Mise à jour le 6 février à 9:13 : ajouts des réactions de l'association Ouvre-boîte contactée par Next.

Article publié initialement le 5 février à 15:06

Parcoursup et la demande de publication de son code source, c'est maintenant une longue histoire. Déjà, en 2018, Next INpact saisissait la CADA pour y avoir accès. En vain, en tout cas pour l'intégralité du code.

Pourtant, le gouvernement qui a mis en place la plateforme avait promis de publier le code de cette plateforme qui concerne tous les lycéens de France. « La totalité des algorithmes seront publiés », affirmait sur Public Sénat le 24 avril 2018 Frédérique Vidal, ministre de l'Enseignement supérieur et de la recherche de l'époque.

99 % du code non publié en 2020 selon la Cour des comptes

Une partie du code a, certes, été publiée (accessible maintenant sur un Gitlab hébergé sur un sous-domaine de mim-libre.fr possédé par le ministère de l'Éducation après avoir déménagé du Gitlab de Framasoft).

Mais pour l'association Ouvre-boîte, elle n'est que la partie émergée de l'iceberg. D'une part, il reste les fameux « algorithmes locaux » de sélection des étudiants, le conseil d'État s'étant opposé à leur publication.

D'autre part, comme le faisait remarquer la Cour des comptes en février 2020 dans un premier bilan de la loi qui a créé Parcoursup [PDF], « à ce jour, une très faible partie du code de Parcoursup a été rendue publique. Le code publié par le MESRI le 21 mai 2018 représente au plus 1 % du nombre de lignes de code et moins de 2 % des fichiers produits dans le cadre de l’exercice des missions dévolues à l’opérateur de la plateforme ».

En particulier, l'analyse du code faite par la Cour des comptes dans le tableau ci-dessous, relevait que la plupart du code SQL n'était pas publié.

Relance de la procédure par Ouvre-boîte

L'association Ouvre-boîte s'est appuyée sur ce constat de la Cour des comptes pour faire une nouvelle demande du code source SQL complet de Parcoursup au ministère en juin 2020, puis a saisi la CADA deux mois après.

Ces demandes n'ayant pas reçu de réponse, l'association a déposé une requête auprès du Tribunal administratif de Paris en octobre 2021 (finalement, la CADA a donné un avis favorable début 2022 mais le ministère n'a pas répondu).

Ouvre-boîte rappelait dans sa requête que le Code des relations entre le public et l'administration prévoit que « sont considérés comme documents administratifs, au sens des titres Ier, III et IV du présent livre, quels que soient leur date, leur lieu de conservation, leur forme et leur support, les documents produits ou reçus, dans le cadre de leur mission de service public, par l'État, les collectivités territoriales ainsi que par les autres personnes de droit public ou les personnes de droit privé chargées d'une telle mission. Constituent de tels documents notamment les dossiers, rapports, études, comptes rendus, procès-verbaux, statistiques, instructions, circulaires, notes et réponses ministérielles, correspondances, avis, prévisions, codes sources et décisions ».

Des vulnérabilités qui porteraient « atteinte à la sécurité des systèmes d’information de l’administration »

Mais deux ans après, le tribunal administratif a donné raison au ministère. Dans sa décision [PDF], la cour justifie son refus par le fait que « des recommandations du prestataire externe en cybersécurité du ministère chargé de l’enseignement supérieur, en date du 7 septembre 2022 », expliquent que « la publication en ligne du code source complet de l’application Parcoursup en laisserait apparaître les vulnérabilités et serait, ainsi, susceptible de porter atteinte à la sécurité des systèmes d’information de l’administration ».

Le média Acteurs Publics s'est procuré une note [PDF] sur laquelle s'est appuyé le ministère pour justifier cette position. Elle est rédigée par le responsable du pôle national de compétence en sécurité des systèmes d’information du ministère de l’Éducation nationale.

Obscurité et confidentialité, une nuance peu visible

Dans cette note, il se justifie d'utiliser « la sécurité par la confidentialité comme moyen de défense en profondeur » pour Parcoursup et insiste pour que celle-ci ne soit pas confondue avec la « mauvaise pratique appelée sécurité par l’obscurité ». La différence (peu convaincante) serait dans les buts qui diffèrent entre l'une et l'autre.

Résultat, il juge que « dans le cas de Parcoursup, cette divulgation [du code] correspond à une prise de risques qui n’apporte rien au regard de la nécessaire transparence vis-à-vis des usagers ». C'est en tout cas le même résultat qu'avec la sécurité par l'obscurité : le code n'est pas publié.

Interrogée par Next, l'association Ouvre-boîte n'est pas étonnée par le jugement : « Nous ne sommes pas surpris par la décision du tribunal administratif, le secret de la sécurité des systèmes d’information de l’administration étant un de ces secrets aux contours flous, qu'il est facile d'invoquer de la part d'une administration. Ce secret a ceci de pernicieux (ce n'est pas le seul) qu'il protège davantage les codes sources et les bases de données de mauvaise qualité. Il désincite donc les administrations à adopter de bonnes pratiques en matière de systèmes d'information ».

Sur le réseau social X, anciennement Twitter, le député Renaissance Éric Bothorel a réagi d'un « c’est pas le pire argument de l’année ça ?  ».

À nos confrères de l'Informé qui ont publié un article début décembre sur le sujet, Michel Blancard, administrateur et fondateur d’Ouvre-boîte, a expliqué que l'administration s’est engagée, à l'audience, à publier le code en intégralité d’ici décembre 2029. L'association précise à Next que cette publication devrait se faire progressivement d'ici là, selon le représentant du ministère au tribunal.

Ouve-boîte ajoute, dans sa réponse à Next, qu' « il est regrettable que, six ans après la promesse présidentielle d'ouvrir ce code source, le ministère de l'Enseignement supérieur ne soit pas en mesure de réaliser cette dernière ».