Collectivités et acheteurs publics : que masquer avant de publier décisions et marchés

Avant de mettre en ligne une délibération, un procès-verbal ou un dossier de marché, une collectivité ou un acheteur public doit masquer deux choses. D’abord les données privées des personnes. Ensuite les secrets d’affaires des candidats. Ce que le public a le droit de voir reste visible : la décision, l’attributaire et le prix total. Ce guide compare la France, l’Allemagne et l’Angleterre en octobre 2026. Il informe, il ne remplace pas un avis juridique.

Quels documents une collectivité ou un acheteur public doit-il publier en ligne ?

Quelles données personnelles se cachent dans ces documents ?

Un guide commun de la CNIL et de la Commission d’accès aux documents administratifs (CADA), de 2019, précise ce qui relève de la vie privée. Il cite notamment l’adresse, le téléphone, le patrimoine, les revenus (aides comprises), les coordonnées bancaires et la qualité de travailleur handicapé. Ces données surgissent dans les subventions, aides sociales, ventes de terrains, réclamations, appréciations d’agents, courriers signés et CV de candidats.

En France, des données à caractère personnel ne vont en ligne que dans trois cas. Soit la personne a donné son accord, soit une disposition législative le permet, soit une exception s’applique. Les exceptions figurent à l’article D. 312-1-3 du code des relations entre le public et l’administration (CRPA). Les élus qui s’expriment en cette qualité n’ont pas à être occultés dans un procès-verbal.

En Allemagne, le commissaire à la protection des données de Basse-Saxe (FAQ de janvier 2024) distingue deux systèmes. Le système public pour les citoyens ne doit contenir aucune donnée personnelle, contrairement au système fermé des élus. Publier des observations de riverains sur un plan d’urbanisme, avec nom et adresse, exige une base légale ou un consentement, qui ne se présume pas. Pour son homologue du Bade-Wurtemberg (texte du 4 février 2019), une ville ne pouvait pas publier de telles observations avec noms, adresses et courriels.

En Angleterre, le Local Government Transparency Code date de 2015 et cite l’ancien Data Protection Act 1998. Il indique que cette loi ne limite pas la publication d’informations sur les conseillers et les hauts responsables. Il ajoute qu’elle n’interdit pas d’office de nommer des fournisseurs, entrepreneurs individuels compris.

Que peuvent garder secret les candidats, et que doit rester public ?

En France, la fiche de la CADA de juillet 2018 sur les marchés publics classe les pièces en trois groupes. Les avis, le prix global de l’attributaire et la liste des candidats admis peuvent être montrés. La candidature de l’attributaire, l’acte d’engagement et les factures aussi, une fois les mentions protégées occultées : coordonnées bancaires, chiffre d’affaires, références hors marchés publics. Le bordereau des prix unitaires, la décomposition du prix, le mémoire technique, ainsi que les candidatures et offres détaillées des candidats évincés, restent exclus.

En Allemagne, le § 5 de l’ordonnance sur la passation des marchés (VgV) interdit en principe à l’acheteur de transmettre ce que les entreprises ont marqué comme confidentiel. Demandez donc aux candidats de marquer ce qui est secret. Offres et comptes rendus d’évaluation restent confidentiels après la procédure. Le § 39 impose quand même un avis d’attribution sous 30 jours. Des détails nuisant aux intérêts commerciaux légitimes ou à la concurrence loyale peuvent être omis. Ces deux règles valent au-dessus des seuils européens.

En Angleterre, le Procurement Act 2023 permet de retenir un secret d’affaires ou une information susceptible de nuire aux intérêts commerciaux. Un test d’intérêt public s’impose : l’intérêt à retenir l’information doit l’emporter sur sa divulgation (section 94). Selon les orientations, la construction du prix et les marges en sont des exemples. Mais la crainte d’une remise en concurrence ne justifie pas de cacher la valeur du contrat. L’avis doit indiquer que des informations sont retenues, et pourquoi.

Pourquoi les annexes sont-elles le piège principal ?

Claire Exemple, secrétaire de mairie, prépare une décision de deux lignes accordant une aide au logement. L’annexe est un scan de 30 pages : courriers de demandeurs avec nom, adresse, signature et RIB. La CADA rappelle qu’un acte se publie « dans son intégralité », annexes comprises, sans que cela annule l’obligation d’occulter. Une recherche de texte ne vous alertera pas : un scan ne contient aucun texte à chercher.

Que vérifier avant de publier ?

1. Gardez l’original signé intact dans le registre officiel. En France, les délibérations s’y conservent.
2. Travaillez sur une copie. Masquez page par page, annexes comprises, mais laissez visible ce que la loi garde public : la décision, l’attributaire, le prix total.
3. Contrôlez la copie. Essayez de sélectionner du texte sous chaque masque, lisez chaque page scannée et vérifiez à l’œil signatures et écriture manuscrite.
4. Notez ce que vous avez masqué et pourquoi, puis publiez seulement la copie masquée.

Surveillez aussi le format. Les règles françaises sur les actes locaux exigent un format non modifiable. Pour l’open data, la CADA indique que le format devrait en principe être exploitable par machine, pas un PDF « image ». Une copie reconstruite à partir d’images peut respecter la première règle, pas la seconde : demandez laquelle s’applique.

ONYRI Sanitize masque les documents dans votre navigateur, sans envoi du fichier. Il repère noms, IBAN, numéros d’identité et montants avec devise, comme les prix unitaires, et lit les scans (OCR). Adresses et identifiants d’entreprise dépendent du pays : en Angleterre, il trouve les codes postaux, pas les rues. Il ne sait pas ce qui doit rester public (attributaire, prix total) : décochez-les dans « Données détectées ». Nombres sans devise, signatures, écriture manuscrite : utilisez « Sélectionner du texte » ou « Tracer une zone ». L’export est sans texte recherchable.

Les règles changent et les cas diffèrent. Pour un document douteux, interrogez votre délégué à la protection des données ou votre service juridique. Ne devinez pas quand un nom ou un prix est en jeu.

Questions fréquentes

Sources et références