L’Éducation nationale devra bien dévoiler le code source de son Admission Post-Bac

En janvier 2015, la Commission d’accès aux documents administratifs (CADA) avait estimé que les codes sources de logiciels produits par l’administration étaient des documents administratifs comme les autres, qui doivent être communiqués à tout citoyen qui en fait la demande. À propos du logiciel de calcul de l’impôt sur le revenu de Bercy, qui a depuis été mis en ligne, la CADA notait que « les fichiers informatiques constituant le code source sollicité, produits par la direction générale des finances publiques dans le cadre de sa mission de service public, revêtent le caractère de documents administratifs ».

Pour inscrire cette jurisprudence dans le marbre, les députés ont explicité la communicabilité des codes source dans le projet de loi numérique, dont la version négociée en Commission mixte paritaire (CMP) doit être adoptée d’ici la fin du mois. Ils ont en outre prévu que les administrés sachent quand une décision qui les concerne a été prise par un algorithme. Mais il faut encore parfois se battre pour obtenir la copie de codes source de logiciels qui peuvent dévoiler des algorithmes politiquement chargés.

Ce code est, de ce fait, communicable à toute personne qui le demande

Ainsi Le Monde révèle que l’association Droits des lycéens a dû activer la CADA pour obtenir qu’elle indique, dans un avis communiqué au ministère le 16 septembre 2016, qu’elle était bien en droit d’obtenir la communication du code source de la plateforme Admission post-bac (APC), par laquelle sont déterminés les priorités d’inscription dans les filières d’enseignement supérieur, selon les vœux formulés par les futurs étudiants. Le logiciel a servi l’an dernier à orienter 800 000 candidats vers 12 000 formations différentes, selon des règles obscures et officieuses.

« Une règle de priorité fait passer en premier ceux de l’académie, puis, s’ils sont trop nombreux, ceux parmi eux ayant placé la formation en premier vœu. Un – très contesté – tirage au sort intervient en dernier recours. Les étudiants en réorientation passent après les néobacheliers. Voilà pour les critères utilisés, au moins officiellement, que l’association Droits des lycéens pourra vérifier en décryptant le code source », explique le quotidien. Le principe-même de fonctionnement du logiciel est remis en cause, alors que le ministère de l’éducation nationale reconnaît une « ambiguïté » juridique qui serait levée d’ici janvier 2017.

« La commission rappelle que le code source d’un logiciel est un ensemble de fichiers informatiques qui contient les instructions devant être exécutées par un micro-processeur. Elle estime que les fichiers informatiques constituant le code source ou algorithme sollicité, produits par l’Institut national polytechnique de Toulouse pour le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche dans le cadre de leurs missions de service public respectives, revêtent le caractère de documents administratifs, au sens de l’article L300-2 du code des relations entre le public et l’administration. Ce code est, de ce fait, communicable à toute personne qui le demande », écrit la CADA dans son avis daté du 23 juin 2016.

Un problème de sécurité ?

La CADA ne dispose pas du pouvoir de faire appliquer son avis, qui n’est pas juridiquement contraignant, mais il dispose d’un poids certain auprès des tribunaux administratifs qui auraient à le prendre en compte. L’association a donc prévenu qu’elle déposerait un recours d’ici un mois, si l’État décidait de passer outre. Dans son avis, la commission dit néanmoins prendre « note de l’intention de la ministre de l’Education nationale, de l’enseignement supérieur et de la recherche de procéder prochainement à la communication de ces documents au demandeur ».

Mardi, en conférence de presse, la ministre Najat Vallaud-Belkacem a réaffirmé sa volonté de publier le code source du logiciel. mais en pointant du doigt des difficultés de sécurisation des données des élèves.

On imagine que le code source ne contient aucune donnée personnelle, ce qui serait totalement contraire à toute logique de programmation (à moins d’imaginer que le logiciel soit refait à chaque rentrée…). Normalement, et évidemment, la base de données est séparée du logiciel qui la met en œuvre. En revanche, il est possible que l’accès à cette base ne soit pas correctement sécurisée, et que le code source donne des indices permettant à des hackers de comprendre comment y accéder.