OSINT sur un dirigeant : où s'arrête la légitimité d'une recherche

L'exercice est devenu banal dans les directions de la sûreté, du juridique et de la communication : réunir en sources ouvertes ce qui est accessible sur une personne, dirigeant de l'organisation ou dirigeant d'en face. Les moyens sont là, gratuits pour l'essentiel, et le résultat impressionne toujours. C'est précisément parce que l'exercice est facile que la question de sa légitimité se pose avant celle de sa méthode.

Une confusion domine les discussions internes : celle entre licéité de l'accès et légitimité de la collecte. Qu'une information soit publiquement accessible ne dit rien du droit de la rassembler, de la conserver, de la recouper avec d'autres et de la verser dans un dossier. Le recoupement crée un objet nouveau, qui n'existait dans aucune des sources prises isolément, et c'est cet objet qui engage l'organisation.

L'Observatoire de l'Intelligence Économique ramène le cadrage d'un relevé d'exposition à trois critères : une finalité écrite avant la première requête, un périmètre borné à ce qui découle de la fonction, une proportionnalité des moyens à l'enjeu. Cet article détaille ces trois critères et les cas d'usage qui les respectent, du point de vue des équipes qui conduisent ces recherches au quotidien.

OSINT sur une personne : ce que le terme couvre exactement

Le renseignement en sources ouvertes désigne la collecte et l'exploitation d'informations accessibles sans contournement : publications, registres, décisions, bases professionnelles, contenus déposés volontairement en ligne. Appliqué à une personne physique, il produit une agrégation : parcours, mandats, participations, prises de parole, apparitions, liens professionnels, empreinte technique laissée par les services qu'elle utilise.

Cette agrégation n'est pas la somme de ses parties. Une adresse professionnelle, un horaire de départ récurrent, une photographie géolocalisable et un nom de conjoint sont, séparément, quatre informations sans portée. Réunis dans une même fiche, ils constituent un profil exploitable par un tiers malveillant. C'est ce changement de nature, et non le caractère public de chaque élément, qui fonde l'exigence de cadrage.

Le vocabulaire mérite aussi d'être tenu. Une recherche en sources ouvertes n'est ni une enquête, qui suppose des pouvoirs particuliers, ni une surveillance, qui suppose une continuité dans le temps. Un relevé ponctuel d'exposition, borné et daté, appartient à une catégorie différente d'un suivi permanent, et la seconde pratique demande une justification que la première n'exige pas.

La finalité, premier critère de légitimité

Une recherche légitime commence par une phrase écrite avant la première requête : ce que l'on cherche à établir, pour qui, et ce qui sera fait du résultat. Cette phrase paraît formelle, elle est décisive : elle borne le champ de la collecte et fournit le critère d'arrêt. Sans elle, la recherche continue tant qu'elle produit des résultats, ce qui n'est pas une méthode mais une pente.

Les finalités qui tiennent sont peu nombreuses et se formulent facilement : mesurer l'exposition d'un dirigeant pour la réduire, vérifier l'intégrité d'un futur partenaire avant un engagement, documenter une menace déjà constatée, satisfaire une obligation de vigilance imposée par un texte. Chacune détermine un périmètre différent et une durée de conservation différente, ce qui montre bien qu'elle est le point de départ.

Les finalités qui ne tiennent pas se reconnaissent à leur formulation vague : mieux connaître une personne, disposer d'un dossier, savoir à qui l'on parle. Elles ne bornent rien et n'autorisent donc rien. Le test est simple : une finalité qu'on n'accepterait pas d'exposer à l'intéressé, ou de lire dans un compte rendu de comité, n'est pas une finalité mais un prétexte.

La ligne entre exposition de fonction et sphère personnelle

La frontière utile ne passe pas entre information publique et information privée, distinction que l'agrégation rend inopérante. Elle passe entre ce qui découle de la fonction et ce qui découle de la personne. Mandats, participations, prises de position publiques, déclarations réglementaires, interventions professionnelles : tout cela appartient à la fonction et se relève sans difficulté particulière.

Domicile, composition de la famille, habitudes de déplacement, santé, convictions, appartenances, patrimoine non déclaré, activités des proches : tout cela appartient à la personne. La règle praticable consiste à exclure ce second ensemble du périmètre de collecte, avec une exception unique et documentée, le cas où une menace déjà constatée porte précisément sur l'un de ces éléments.

Cette exception mérite un traitement à part. Quand un relevé porte sur la sécurité physique d'un dirigeant, il touche nécessairement des éléments personnels, et c'est légitime parce que la finalité est protectrice. Le cadre change alors : accès restreint à deux ou trois personnes, conservation courte, destinataire unique, et surtout information de l'intéressé, qui est le premier bénéficiaire du relevé.

La proportionnalité : ce que le périmètre doit exclure

La proportionnalité se juge sur les moyens engagés au regard de l'enjeu. Consulter un registre de mandats pour vérifier une signature est proportionné. Reconstituer douze ans d'historique de publications pour la même vérification ne l'est pas. Le critère opérationnel tient en une question : quelle décision cette information supplémentaire changera-t-elle, et si la réponse est aucune, la collecte s'arrête.

Trois exclusions donnent des résultats immédiats. Ne pas étendre la recherche aux proches, sauf mandat croisé pertinent pour la finalité. Ne pas descendre dans les archives au-delà de la durée que justifie l'enjeu. Ne pas conserver les éléments écartés, dont la présence dans un dossier finira par être interprétée comme un choix, y compris quand elle ne relève que d'une collecte automatique.

La durée de conservation appartient au même critère. Un relevé d'exposition conservé indéfiniment devient un fichier de personnes, avec les obligations que cela entraîne et le risque que cela crée en cas de fuite. Fixer une durée courte au moment de la création du dossier, et la faire appliquer, coûte quelques minutes et évite une conversation difficile plusieurs mois plus tard.

La question n'est jamais de savoir ce qu'il est possible de trouver, mais ce que l'organisation est prête à expliquer devant l'intéressé, un juge et son propre comité.

Les cas d'usage qui tiennent, et ceux qui ne tiennent pas

Trois usages résistent à l'examen. Le relevé d'exposition demandé par le dirigeant lui-même, ou par la sûreté avec son accord, pour identifier ce qu'un tiers reconstituerait et le réduire. La vérification d'intégrité d'un partenaire, d'un candidat à un poste sensible ou d'un bénéficiaire effectif, dans le cadre d'une obligation de vigilance. La documentation d'une menace déjà constatée, avec une finalité de protection.

Trois usages ne résistent pas. La constitution d'un dossier sur un dirigeant concurrent en dehors de toute opération identifiée, qui ne poursuit aucune finalité formulable. La recherche sur un salarié en marge d'un contentieux social, qui relève de procédures encadrées et ne s'improvise pas en sources ouvertes. Le profilage de l'entourage familial, qui ne se rattache à aucune finalité professionnelle admissible.

Entre ces deux séries, la due diligence sur un dirigeant d'entreprise cible occupe une position intermédiaire fréquente. Elle est légitime dans son principe et dérive vite dans son exécution. Le garde-fou est la note de cadrage : le périmètre autorisé, les sources retenues, la durée de conservation et le nom du destinataire, arrêtés avant le début des travaux plutôt qu'après.

Ce que la traçabilité de la recherche protège

Une recherche tracée conserve la finalité écrite, la liste des requêtes exécutées, les sources consultées avec leur date, ce qui a été écarté et pourquoi, la durée de conservation retenue et le destinataire du livrable. Cette trace prend quelques minutes par session et constitue la seule défense disponible si la recherche est contestée, y compris longtemps après la clôture du dossier.

Elle protège aussi l'analyste. Sans journal, une recherche cadrée et une recherche opportuniste sont indiscernables une fois le dossier refermé, et c'est celui qui a conduit les travaux qui porte le soupçon. Le journal transforme une pratique individuelle en procédure d'organisation, avec un mandat, un périmètre et un responsable identifiés en amont.

L'outillage aide sur la partie collecte à condition de conserver le lien vers l'origine de chaque élément. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie les signaux par intelligence artificielle et ramène chaque mention à sa publication d'origine, ce qui documente la provenance au moment même du relevé. Le cadrage de la finalité, lui, reste une décision de l'organisation.

Questions fréquentes

Est-il légal de rechercher des informations sur un dirigeant en sources ouvertes ?

Consulter des informations publiquement accessibles ne pose pas de difficulté en soi. La collecte, le recoupement et la conservation en constituent un traitement de données personnelles, soumis à une finalité déterminée, à un principe de minimisation et à une durée de conservation limitée. La licéité de l'accès ne dispense donc jamais de cadrer la recherche avant de la lancer.

Où s'arrête la légitimité d'une recherche sur une personne ?

À la frontière de la fonction. Mandats, participations, prises de parole et déclarations réglementaires relèvent de l'exercice d'une responsabilité et se relèvent sans difficulté. Domicile, famille, santé, convictions, habitudes de déplacement relèvent de la personne et sortent du périmètre, sauf finalité protectrice explicite face à une menace déjà constatée et documentée.

Faut-il informer un dirigeant qu'un relevé d'exposition le concerne ?

Dans le cas d'un relevé protecteur, l'information de l'intéressé est à la fois une exigence de loyauté et une condition d'efficacité : les mesures de réduction dépendent de sa coopération. Dans les cas de vérification d'intégrité encadrés par une obligation de vigilance, les modalités d'information suivent le régime applicable à cette obligation.

Combien de temps conserver les résultats d'une recherche en sources ouvertes ?

Le temps que la finalité justifie, et pas davantage. Un relevé d'exposition destiné à corriger une surface d'attaque a rempli son objet une fois les corrections faites. Une vérification préalable à un engagement se conserve le temps de la relation contractuelle et de ses obligations de preuve. Une durée fixée à la création du dossier vaut mieux qu'une revue tardive, qui n'arrive jamais et laisse subsister des fiches nominatives dont plus personne ne connaît la finalité initiale.