nombre d’utilisateurs de données et de participants impliqués, il convient d’intégrer une approche multipartenaire dans les systèmes de gestion et de gouvernance des données.

En Tunisie, la décision du gouvernement d’adopter une approche de leadership collaboratif pour rédiger son dernier décret sur les données ouvertes a constitué un changement important par rapport à ses efforts antérieurs infructueux qui avaient abouti à des initiatives cloisonnées et fragmentées et à des résultats limités. En réunissant plus de 50 fonctionnaires de toute l’administration publique tunisienne et plusieurs OSC, le gouvernement a pu recueillir des avis divers sur les options les mieux adaptées à inclure dans le décret. Ce processus de collaboration a été piloté par une unité des services du Premier ministre, ce qui a permis d’obtenir un soutien et une prise en main de haut niveau.

La création de données peut coûter cher, ce qui peut inciter à la thésaurisation pour gagner un pouvoir relatif. Sans une culture de la création et du partage des données, nous ne pourrons pas libérer tout leur potentiel.

Parfois, la meilleure façon de partager et de réutiliser les données est de les envoyer via des intermédiaires du traitement de données, qui peuvent les toiletter et les conditionner de manière cohérente. Ces intermédiaires peuvent créer un climat de confiance en facilitant le transfert sécurisé des données entre le gouvernement et les autres acteurs d’un système national.

Les intermédiaires du traitement de données peuvent souvent jouer un rôle déterminant dans les pays à revenu faible ou intermédiaire qui présentent des insuffisances dans leurs cadres de gestion des données ou qui disposent de mécanismes d’application faibles. Ils peuvent améliorer l’utilisation des données au profit du développement en reliant des ensembles de données et des utilisateurs de données qui seraient autrement cloisonnés. Par exemple, l’organisation non gouvernementale DataEthics.eu, fruit d’une collaboration entre le monde universitaire et la société civile, a élaboré une série de principes éthiques applicables aux données conçus à l’aide d’un cadre juridique européen et fondés sur des valeurs, en vue d’une adaptation et d’une utilisation volontaires par les fournisseurs de données, les intermédiaires du traitement de données et les utilisateurs de données de l’Union européenne (UE).

Assurer la coordination entre les parties prenantes

Eu égard au grand nombre de fonctions institutionnelles assumées par les différentes parties prenantes, la coordination est essentielle pour assurer le bon fonctionnement du réseau.

Créé en 2019, le Comité central de gouvernance des données du Brésil est chargé de piloter la transition du pays vers un secteur public axé sur les données en favorisant le partage des données entre les agences fédérales et en intégrant les renseignements concernant les citoyens dans une plateforme unique (Registre de base du citoyen). Ce comité a été mis en place par décret présidentiel comme une entité distincte chargée d’assurer une collaboration et une coordination de haut niveau des activités de gouvernance des données.

La coordination peut également produire d’énormes avantages directs pour le développement en évitant les doublons et en facilitant le partage sécurisé des données. Différents ministères et organismes gouvernementaux collectent, gèrent et utilisent une multitude de sources de données, notamment les déclarations d’impôts, les résultats de programmes sociaux et de la recherche, les statistiques sur la consommation de combustibles, les données sanitaires, les flux migratoires, les cartes géospatiales, la gestion des terres, les inventaires des cultures et les activités/programmes des entreprises. Le regroupement de ces sources de données accroît leur capacité à aider ceux qui en ont le plus besoin en améliorant les décisions politiques et l’efficacité de la prestation de services. Pour que ces gains d’efficacité ne créent pas de risques pour les utilisateurs, il est essentiel de veiller à ce que les garanties appropriées soient en place pour assurer la sécurité et l’intégrité des données et protéger les données à caractère personnel et les droits associés des personnes concernées.