RGPD et données personnelles¶
Le Règlement général sur la protection des données (RGPD, règlement UE 2016/679), complété en France par la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée), encadre tout traitement de données personnelles.
Les notions clés¶
- Donnée à caractère personnel
- Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4 du RGPD). Un pseudonyme, une photo, une adresse IP ou une combinaison d'indices peuvent suffire.
- Traitement
- Toute opération sur ces données : collecte, enregistrement, organisation, conservation, consultation, croisement, diffusion, effacement… Une enquête OSINT sur une personne est un traitement.
- Responsable de traitement
- La personne ou l'organisme qui détermine les finalités et les moyens du traitement. Si vous menez l'enquête pour votre compte, c'est vous.
Point essentiel
Une donnée publique reste une donnée personnelle. Le fait qu'une information soit librement accessible en ligne ne dispense pas de respecter le RGPD.
Les principes à respecter (article 5)¶
| Principe | Application en OSINT |
|---|---|
| Licéité, loyauté, transparence | Disposer d'une base légale ; ne pas collecter par ruse |
| Limitation des finalités | Utiliser les données uniquement pour l'objectif défini au départ |
| Minimisation | Ne collecter que ce qui est nécessaire à la question posée |
| Exactitude | Vérifier, corriger, ne pas conclure sur une information douteuse |
| Limitation de la conservation | Supprimer les données à la fin de la mission |
| Intégrité et confidentialité | Chiffrer et protéger les données d'enquête |
| Responsabilité | Pouvoir démontrer sa conformité (documentation) |
Les bases légales (article 6)¶
Tout traitement doit reposer sur l'une de ces bases : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, ou intérêt légitime du responsable de traitement.
En OSINT professionnelle, la base invoquée est souvent l'intérêt légitime (par exemple, vérifier un partenaire commercial ou évaluer l'exposition numérique de sa propre organisation). Elle impose une mise en balance : votre intérêt ne doit pas l'emporter sur les droits et libertés des personnes concernées. Documentez cette analyse.
Les données sensibles (articles 9 et 10)¶
Certaines données font l'objet d'une interdiction de principe, avec des exceptions limitées :
- origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale ;
- données génétiques, biométriques, de santé ;
- vie sexuelle ou orientation sexuelle ;
- données relatives aux condamnations pénales et aux infractions.
Même si une personne affiche publiquement ses opinions ou sa religion, leur collecte et leur exploitation restent très encadrées. Évitez de les collecter, sauf nécessité absolue et analyse juridique préalable.
Les exceptions à connaître¶
- Usage strictement personnel ou domestique : le RGPD ne s'applique pas aux activités purement personnelles (article 2). Cette exception est interprétée strictement : elle ne couvre pas une publication en ligne ou une activité professionnelle.
- Journalisme : des dérogations existent pour l'activité journalistique (article 85 du RGPD, article 80 de la loi Informatique et Libertés), sous conditions.
Les droits des personnes¶
Les personnes concernées disposent notamment des droits d'information (article 14, lorsque les données ne sont pas collectées auprès d'elles), d'accès, de rectification, d'effacement et d'opposition. Un professionnel doit être en mesure d'y répondre.
Les sanctions¶
La CNIL peut prononcer des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Certains manquements constituent également des délits (articles 226-16 et suivants du Code pénal), notamment la collecte de données par un moyen frauduleux, déloyal ou illicite (article 226-18).
Checklist RGPD d'une enquête¶
- La finalité est définie et légitime
- La base légale est identifiée (et la mise en balance documentée s'il s'agit de l'intérêt légitime)
- Je ne collecte que les données nécessaires
- Je n'exploite pas de données sensibles
- Les données sont stockées de façon sécurisée
- Une date de suppression est prévue