Les Philippines débattent depuis des années de la confidentialité des données, de la cybersécurité, du cloud computing et de l’administration numérique. Pourtant, une question fondamentale est souvent restée sans réponse : le gouvernement sait-il réellement quelles données il détient, à quel point ces données sont sensibles et quel niveau de protection chaque jeu de données exige ?

Le décret exécutif n° 119, intitulé “Updating the Government Data Classification, Establishing a Data Residency Framework, and for Other Purposes,” part de cette préoccupation. Son importance ne se limite pas à déterminer où les données publiques peuvent être stockées. Plus fondamentalement, il impose aux agences d’identifier les informations qu’elles détiennent, d’évaluer les dommages susceptibles de résulter d’un usage abusif ou d’une divulgation non autorisée, et d’appliquer des protections proportionnées au risque. Un gouvernement ne peut pas protéger des données qu’il n’a pas correctement identifiées.

EO 119 répartit les informations gouvernementales en deux grandes catégories : Restricted Access Data et Open Access Data. Restricted Access Data désigne les informations qui doivent être protégées parce qu’une divulgation non autorisée pourrait porter atteinte à la sécurité nationale, aux opérations gouvernementales, à l’intérêt public ou à des personnes. Open Access Data couvre les informations qui ne relèvent pas de ces catégories protégées.

La méthode compte davantage que les étiquettes. Les agences doivent dresser l’inventaire des données dont elles ont la garde, réaliser des évaluations des risques et des impacts, attribuer la classification appropriée et réexaminer ces classifications au fil du temps. Lorsque les circonstances changent, les données peuvent être déclassées à un niveau inférieur ou déclassifiées. La classification, la base juridique et l’évaluation des risques doivent également être inscrites dans un registre gouvernemental.

Cela marque une évolution nécessaire : ne plus traiter la classification comme un simple tampon apposé sur un document, mais comme un processus continu de gouvernance. La sous-classification comme la surclassification comportent des risques. Une classification insuffisante peut exposer l’État à des failles de sécurité, à la fraude, à des violations de la vie privée et à des perturbations opérationnelles. Une classification excessive peut entraver la transparence, ralentir le travail entre agences et rendre plus difficile l’accès légitime du public. L’objectif doit être la précision.

Le décret relie également, à juste titre, la résidence des données à leur classification. Les données Top Secret et Secret doivent généralement rester sur le territoire philippin ou dans d’autres territoires placés sous la souveraineté ou la juridiction des Philippines. Les données Confidential sont soumises à un traitement similaire, même si le stockage ou le traitement à l’étranger peut être autorisé dans le cadre de procédures d’approbation strictes et de garanties appropriées. Les informations gouvernementales moins sensibles peuvent être conservées sur des plateformes cloud sécurisées, à condition que le chiffrement et des contrôles des risques soient en place.

Cette approche est plus pratique que l’obligation de conserver toutes les données gouvernementales à l’intérieur du pays. Un dossier de sécurité nationale ne devrait pas être traité de la même manière qu’un rapport statistique publié. Un cadre fondé sur les risques permet au gouvernement d’aligner les exigences de sécurité sur la sensibilité réelle des informations, plutôt que de s’en remettre à des restrictions générales. Il peut aussi améliorer les achats technologiques en donnant aux agences une base plus claire pour décider si les informations doivent relever d’une plateforme souveraine, d’un cloud privé, d’un service cloud commercial ou d’un système public ouvert.

Les implications économiques sont également importantes. Des informations mal classifiées créent de l’incertitude. Les agences hésitent à partager des données, les projets cloud subissent des retards, les fournisseurs se heurtent à des exigences incohérentes et les initiatives de données ouvertes stagnent parce que les responsables ne savent pas précisément ce qui peut être rendu public. Un cadre cohérent peut rendre les achats de services cloud plus prévisibles, améliorer le partage des données et fournir aux prestataires de services des normes plus claires.

Il peut aussi soutenir la position des Philippines dans l’économie numérique de l’ASEAN. Un pays qui cherche à jouer un rôle plus important dans les services cloud, les centres de données, la cybersécurité et les services numériques a besoin de plus que d’infrastructures. Il lui faut aussi des règles crédibles encadrant les informations qui transitent par ces infrastructures. En ce sens, la classification n’est pas distincte de la transformation numérique ; elle en est une condition préalable pour décider quels systèmes peuvent être ouverts, lesquels doivent rester restreints et quelles garanties doivent accompagner la modernisation.

La mise en œuvre sera toutefois le principal défi. La tâche la plus difficile ne consistera pas à produire des registres ou des modèles, mais à développer un jugement solide au sein des agences. Les responsables doivent être capables de distinguer les véritables préoccupations de sécurité de la prudence bureaucratique. Ils doivent éviter de classifier des informations simplement pour se soustraire à l’examen public, tout en veillant à ce qu’un accès ouvert légitime n’affaiblisse pas les protections nécessaires.

EO 119 crée un Joint Oversight Committee for Data Classification, coprésidé par le Department of Information and Communications Technology et le National Security Council, et donne aux agences trois ans pour parvenir à une conformité complète. Cette période de transition ne devrait pas devenir un vaste exercice de réétiquetage. La qualité des inventaires des agences, des évaluations des risques et des examens ultérieurs comptera autant que le respect formel de l’échéance.

L’objectif n’est pas de créer davantage de tampons, de dossiers et de rapports. Il s’agit d’améliorer la manière dont le gouvernement comprend et gouverne l’information. Le décret exécutif n° 119 porte en définitive sur la discipline institutionnelle : avant que le gouvernement puisse protéger des données, les déplacer, les partager ou les utiliser pour l’intelligence artificielle, il doit d’abord savoir ce que sont ces données.

C’est peut-être l’un des aspects les moins spectaculaires de la transformation numérique, mais il pourrait aussi figurer parmi les plus importants.

Les opinions exprimées ici sont les siennes et ne reflètent pas nécessairement celles de son bureau ni celles de FINEX.

Joel Luis E. Dabao est président de Kabankalan Community Antenna Television (K-CAT, Inc.), un important fournisseur de services de câble et d’internet basé à Kabankalan City, Negros Occidental. Sous sa direction, l’entreprise est devenue un pilier de la connectivité dans le sud de Negros.