OSINT et données personnelles

Ce guide donne des repères pratiques, il ne remplace pas l’avis d’un juriste. Pour un traitement sensible ou à grande échelle, faites valider votre démarche.

Public ne veut pas dire libre d’usage

C’est le contresens le plus répandu. Le fait qu’une information soit accessible ne la sort pas du droit. Dès qu’elle concerne une personne physique identifiable, directement ou indirectement, elle reste une donnée personnelle, et la collecter constitue un traitement au sens du règlement général sur la protection des données.

Le nom d’un dirigeant publié au registre du commerce est une donnée personnelle. Une adresse e-mail trouvée sur un site est une donnée personnelle. Un pseudonyme rattachable à quelqu’un l’est aussi.

Ce que le caractère public change : il rend l’accès licite. Ce qu’il ne change pas : vos obligations une fois l’information en main.

Il vous faut une base légale

Un traitement doit reposer sur l’une des bases prévues par le règlement. Pour une enquête, deux reviennent le plus souvent.

L’intérêt légitime. C’est la base habituelle d’une vérification de contrepartie ou d’une enquête interne. Elle suppose que vous ayez mis par écrit trois choses : l’intérêt poursuivi, le fait que le traitement soit nécessaire pour l’atteindre, et l’équilibre entre cet intérêt et les droits des personnes concernées. Ce document se prépare avant, pas après.

L’obligation légale. Elle s’applique quand un texte vous impose la vérification, par exemple en matière de lutte contre le blanchiment.

Le cas du journalisme est différent et fait l’objet d’aménagements spécifiques, détaillés plus bas.

Ne collectez que ce qui sert

Le principe de minimisation dit que les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Traduit dans une carte d’enquête, cela veut dire trois choses.

• Une entité qui ne répond à aucune question du dossier n’a rien à y faire.
• La vie privée d’une personne n’entre pas dans une enquête sur une société, sauf lien démontré avec l’objet.
• Les catégories particulières de données, comme la santé, les opinions politiques, la religion ou l’orientation sexuelle, sont soumises à un régime nettement plus strict. En pratique, évitez de les faire entrer dans le dossier.

Un dossier resserré est plus solide juridiquement, et il est aussi plus lisible. Les deux exigences vont dans le même sens.

Combien de temps garder

Une durée de conservation doit être définie à l’avance et respectée. Il n’existe pas de durée universelle : elle découle de la finalité.

En pratique, distinguez trois moments. Pendant l’enquête, vous gardez tout ce qui sert. À la clôture, vous purgez ce qui n’a rien apporté et vous archivez ce qui fonde vos conclusions. Passé le délai que vous avez fixé, vous supprimez l’archive.

Écrire cette règle quelque part vaut mieux que d’y penser au cas par cas.

Les droits des personnes

Une personne figurant dans votre traitement dispose de droits : accès, rectification, effacement, opposition, limitation. Ils s’exercent auprès du responsable de traitement, avec des exceptions et des délais qu’il faut connaître avant de recevoir la première demande.

Deux conséquences pratiques pour une carte d’enquête. Vous devez pouvoir retrouver toutes les données relatives à une personne, ce qui suppose que votre dossier soit organisé plutôt qu’éparpillé. Et vous devez pouvoir en supprimer une sans démolir le reste du travail.

Le cas du journalisme

Le traitement à des fins journalistiques bénéficie d’aménagements destinés à concilier la protection des données avec la liberté d’expression et d’information. Ces aménagements ne suppriment pas toute obligation, ils en adaptent l’application.

Une rédaction a intérêt à formaliser sa propre doctrine : ce qu’elle collecte, pourquoi, combien de temps elle conserve, et qui décide. C’est utile juridiquement, et c’est utile le jour où un sujet est contesté.

Ce que cela change dans une carte

Quatre habitudes suffisent à rester dans les clous, et elles améliorent le travail au passage.

1. Notez la source et la date dans les champs de chaque entité. C’est la trace de la licéité de la collecte, et c’est ce qui rend votre dossier défendable.
2. Séparez les faits des hypothèses, en nommant les liens avec précision. Une affirmation prudente engage moins qu’une affirmation catégorique non étayée.
3. Gardez le dossier sous votre contrôle. Moins il circule, moins la surface de risque est grande. Un outil qui travaille en local, comme celui-ci, limite mécaniquement la diffusion.
4. Sachez supprimer. Une entité et ses liens doivent pouvoir disparaître proprement, sans laisser de résidus ailleurs.

Pour aller plus loin

La Commission nationale de l’informatique et des libertés publie des fiches pratiques sur l’intérêt légitime, la minimisation et les durées de conservation. Ce sont les références à consulter avant de fixer votre propre doctrine.