OSINT et RGPD : où s'arrête la collecte légale sur une personne
Accessible ne signifie pas exploitable. La ligne entre OSINT légitime et collecte illicite de données personnelles est plus fine qu'elle n'y paraît.
- Une donnée publiquement accessible n'est pas pour autant librement réutilisable : le RGPD s'applique dès qu'elle concerne une personne identifiée.
- L'analyste doit pouvoir justifier une base légale, généralement l'intérêt légitime, et respecter la finalité, la proportionnalité et l'information de la personne.
- Certaines pratiques (contournement de paramètres privés, agrégation massive, données sensibles) basculent dans l'illicite et exposent à la CNIL comme à la victime.
- Enquêter sur des personnes pour autrui peut relever de l'activité réglementée d'agence de recherches privées soumise au CNAPS.
Le malentendu fondateur : public ne veut pas dire libre
Le cœur du métier repose sur une idée simple : exploiter des sources ouvertes. Beaucoup en déduisent qu'une information « publique » serait, par nature, librement collectable et réutilisable. C'est une erreur de droit. Dès qu'une donnée se rapporte à une personne physique identifiée ou identifiable, elle est une donnée personnelle, et le Règlement général sur la protection des données s'applique, que la source soit un profil de réseau social, un registre ou un article de presse.
Autrement dit, l'accessibilité technique ne crée aucun droit d'usage. Recopier une adresse trouvée sur un annuaire, agréger les publications d'une personne pour reconstituer ses habitudes, ou conserver un dossier nominatif constitue un traitement de données personnelles soumis aux principes du RGPD. La question n'est jamais « est-ce accessible ? » mais « ai-je le droit de traiter cette donnée pour cette finalité ? ».
L'OSINT ne se distingue pas du piratage par la difficulté d'accès à l'information, mais par la légitimité de son traitement. C'est une différence juridique, pas technique.
La base légale : la pierre angulaire qu'on oublie
Tout traitement de données personnelles doit reposer sur une base légale. Dans une mission de due diligence ou d'investigation, le consentement de la personne visée est par nature exclu : on n'enquête pas avec l'accord de l'enquêté. La base mobilisée est presque toujours l'intérêt légitime, par exemple celui d'un investisseur à connaître le profil d'intégrité d'un dirigeant avant un rachat.
Mais l'intérêt légitime n'est pas un blanc-seing. Il suppose un test de mise en balance documenté qui vérifie que :
- l'intérêt poursuivi est réel, actuel et licite ;
- le traitement est nécessaire à cet intérêt, sans moyen moins intrusif disponible ;
- cet intérêt ne porte pas une atteinte disproportionnée aux droits et libertés de la personne.
S'ajoutent la limitation des finalités (les données ne servent qu'à la mission), la minimisation (ne collecter que le strictement utile) et la limitation de conservation (ne pas garder un dossier indéfiniment). Faute de pouvoir justifier ce raisonnement, un analyste s'expose à une réclamation de la personne et à une procédure devant l'autorité de contrôle.
Les lignes rouges : quand l'OSINT bascule dans l'illicite
Plusieurs pratiques font sortir l'analyste du cadre licite, parfois sans qu'il en ait pleinement conscience :
| Pratique | Pourquoi elle pose problème |
|---|---|
| Contourner des paramètres de confidentialité ou un mot de passe | L'information n'est plus publique : on entre dans l'accès non autorisé à un système |
| Créer un faux profil pour entrer en contact avec la cible | Collecte déloyale, obtenue par tromperie |
| Agréger massivement et automatiser le scraping de profils | Traitement de grande ampleur souvent disproportionné, parfois contraire aux conditions des plateformes |
| Collecter des données sensibles (santé, opinions, orientation, religion) | Catégorie particulière au régime très restrictif, rarement justifiable en enquête privée |
| Conserver le dossier sans limite après la mission | Violation de la limitation de conservation |
Chacune de ces dérives peut transformer une mission légitime en infraction et nourrir une double exposition : une sanction administrative d'un côté, une action en réparation de la personne lésée de l'autre. C'est sur ce second terrain, l'atteinte aux droits d'un tiers du fait de votre prestation, que votre responsabilité civile professionnelle est susceptible d'intervenir, à condition que l'activité soit déclarée et que le manquement ne soit pas intentionnel.
Le statut oublié : enquêter pour autrui peut être une activité réglementée
Beaucoup d'analystes ignorent un point décisif : recueillir des informations sur des personnes pour le compte d'un tiers, en vue de défendre ses intérêts, peut relever de l'activité réglementée d'agent de recherches privées. Cette activité est encadrée et placée sous le contrôle d'une autorité dédiée, le CNAPS, avec des exigences d'autorisation, de moralité et de formation.
La frontière est subtile. Produire une note de synthèse à partir de sources ouvertes sur une entreprise relève souvent du conseil. En revanche, mener une véritable investigation ciblée sur le comportement, le patrimoine ou les fréquentations d'une personne déterminée, pour un client, glisse vers l'enquête privée réglementée. Exercer sans le titre requis expose à des sanctions et fragilise la couverture d'assurance, un assureur pouvant opposer l'exercice illégal d'une activité réglementée.
La prudence impose donc de qualifier précisément chaque mission : où se situe-t-elle entre veille, intelligence économique et investigation sur personne ? Cette qualification détermine à la fois le cadre réglementaire applicable et la déclaration d'activité à faire à votre assureur.
Construire une méthode défendable : la conformité comme actif
Loin d'être un frein, le respect du cadre est un argument commercial : un client sérieux préfère un rapport opposable à un dossier obtenu par des moyens contestables et inutilisable en cas de litige. Quelques réflexes structurent une pratique défendable :
- Documenter la base légale de chaque mission par un test d'intérêt légitime écrit, conservé au dossier.
- Tenir un registre des traitements recensant les finalités, les catégories de données et les durées de conservation.
- S'imposer une politique de purge : effacer les dossiers à l'issue d'un délai défini, sauf obligation contraire.
- Écarter par principe les données sensibles et les méthodes déloyales, et le mentionner dans la lettre de mission.
- Qualifier l'activité au regard de la réglementation des recherches privées avant d'accepter une investigation sur personne.
Cette discipline réduit le risque de réclamation et démontre votre sérieux le jour d'un contrôle. Pour relier ces obligations à la bonne couverture, votre fiche assurance analyste OSINT et due diligence précise les garanties à activer selon que vous faites de la veille, de l'intelligence économique ou de l'investigation sur personne.
Questions fréquentes
Pas automatiquement. Le caractère accessible d'une donnée personnelle ne vous autorise pas à la traiter librement. Vous devez disposer d'une base légale (le plus souvent l'intérêt légitime), respecter la finalité, la minimisation et la durée de conservation. La visibilité technique ne crée aucun droit d'usage au sens du RGPD.
L'intérêt légitime, par exemple celui d'un acquéreur à vérifier l'intégrité d'un dirigeant. Il faut le documenter par un test de mise en balance prouvant que le traitement est nécessaire, proportionné et qu'il ne porte pas une atteinte excessive aux droits de la personne. Sans cette justification écrite, le traitement est fragile.
Cela dépend de la mission. La veille et la synthèse de sources ouvertes sur une entreprise relèvent souvent du conseil. En revanche, l'investigation ciblée sur une personne déterminée, pour le compte d'un tiers et en vue de défendre ses intérêts, peut relever de l'activité réglementée soumise au CNAPS. Qualifiez chaque mission avant de l'accepter.
Une double exposition : une sanction administrative de l'autorité de contrôle pour le manquement au RGPD, et une action en réparation de la personne lésée pour l'atteinte à sa vie privée. La RC Pro peut intervenir sur le second terrain si l'activité est déclarée et le manquement non intentionnel, mais elle ne couvre pas une infraction délibérée.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Analyste OSINT et due diligence — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Analyste OSINT et due diligence →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.