Bienvenue dans l’usine d’API des autorités publiques

Depuis septembre 2017, Barbara Van Den Haute est administratrice générale d’Informatie Vlaanderen et s’est fixé deux ambitions : ‘no wrong door’ et ‘API first’. La première priorité vise à permettre aux citoyens, aux entreprises et aux associations de trouver rapidement, et si possible par n’importe quelle voie, les informations qu’ils recherchent auprès d’une administration.

L’objectif final est de créer un seul profil de citoyen qui comportera l’ensemble des informations dont disposent sur lui les autorités, ce qui évite de devoir les réintroduire et les redemander à chaque fois. Quant à ‘API first’, il vise à ce que toutes ces données soient disponibles sur chaque site public et, à terme, dans des applications tierces également. ” Jusqu’ici, la tendance était de stocker tout dans un service spécifique ou un e-guichet, en ne reprenant que les informations de ce service. Du coup, de très nombreux citoyens avaient une approche ‘stop-and-go’. C’est pourquoi nous avons bâti le profil ‘Mon citoyen’, un ‘plug-in’ que nous proposons à l’ensemble des organismes publics, également aux niveaux fédéral et local. ”

Une sorte d’ITSME flamand ?

VAN DEN HAUTE : Non, l’ITSME est un système d’accès, mais celui-ci permet d’accéder à son profil ‘Mon citoyen’. Il faut le voir comme une espèce de passeport de vie privée qui intégrera à terme l’ensemble des données sur une personne, y compris les dossiers en cours. Par exemple, les données sur vos diplômes, si vous êtes administrateur d’une société, les bourses d’étude et l’évolution d’un dossier. Il sera possible de consulter ses attestations sous forme numérique, ce qui évitera de devoir se rendre à l’administration locale pour les obtenir, tandis qu’il sera possible de signaler une erreur. Nous le lançons dès maintenant, même si nous ne disposons pas encore de toutes les données de l’administration flamande.

Quel est le lien avec ce que les villes et communes proposent aujourd’hui dans leur e-guichet ?

VAN DEN HAUTE : Le profil ‘Mon citoyen’ est un bouton d’information que l’on retrouvera non seulement sur les sites web de l’administration flamande, mais aussi dans les administrations communales. Courtrai et Gand sont les projets pilotes à ce niveau étant donné qu’elles y intègrent leurs processus opérationnels et l’eBox fédérale. Celui qui, en tant que Courtraisien, doit payer une amende administrative ou reçoit un rappel de la bibliothèque y retrouvera ces documents. Tout citoyen de Courtrai ou de Gand pourra accéder à toutes les administrations. C’est ce que nous appelons le ‘no wrong door’, une approche qui donne une vue complète et assure un contrôle rigoureux. Nous entendons donc rendre l’information à son vrai propriétaire, à savoir le citoyen.

Que faut-il entendre par ‘API first’ ?

VAN DEN HAUTE : A l’avenir, nous entendons mettre également ce profil de citoyen à la disposition de tiers, ce qui permettra par exemple de consulter ses données dans l’appli de votre banque. Mais j’insiste sur le fait que nous ne sommes pas prêts et que les discussions sont toujours en cours.

Pourquoi dans l’appli d’une banque ?

VAN DEN HAUTE : Si vous avez une vie calme, vous n’entrez que rarement en contact avec une administration. Dès lors, votre profil de citoyen ne contiendra que peu d’informations. Mais quelle est l’appli que l’on consulte souvent ? Celle d’une banque. Nous voulons faire en sorte que les API contenant des informations sensibles en termes de vie privé, précisément puisque nous pouvons les sécuriser, puissent être supportées. Si le citoyen demande que ses données soient disponibles dans une telle appli, nous devons pouvoir le faire. Mais cela exige au niveau du secteur public une stratégie claire en matière d’API avec une standardisation et de nombreux contacts avec des développeurs de logiciels pour savoir ce que nous pouvons offrir.

Qui détermine jusqu’où aller ? L’administration donnera-t-elle l’autorisation ou le citoyen pourra-t-il choisir ?

VAN DEN HAUTE : C’est ce que nous analysons pour l’instant, notamment avec imec. Peut-être opterons-nous pour la certification ou une autre technique. Les mutuelles ouvrent aujourd’hui leur dossier médical, alors qu’il s’agit en fait du secteur privé.

Où fixer la limite ? Une entreprise belge comme Doccle sera-t-elle autorisée ? Et quid d’un concurrent américain ? Ou Facebook qui pourrait convaincre des citoyens d’autoriser l’accès à leur profil de citoyen ?

VAN DEN HAUTE : C’est là une question que nous devons régler d’urgence. Mais il ne s’agit évidemment pas du seul point dans notre stratégie API. Nous voulons d’abord définir un standard pour ces API relatives aux données sur la vie privée et leur mode de diffusion. Veillez à ce que la porte s’ouvre toujours de la même manière. Mais il ne faudrait pas imaginer que cette ‘API first’ est aujourd’hui une réalité. Ces 5 dernières années, nous avons beaucoup travaillé sur les données ouvertes. Ces API sont certes dès à présent disponibles. Ainsi, Waze et De Lijn utilisent notre API d’embouteillages pour intégrer dans leur itinéraires les travaux ou manifestations planifiés. Nous proposons aussi beaucoup d’informations sur les zones inondables. Même les cartes de l’iPhone sont à présent, du moins en Flandre, basées largement sur les API d’Informatie Vlaanderen. Mais pour les données sensibles en termes de vie privée, nous n’avons pris conscience du problème qu’avec la directive ‘open bank’ [PSD2, depuis début 2018, NDLR] qui permet aux banques de partager de l’information sur les comptes bancaires. Une telle évolution va donc se propager à d’autres domaines.

Ces dernières années, il a beaucoup été question de données ouvertes, et dans le futur, le débat s’étendra donc aux données plus personnelles.

VAN DEN HAUTE : La stratégie API en tant que point de départ de notre feuille de route sera prochainement finalisée. Par la suite, nous définirons quelques jalons majeurs comme un standard sémantique et technique, l’utilisation partagée d’une boutique d’API, la manière de communiquer avec des tiers, etc. L’objectif est d’en avoir terminé fin 2019. Et nous voulons marquer le coup, par exemple avec un concours de la meilleure API du secteur public. Il s’agit d’un processus évolutif qui consiste à enrichir le profil du citoyen. Nous avons en somme notre propre boutique d’applis et il appartient désormais aux entités du secteur public de l’enrichir afin que le citoyen ait véritablement une vue complète de l’ensemble des données des différents services, ce qui permettra à d’autres départements de les réutiliser.

Y arriverez-vous rapidement et facilement ?

VAN DEN HAUTE : Au niveau du partage des données, je ne me fais pas d’illusions. Nous devons nous battre pour que le profil de citoyen couvre la totalité du secteur public. Si nous y arrivons, ce sera un grand pas en avant.

Les API que propose Informatie Vlaanderen sont-elles toutes gratuites ? Ou faut-il une compensation pour le travail fourni ?

VAN DEN HAUTE : Le principe est que les données ouvertes sont gratuites. Mais nous avons évidemment des budgets et l’on constate que les données ouvertes ont énormément de succès. La plupart sont stockées dans Azure et nous devons bien constater que nos coûts augmentent du fait de notre popularité. Nous devrons donc à un moment donné trouver une solution.

Aujourd’hui, le service est gratuit, mais le restera-t-il à terme ?

VAN DEN HAUTE : Il s’agit d’une évolution qui n’est pas tenable. Nous ne savons même pas qui accède aux données étant donné qu’il s’agit de données ouvertes. Cela dit, il y a une différence entre les données ouvertes et les API intégrés dans un processus organisationnel, par exemple pour des hôpitaux ou des notaires. Ceux-ci vont devoir payer pour y accéder.

Si Informatie Vlaanderen construit des solutions, travaille-t-elle seule ou regardez-vous les offres disponibles commercialement ?

VAN DEN HAUTE : Si un produit est disponible ‘off the shelf’, nous ne le développerons jamais nous-mêmes. Nous travaillons de manière complémentaire en nous tournant vers des produits qui n’intéressent pas le secteur privé pour des questions de risque ou qui sont trop complexes au niveau du respect de la vie privée. Mais il est possible que l’équipe soit constituée en partie avec des membres extérieurs, par exemple un ‘product owner’ en interne, mais un développeur scrum externe. Traditionnellement, tout était développé en interne, le cas échéant avec du ‘boddyshopping’, mais les choses changent.

Au-delà des API et des processus numériques, regardez-vous aussi de nouvelles technologies comme la chaîne de blocs et l’IA ?

VAN DEN HAUTE : Outre nos programmes classiques, notre mission consiste aussi à faire office d’inspirateur de l’administration flamande pour certaines technologies.

Y a-t-il déjà des projets concrets à cet égard ?

VAN DEN HAUTE : Nous menons depuis un an déjà des tests en IA, mais force est de constater que ce n’est pas encore suffisamment ‘as-a-Service’ pour nous. Nous devons encore trop mettre la main à la pâte pour obtenir un réel retour sur investissement. Du coup, nous allons attendre que des offres davantage commerciales soient disponibles plutôt que de dépenser l’argent du contribuable. Nous avons certes lancé des programmes de recherche et développement, mais nous ne sommes pas un institut de recherche. Notre rôle est de concevoir des solutions génériques qui permettront aux pouvoirs publics de se numériser. Cela dit, nous allons sans doute lancer un ‘chatbot’ pour la commission d’examen [l’ancien jury central, NDLR], mais ce projet nous a pris beaucoup d’énergie. Un agent de centre d’appels aurait sans doute été meilleur marché.

La chaîne de blocs est-elle davantage une réussite ?

VAN DEN HAUTE : A ce niveau, je suis davantage confiante, sachant que nous avons choisi la bonne stratégie en étant, en tant qu’administration publique, partie prenante d’une chaîne de blocs privée. Nous nous y intéressons pour la gestion des forêts. Quelle que soit la chaîne de blocs que l’on choisit, il faut régler les problèmes de gestion des identités et des accès, des certificats et des clés, ce que nous avons fait en espérant ainsi avoir une approche générique qui nous permettra de réutiliser nos acquis dans d’autres projets de chaîne de blocs.

Quel est l’avantage d’appliquer la chaîne de blocs à un domaine comme la gestion des forêts ?

VAN DEN HAUTE : Nous pouvons atteindre un objectif d’efficacité. Si la gestion des forêts est un processus relativement intensif et lourd administrativement, nous avons constaté un gain d’efficacité de 20% grâce au fait que de nombreuses informations sont enregistrées de manière décentralisée comme ‘source unique de vérité’. Cela dit, il faut souvent faire des allers-retours entre Bruxelles et les gestionnaires. Si les faits peuvent être discutés, la chaîne de blocs peut être appliquée à un tel système.

L’administration flamande travaille-t-elle seule ou avec des partenaires ?

VAN DEN HAUTE : Un projet pilote d’envergure a été mis en place par Accenture, tandis que la mise en production de la plate-forme a été confiée à la néerlandaise EBPI. Pour un autre projet, baptisé Blockchain on the Move et relatif à l’identité auto-gérée, nous travaillons avec Jolocom, une start-up berlinoise. Cela dit, nous déployons aussi un réseau de chaîne de blocs mature et performant d’entreprises flamandes. Pour ces deux initiatives, nous avons opté pour des partenaires différents, tandis que d’autres projets sont en cours avec notamment TheLedger, Kunstmaan et Trace. Par ailleurs, nous avons entamé avec Validata un projet d’identités auto-gérées pour les entreprises. A ce niveau, nous collaborons avec des secrétariats sociaux, des banques, le groupe Isabel et l’agence flamande pour l’innovation et l’entreprise. Les entreprises doivent communiquer beaucoup d’informations à différentes parties. Pour leur part, les banques ont adopté le principe du ‘know your customer’ [qui oblige les banques à connaître l’identité, mais aussi les risques, de ses clients, NDLR]. L’idée est que les banques peuvent valider une partie des données, après quoi d’autres acteurs peuvent les exploiter. Pas vraiment les données elles-mêmes, mais un ‘cachet’. Par exemple, pour savoir s’il y a suffisamment d’argent ou non sur un compte. Une administration ne doit pas forcément savoir de combien il s’agit, mais bien s’il y a des dettes par exemple. Des déclarations d’intention existent autour de ce projet et, lorsque les acteurs seront d’accord sur le modèle opérationnel, un consortium sera créé.

La plupart des projets en matière de données ouvertes passent par Azure. Que peut-on mettre dans un cloud public et que garder dans un cloud privé ?

VAN DEN HAUTE : Notre coeur d’activité est la Banque-Carrefour de Flandre qui contient énormément de données sensibles en termes de vie privée. A ce niveau, nous restons sur une solution sur-site. Pour les autres données, nous choisissons le cloud public pour sa disponibilité et sa résilience. Pour ‘Mon profil citoyen’, où l’on retrouve 6 millions de Flamands, nous avons construit une solution dans AWS avec toutes sortes de cryptage et d’autres mesures vérifiées par des superviseurs autorisés. Mais ce système ne renferme pas de données proprement dites, mais des services et une couche applicative. Ce faisant, nous construisons des passerelles qui sont certes dans le cloud, mais pas les données. Une partie est donc dans le cloud public, mais le coeur reste privé.

S’il faut en croire les fournisseurs de clouds publics, ceux-ci sont pourtant fiables et sécurisés.

VAN DEN HAUTE : Certes, mais nous ne parvenons pas à faire passer ce message. Nous devons être l’interlocuteur fiable de toutes les agences et administrations locales et il est très difficile de réexpliquer à chaque fois la situation. En outre, il est indispensable de savoir où se trouvent nos données. Notre vision est la suivante : conserver dans notre ‘forteresse’ notre coeur d’activité, tout en permettant un accès aisé, d’où le recours au cloud. D’un point de vue géographique, c’était surtout Azure, mais pour des raisons de vie privée, nous utilisons désormais surtout AWS.

Quels sont les principaux défis que doit relever Informatie Vlaanderen ?

VAN DEN HAUTE : La culture. La technologie peut résoudre beaucoup de choses, mais nous sommes encore trop souvent confrontés à une culture du ‘ce sont mes données’. Non, ce sont les données des citoyens et il est de notre devoir de les leur offrir sous une forme pratique ou de déployer des systèmes, notamment basés sur la chaîne de blocs, pour les rendre accessibles. Si nous voulons vraiment être une usine d’API qui soit également ouverte au secteur privé et à la société civile, une administration qui vit au coeur de la communauté, nous devons changer de culture. Les données que gère l’administration ne lui appartiennent pas, mais bien aux citoyens, aux entreprises et aux associations. C’est cette mentalité qu’il faut adopter.