Le mot « publiques » porte beaucoup dans l’expression « données publiques ». Il vaut la peine d’être précis sur ce qu’il recouvre, car la différence entre une diligence licite et une surveillance ne tient pas à la technologie. Elle tient à la source.
Public ne veut pas dire libre d’usage
Au sens du RGPD, une donnée personnelle ne cesse pas de l’être parce qu’elle a été publiée. Un nom dans un registre d’entreprises ou dans un article reste une information sur une personne, et la rechercher demande toujours une finalité et une base légale. Ce que changent les sources publiques, c’est d’où l’information peut venir, pas le fait que les règles s’appliquent.
Ce que nous lisons
Chaque famille de sources du pipeline est publique de droit : registres publics et d’entreprises, presse publiée, données ouvertes du web et profils publics. Rien de ce que nous parcourons n’exige un accès qui ne nous a pas été donné.
Cette contrainte n’est pas une limite que nous subissons. C’est elle qui rend un constat utilisable comme preuve, et non comme un indice impossible à citer.
Ce que nous ne touchons pas
- Aucun contenu derrière une authentification, un paywall ou un réglage de confidentialité.
- Aucune donnée de fuite achetée, quel que soit l’emballage commercial.
- Aucune inférence sur la santé, les convictions ou les appartenances à partir de ce que nous lisons.
Une source qu’il faut obtenir discrètement ne peut pas être montrée à un régulateur. Si elle ne peut pas être montrée, ce n’est pas de la diligence.
Où passe la limite entre nous
Nous fournissons la collecte, la corrélation et la trace. La base légale pour lancer une recherche sur une personne donnée est la vôtre : votre obligation, votre politique, votre régulateur.
Cette répartition est voulue. Nous pouvons attester qu’une source est publique et qu’une recherche a eu lieu à un instant donné. Vous seul pouvez dire pourquoi cette personne entrait dans le périmètre.
Ce que la trace prouve
Chaque recherche laisse une trace avec ses sources et ses horodatages. Des mois plus tard, quand quelqu’un demande pourquoi un dossier a été signalé, la réponse est un document et non un souvenir.
Ce que nous faisons de vos recherches
Vos requêtes vous appartiennent. Nous n’entraînons pas nos modèles sur les données de nos clients par défaut, nous ne vendons pas d’informations personnelles, et nous n’utilisons jamais les requêtes d’un client pour en servir un autre. Une recherche lancée pour votre équipe conformité reste une recherche de votre équipe conformité.
Combien de temps vit un rapport
Les rapports vivent le temps de la durée de conservation que vous configurez, puis ils sont supprimés. Cette durée relève de vos obligations ; c’est donc vous qui la fixez, et non nous.
Quand une personne exerce ses droits
Une personne qui demande l’accès, la rectification ou l’effacement s’adresse à vous, en tant que responsable du traitement. Toute demande qui nous parvient vous est transmise directement, et nous vous aidons à y répondre. La même limite qui sépare la base légale sépare la relation avec la personne recherchée.
- Uniquement des sources publiques : registres, presse publiée, données ouvertes du web et profils publics.
- Aucun contenu derrière une authentification, aucune donnée de fuite, aucune inférence sensible.
- Aucun entraînement sur vos données par défaut, aucune revente, aucun partage entre clients.
- Une conservation que vous configurez, et des demandes de droits qui vous sont transmises.
Les questions sur l’OSINT et le droit
L’OSINT est-il légal au regard du RGPD ?
Il peut l’être, quand les sources sont publiques, que la recherche sert une finalité définie comme une obligation légale, et que les données ne sont pas gardées plus longtemps que nécessaire. Le pipeline assure la première partie ; la finalité et la base légale appartiennent à l’organisation qui lance la recherche.
Qui est responsable de la recherche ?
Vous, en tant que responsable du traitement qui décide pourquoi une personne est recherchée. 247IQ fournit la collecte, la corrélation et la trace, et vous transmet toute demande de la personne recherchée.
247IQ utilise-t-il nos recherches pour entraîner ses modèles ?
Pas par défaut. Les données des clients ne servent pas à l’entraînement par défaut, les informations personnelles ne sont pas vendues, et les requêtes d’un client ne servent jamais à en servir un autre.
Combien de temps les rapports OSINT sont-ils conservés ?
Le temps de la durée de conservation que vous configurez, après quoi ils sont supprimés. Cette durée suit vos obligations ; c’est donc à vous de la fixer.