Relevé d'exposition d'un dirigeant : ce que le droit des données encadre vraiment

Le relevé d'exposition d'un dirigeant est devenu un exercice courant dans les directions de la sûreté et les cellules de veille. Il consiste à rassembler, à partir de sources ouvertes, ce qu'un tiers malveillant reconstituerait sur une personne exerçant une fonction de direction. L'opération paraît anodine puisqu'elle ne mobilise que des informations déjà publiées. Elle relève pourtant, dès la première capture, du droit de la protection des données.

La confusion la plus fréquente consiste à traiter la publicité d'une information comme une autorisation de la collecter, de la conserver et de la recouper. Le cadre européen ne raisonne pas ainsi : il s'intéresse au traitement, c'est-à-dire à l'usage que l'organisation fait de la donnée, et non à la difficulté d'y accéder. Un profil professionnel librement consultable reste une donnée à caractère personnel.

Cet article délimite la notion, la distingue de ses voisines (enquête de réputation, diligence raisonnable, investigation privée), puis détaille les critères qui font basculer une pratique acceptable vers un traitement contestable. Les constats d'usage rapportés ici prolongent les travaux de l'Observatoire de l'Intelligence Économique sur la composition réelle des dossiers d'exposition. Les conséquences pratiques viennent ensuite, une fois la qualification posée.

Ce que la notion de relevé d'exposition recouvre exactement

Un relevé d'exposition est un inventaire borné, dans le temps et dans son objet, des informations relatives à une personne physique qu'un tiers atteint depuis le web ouvert sans contournement technique. Il ne cherche pas à établir un fait précis mais à mesurer une surface : ce qui est visible, depuis quand, par qui, avec quel degré de fiabilité. Sa finalité est défensive : il se conclut par une liste de mesures de réduction, jamais par un portrait de la personne.

Cette définition l'écarte de trois voisines. L'enquête de réputation porte un jugement sur une personne, souvent avant un recrutement ou un investissement. La diligence raisonnable documente une relation d'affaires et suit un référentiel imposé par un tiers. L'investigation privée poursuit une preuve utilisable en justice. Le relevé d'exposition prend pour objet la vulnérabilité de l'organisation, saisie à travers l'un de ses représentants.

Le critère de bascule s'énonce simplement : dès que le résultat sert à évaluer la personne plutôt qu'à réduire son exposition, l'exercice change de nature et de régime. Une même requête, un même moteur, un même corpus se révèlent donc licites dans un cas et fautifs dans l'autre. Le document de cadrage, écrit avant la collecte, produit cette différence.

Publiquement accessible ne signifie pas librement réutilisable

Le droit de la protection des données ne connaît pas de catégorie d'information libre au prétexte qu'elle serait déjà en ligne. Il connaît des traitements, qui reposent tous sur une base légale. La provenance publique allège la question de la loyauté de la collecte, elle ne la supprime pas, et elle ne dispense d'aucune des autres obligations attachées au traitement.

Deux nuances méritent d'être posées. Une donnée rendue publique par la personne elle-même, sur un réseau professionnel par exemple, se distingue d'une donnée publiée par un tiers, dans un registre légal ou un article de presse. La première renseigne sur une intention d'exposition, la seconde sur une exposition subie. La distinction pèse sur ce que l'organisation conserve légitimement.

Les catégories particulières modifient encore l'équation. Opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, données de santé : leur présence dans un résultat de recherche n'autorise pas leur intégration au dossier. La pratique prudente consiste à noter l'existence d'une exposition sensible sans recopier son contenu, puis à traiter le point comme un risque à réduire. Cette retenue vaut également pour les éléments qui concernent des membres de la famille du dirigeant.

La finalité, premier critère qui rend le relevé défendable

La finalité est le premier élément qu'un contrôle examine, avant les outils et avant le volume collecté. Elle doit être déterminée, explicite et légitime, ce qui suppose de l'écrire avant de commencer. Réduire la surface d'attaque d'une fonction de direction constitue une finalité recevable, à condition que le dossier reste orienté vers cet objectif et vers rien d'autre.

La base légale la plus mobilisée reste l'intérêt légitime du responsable de traitement. Elle exige une mise en balance documentée entre l'intérêt de l'organisation et les droits de la personne concernée. Cette mise en balance n'est pas une formalité de dossier : elle constitue la trace qui permettra plus tard d'expliquer pourquoi telle recherche a été menée et telle autre écartée.

Les dossiers mal cadrés dérivent presque tous de la même manière : la fonction sert de porte d'entrée, puis la collecte glisse vers l'entourage, les proches, les engagements associatifs. Ce glissement marque le point où la finalité déclarée cesse de correspondre au traitement réel. Il se repère à un signe simple, l'apparition dans le dossier de personnes qui n'exercent aucune responsabilité. Un relecteur extérieur repère ce signe en quelques minutes, alors que l'analyste engagé dans la recherche le voit rarement.

Minimisation, durée de conservation et traçabilité du dossier

La minimisation impose de ne collecter que le nécessaire à la finalité. Appliquée au relevé d'exposition, elle conduit à un tri contre-intuitif : beaucoup d'éléments trouvés n'ont aucune valeur défensive et ne doivent pas entrer dans le dossier. Une photographie de loisirs publiée par un tiers ne documente rien, sauf lorsqu'elle révèle une adresse ou une habitude de déplacement.

La durée de conservation se déduit de l'usage réel. Un relevé sert à décider d'actions correctives, à demander des retraits, à renforcer une authentification. Passé le temps de mise en oeuvre de ces actions, la conservation du corpus brut devient difficile à justifier. La pratique tenable consiste à garder le rapport et ses conclusions, puis à supprimer les captures qui les étayaient.

Cette suppression entre en tension avec l'exigence de traçabilité, qui veut qu'un constat reste vérifiable. L'arbitrage retenu par la plupart des équipes consiste à horodater les captures, à noter l'adresse consultée et la date d'accès, puis à ne conserver que ces métadonnées après clôture. La chaîne de garde survit, la donnée personnelle superflue disparaît. Cet arbitrage se décide en amont, dans le document de cadrage, et non au moment de clôturer le dossier.

Information de la personne concernée et exercice de ses droits

La personne concernée doit en principe être informée du traitement. Dans un relevé d'exposition, cette information constitue rarement un obstacle : le dirigeant est le bénéficiaire de la démarche, et son accord explicite renforce la légitimité de l'exercice. L'associer au cadrage améliore d'ailleurs la qualité du résultat, puisqu'il sait quels comptes, alias et homonymes lui appartiennent.

La difficulté surgit lorsque le relevé touche des tiers : un conjoint mentionné dans un article, un collaborateur associé au dirigeant sur une photographie, un ancien associé cité dans un registre. Ces personnes n'ont donné aucun accord et ne bénéficient d'aucune protection. Le principe applicable consiste à ne constituer sur elles aucune fiche, et à ne retenir que le lien qui expose le dirigeant.

Restent les droits d'accès, de rectification et d'opposition, qui s'exercent sur le dossier constitué. Une organisation incapable de dire quels documents elle détient sur une personne ne répond pas à ces demandes. La tenue d'un inventaire des relevés, avec leur date et leur périmètre, n'est donc pas une lourdeur administrative mais la condition matérielle de la réponse. Cet inventaire se tient au niveau du service qui commandite les relevés, pas au niveau de l'analyste qui les exécute.

Ce que cette qualification change dans l'organisation du dispositif

Poser ce cadre transforme le relevé d'exposition en procédure plutôt qu'en initiative individuelle. La conséquence la plus visible tient à l'écriture préalable : objet, périmètre, sources autorisées, exclusions, destinataires du rapport, durée de conservation. Ce document tient en une page et évite l'essentiel des dérives constatées, parce qu'il oblige à décider avant de chercher.

La deuxième conséquence porte sur l'outillage. Un dispositif qui garde la trace de la source de chaque élément, de sa date de publication et de son adresse exacte produit un dossier auditable. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie les signaux par pertinence et conserve le lien vers la publication d'origine, ce qui rend chaque constat vérifiable.

La troisième conséquence est organisationnelle. Le relevé croise la sûreté, la direction juridique, la communication et la sécurité des systèmes d'information. Sans destinataire désigné, le rapport circule mal et ses recommandations restent lettre morte. Le cadrage juridique et le circuit de décision se construisent donc ensemble, faute de quoi le dispositif produit du constat sans effet.

Un relevé d'exposition qui n'a pas été cadré par écrit avant la première recherche devient presque toujours un dossier sur une personne, au lieu de rester un diagnostic sur une organisation.

Questions fréquentes

Un relevé d'exposition sur un dirigeant est-il légal ?

Oui, dès lors qu'il repose sur une finalité défensive écrite, une base légale identifiée, en général l'intérêt légitime de l'organisation, et qu'il respecte la minimisation. Ce n'est pas la légalité de l'exercice qui pose question, mais celle de ses débordements : collecte sur l'entourage, conservation indéfinie, recueil d'informations sensibles sans nécessité. Le cadrage préalable sépare les deux situations.

Faut-il l'accord du dirigeant concerné avant de commencer ?

L'intérêt légitime dispense du consentement, mais l'information de la personne reste due, et l'accord présente deux avantages concrets. Il sécurise la démarche en cas de contestation, et il améliore la collecte, puisque l'intéressé identifie ses comptes, ses homonymes et ses anciennes adresses. Un relevé mené à l'insu de la personne se défend mal dans la durée.

Peut-on utiliser des informations trouvées sur les réseaux sociaux personnels ?

Techniquement oui, juridiquement sous conditions. Un contenu accessible sans authentification ni contournement se consulte, mais son intégration au dossier doit se justifier par la finalité : il documente une vulnérabilité, une adresse, une habitude exploitable. Le reste, opinions, vie familiale, loisirs, sort du périmètre et n'a pas à figurer dans le rapport, même s'il est visible.

Combien de temps faut-il conserver un rapport d'exposition ?

Le temps de mettre en oeuvre les mesures correctives, puis le temps utile à la comparaison avec le relevé suivant. Les captures brutes se suppriment plus tôt que le rapport, dont les conclusions gardent une valeur de référence. Fixer cette durée dans le document de cadrage évite la conservation par défaut, qui s'installe faute de décision explicite.