OSINT : ce que vous pouvez savoir — et ce que d'autres savent déjà de vous

Un incendie industriel se déclare à trois kilomètres de chez vous.

En vingt minutes, votre fil d'actualité contient : une vidéo spectaculaire, deux comptes affirmant qu'un nuage toxique se dirige vers le centre-ville, un communiqué préfectoral qui dit l'inverse, et une photo qui date visiblement d'un autre incendie. Vous devez décider maintenant : confiner, évacuer, ou ne rien faire.

C'est le vrai cas d'usage de l'OSINT — le renseignement en sources ouvertes, ROSO en français. Pas la traque d'un individu : la capacité à établir, en quelques minutes et avec des sources publiques, ce qui est vrai.

Cet article couvre la méthode de vérification, ce que la loi européenne autorise et interdit, et le volet que le contenu francophone ignore presque toujours : ce que ces mêmes techniques révèlent de vous.

Ce que l'OSINT est, et ce qu'il n'est pas

L'OSINT désigne une méthodologie : collecter, recouper et exploiter des informations librement accessibles — presse, réseaux sociaux, données publiques, imagerie satellite, registres d'entreprises.

Ce n'est ni du piratage ni de l'accès à des systèmes protégés. La frontière est nette et elle est juridique : dès qu'il faut contourner une protection, deviner un mot de passe ou exploiter une faille, on quitte l'OSINT pour entrer dans l'infraction pénale.

Trois usages légitimes pour un civil :

Vérifier une information en situation de crise, avant d'agir dessus.
Comprendre un environnement — un quartier, une route, un risque industriel proche.
Se protéger en mesurant sa propre surface d'exposition.

Un quatrième usage existe, celui qui remplit les vidéos YouTube : retrouver et pister des personnes. Il est hors sujet ici, et le plus souvent hors la loi.

Ce que dit la loi européenne — et le malentendu qui coûte cher

Le malentendu tient en une phrase : le fait qu'une information soit publiquement accessible ne vous donne aucun droit sur elle.

En Europe, dès que vous collectez et conservez des informations sur une personne physique — même trouvées librement en ligne — vous effectuez un traitement de données personnelles au sens du RGPD. Cela implique une base légale, une finalité déterminée, la minimisation des données collectées, et une durée de conservation. La CNIL le formule clairement : la réutilisation d'informations disponibles publiquement n'est pas interdite par principe, mais elle doit respecter les règles de loyauté de la collecte, de base légale et de finalité.

Deux exceptions importantes pour un particulier :

L'usage strictement personnel et domestique échappe au RGPD. Vérifier une information pour décider si vous évacuez votre logement n'a rien à voir avec la constitution d'un fichier sur autrui. La bascule se produit au moment où vous conservez, structurez ou publiez.

Les données non personnelles — la localisation d'un site industriel, l'historique météo, l'imagerie satellite d'une zone, les fréquences d'un relais — ne posent aucun problème. L'essentiel de l'OSINT utile à la préparation tombe dans cette catégorie.

Là où les frontières se ferment, en revanche :

Publier ce que vous avez trouvé sur une personne peut relever de la diffamation, de l'atteinte à la vie privée, ou de la diffusion de données permettant de l'identifier ou de la localiser.
Identifier une cible pour la harceler est une infraction pénale à part entière, quelle que soit la légalité de chaque étape prise séparément.
Le scraping massif de données personnelles, même publiques, sort du cadre domestique et engage votre responsabilité.

La règle pratique tient en une question à se poser avant chaque recherche : quelle décision cette information va-t-elle m'aider à prendre ? Si la réponse n'est pas immédiate, la recherche n'a pas de finalité — et c'est précisément ce que le droit sanctionne.

La méthode : quatre questions avant de croire une information

En situation de crise, la difficulté n'est pas de trouver de l'information. C'est d'en écarter neuf dixièmes. Quatre questions, dans cet ordre.

1. Qui publie, et depuis quand existe ce compte ?

Un compte créé il y a trois jours, sans historique, qui publie une information spectaculaire sur un événement en cours : traitez-le comme inexistant jusqu'à confirmation. À l'inverse, un compte ancien et spécialisé qui se trompe reste utile — l'erreur d'un habitué se corrige, la fabrication d'un compte neuf se propage.

2. Cette image est-elle bien de cet événement ?

C'est le mode de désinformation le plus courant, et le plus simple à démonter : une vraie photo, d'un vrai événement — mais d'un autre lieu ou d'une autre année. La recherche d'image inversée règle la majorité des cas en trente secondes. Vérifiez plusieurs moteurs : ils n'indexent pas les mêmes bases.

3. Où et quand cela a-t-il été filmé ?

C'est le cœur de la discipline : la géolocalisation et la chronolocalisation. On confronte les éléments fixes de l'image — relief, ligne de toits, panneaux, végétation, direction des ombres — à l'imagerie satellite et aux vues de rue disponibles. La position du soleil donne une plage horaire ; l'état de la végétation, une saison.

C'est laborieux, et c'est précisément ce qui rend la méthode fiable : un élément géolocalisé ne dépend plus de la parole de personne.

4. Que dit la source officielle, et que ne dit-elle pas ?

Préfecture, mairie, exploitant du site, services de secours. Ces sources sont lentes et prudentes, souvent en retard sur les réseaux. Mais elles engagent une responsabilité juridique, ce que ne fait aucun compte anonyme. La bonne pratique : traiter le réseau social comme un capteur précoce, et la source officielle comme la validation.

Le réflexe qui résume tout : avant de partager, arrêtez-vous. Cherchez qui est derrière, ce que d'autres sources en disent, et remontez à l'information d'origine plutôt qu'à celui qui la relaie. Trente secondes de pause suffisent à éliminer l'essentiel de ce qui circule.

Le volet que personne ne traite : votre propre exposition

Retournez la méthode contre vous-même. C'est l'exercice le plus utile de cet article, et le seul qui soit intégralement légal sans réserve : vous êtes la personne concernée.

Vos photos. Une image publiée depuis chez vous peut porter des coordonnées GPS dans ses métadonnées. Même nettoyée, l'arrière-plan suffit souvent : une vue de fenêtre, un numéro de rue, un commerce reconnaissable. La photo de votre matériel prise sur votre balcon vous localise mieux que votre adresse.

Vos habitudes. Une application de course à pied qui publie vos trajets dessine votre domicile, votre lieu de travail et vos horaires en trois semaines. Le problème n'est pas une sortie, c'est la régularité.

Vos données publiques. Registres d'entreprises, annuaires, listes électorales selon les pays, anciens sites personnels, comptes oubliés : l'accumulation crée un profil que chaque élément pris isolément ne révélait pas.

Vos fuites. Vos adresses e-mail figurent probablement dans des bases de données compromises. Vérifiez-le sur un service dédié — c'est gratuit et instantané — et changez les mots de passe concernés.

L'exercice, une heure, une fois par an : cherchez-vous vous-même. Nom, pseudonymes, adresses e-mail, numéro de téléphone. Recherche d'image inversée sur votre photo de profil. Notez ce qui remonte, et ce qui est supprimable. Vous découvrirez presque certainement quelque chose que vous aviez oublié.

Les limites, et l'erreur classique

Ce que l'OSINT vous donne : une vérification rapide, une compréhension du terrain, une mesure de votre exposition, et l'habitude de ne pas relayer n'importe quoi.

Ce qu'il ne vous donne pas : une certitude. Une information recoupée par trois sources qui recopient toutes la même origine n'est pas recoupée du tout — c'est une seule source, répétée. Remontez toujours à l'origine.

L'erreur classique du débutant est le biais de confirmation : chercher jusqu'à trouver ce qu'on soupçonnait déjà. La discipline consiste à formuler l'hypothèse inverse et à chercher activement ce qui la soutiendrait. Si vous ne trouvez jamais rien qui contredise votre conclusion, ce n'est pas que vous avez raison, c'est que vous cherchez mal.

Le renseignement n'est pas une collection d'informations. C'est une réponse à une question qu'on a pris la peine de formuler avant de commencer.

Par où commencer concrètement

Formulez la question avant d'ouvrir un navigateur. « Le nuage se dirige-t-il vers mon quartier ? » est une question. « Que se passe-t-il ? » n'en est pas une.
Entraînez-vous à froid. Géolocalisez une photo de vacances, la vôtre. La compétence s'acquiert sur des cas sans enjeu, jamais pendant la crise.
Constituez votre liste de sources officielles locales — préfecture, mairie, exploitants industriels proches, services de secours — avant d'en avoir besoin. En crise, on ne cherche pas un compte officiel, on l'a déjà.
Archivez ce qui compte. Une page peut disparaître en quelques heures. Les services d'archivage web figent une page à un instant donné.
Faites votre audit d'exposition annuel (section précédente). C'est l'action au meilleur rapport bénéfice/temps de tout cet article.

Cette capacité complète, sans les remplacer, les deux autres piliers : la communication qui tient quand les réseaux tombent et le système d'équipement que vous portez réellement.

Conclusion

L'OSINT utile à un civil n'est pas une boîte à outils de traque. C'est une hygiène : formuler une question, chercher méthodiquement, douter de ce qui vous arrange, connaître le cadre légal, et savoir ce que vous exposez vous-même.

La compétence la plus rentable de tout cet article ne demande ni logiciel ni abonnement : la pause de trente secondes avant de partager une information que vous n'avez pas vérifiée.

Formulez la question. Remontez à l'origine. Cherchez ce qui vous contredit.

Sources et lectures complémentaires

CNIL / Mathias Avocats — OSINT : tour d'horizon des principaux enjeux juridiques — position de la CNIL sur la réutilisation d'informations publiques et obligations RGPD.
Village de la Justice — Quel est le cadre légal de l'OSINT ? — analyse par étapes : collecte, conservation, republication, valeur probante.
CNPD Luxembourg — OSINT et conformité au RGPD — dossier d'une autorité de protection des données sur les usages civils et privés.
Bellingcat — First Steps to Getting Started in Open Source Research — la référence mondiale de l'investigation en sources ouvertes.
Bellingcat — Online Investigation Toolkit — inventaire des outils de vérification, cartographie et archivage.
Berkeley Protocol on Digital Open Source Investigations — protocole méthodologique et éthique de référence (Berkeley Human Rights Center et Nations unies).