Vérifications de fond, dépistage et diligence raisonnable renforcée (OSINT)

• Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2022/2065 — DSA where reports are hosted

Qui doit le désigner

Fournisseurs établis en dehors de l'Union qui élaborent des rapports de diligence raisonnable, des résultats de dépistage ou des dossiers d'enquête sur des personnes dans l'UE : plateformes OSINT, fournisseurs de dépistage des médias défavorables et des sanctions, services de vérification des antécédents et entreprises d'enquête vendant à des banques, des cabinets d'avocats et des entreprises. L'obligation s'applique que le sujet soit un client de votre client ou un tiers n'ayant jamais été en contact avec quiconque : le test est de savoir si vous traitez des données personnelles de personnes dans l'Union, et non si elles vous ont demandé de le faire.

Seuils et exemptions

Pas de seuil. Ce qui change l'analyse est le rôle : un fournisseur qui exécute uniquement la recherche du client sur les instructions du client peut être un sous-traitant, mais dès que vous construisez des graphes d'entités entre clients, conservez le matériel collecté au-delà de la livraison, ou utilisez des rapports pour former ou améliorer vos modèles, vous êtes un responsable au sens de ces finalités et avez besoin d'un représentant en votre propre nom.

Ce qui doit figurer sur l’étiquette

Pas d'étiquette physique. Ce qui doit être publié est l'identité et les coordonnées du représentant dans l'avis de confidentialité, ainsi que les informations requises par l'article 14 pour les personnes dont vous avez obtenu des données à partir de sources autres qu'elles-mêmes — ce qui, dans ce secteur, concerne presque tout le monde.

Champs des marketplaces

Les banques, les cabinets d'avocats et les institutions réglementées effectuent une diligence raisonnable sur les fournisseurs avant l'intégration, et les réponses en matière de protection des données déterminent les contrats. Plusieurs autorités de contrôle nationales ont enquêté sur les fournisseurs de dépistage et de médias défavorables, et les conclusions ont concerné la conservation, l'exactitude et l'absence d'avis de l'article 14 plutôt que le dépistage lui-même.

Documents à conserver

Article 30 enregistre la cartographie de chaque source, chaque étape d'enrichissement et chaque résultat. La désignation de l'article 27 avec un champ d'application qui couvre expressément les données de l'article 10 si vous les traitez. Une évaluation d'impact sur la protection des données, qui est obligatoire ici : le profilage, la surveillance systématique et les données de catégorie spéciale ou relatives aux infractions criminelles à grande échelle figurent tous sur la liste de l'article 35(3). Documentation de l'exemption de l'article 14(5) sur laquelle vous vous appuyez et du raisonnement qui la sous-tend. Procédures d'exactitude et de rectification, y compris comment une mauvaise correspondance est corrigée dans les rapports livrés. Calendriers de conservation par catégorie de données. Documentation de transfert. Lorsqu'un système d'IA est utilisé, la documentation technique et la classification conformément à la loi sur l'IA.

Normes et essais

Pas de test de produit, mais deux vérifications basées sur des preuves décident des résultats de l'application. Exactitude : les faux positifs dans le dépistage causent de réels dommages, donc la logique de correspondance, son taux d'erreur et l'étape de révision humaine doivent être documentés. Et évaluation des biais lorsque le système profile ou note des personnes, ce que la loi sur l'IA exige pour les systèmes à haut risque et que la législation sur la discrimination exige indépendamment.

Exigences linguistiques

L'avis de confidentialité, les informations de l'article 14 et toute communication avec les personnes concernées dans la langue de la personne concernée. Les rapports eux-mêmes sont des documents commerciaux et suivent la langue du client.

À partir de quand

Le représentant avant le début du traitement. Informations de l'article 14 dans un délai raisonnable et au plus tard dans un mois suivant l'obtention des données, sauf si une exemption s'applique. Obligations à haut risque de la loi sur l'IA à partir du 2 août 2026 lorsque le système relève de l'annexe III.

Durée de conservation

C'est le point le plus critique de la catégorie. Les rapports et le matériel collecté sous-jacent ne peuvent être conservés que tant que nécessaire, et l'obligation de conservation AML du client est celle du client, pas la vôtre : conserver des dossiers indéfiniment parce qu'ils pourraient être utiles plus tard n'a pas de base légale. Lorsque vous agissez en tant que sous-traitant, la suppression sur instruction du client doit être réelle et démontrable.

En cas de manquement

Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total. L'exposition dans ce secteur est aggravée car les sujets qui découvrent un rapport exercent des droits d'accès de manière agressive, et une demande d'accès révèle l'ensemble du traitement : sources, inférences, conservation et destinataires. Les réclamations pour diffamation et rectification se déroulent en parallèle devant les tribunaux nationaux, sur des délais plus courts qu'une enquête de supervision.

Qui contrôle

Autorités de protection des données dans tout État membre où se trouvent les sujets, puisque un responsable sans établissement dans l'UE n'a pas d'autorité principale. Superviseurs financiers lorsque le client est une institution réglementée. Autorités de surveillance du marché de la loi sur l'IA à partir de 2026. Tribunaux nationaux pour les réclamations d'exactitude et de réputation.

Où se situe la limite

L'article 10 est le mur. Le traitement des données personnelles relatives aux condamnations criminelles et aux infractions ne peut être effectué que sous le contrôle d'une autorité officielle ou lorsqu'il est autorisé par la loi de l'Union ou d'un État membre prévoyant des garanties appropriées. Une entreprise privée effectuant un dépistage des antécédents criminels a besoin de cette autorisation nationale, et elle diffère selon les États membres : certains l'autorisent pour les entités soumises à des obligations AML, d'autres ne l'autorisent pas du tout pour les fournisseurs commerciaux. Les listes de sanctions et de PEP sont une autre affaire et sont généralement légales, mais les médias défavorables contiennent régulièrement des allégations de conduite criminelle, ce qui ramène l'article 10 par la porte de derrière. Un mandat de représentant qui ne couvre pas expressément cela est sans valeur dans une enquête.

Les questions qu’on nous pose

Nous ne recherchons que des sources publiques — est-ce toujours un traitement ?

Oui. Collecter, structurer et analyser des informations disponibles publiquement sur des personnes identifiables est un traitement, et le fait qu'une source soit publique ne crée pas de base légale ni ne supprime le devoir de l'article 14.

De devons-nous informer le sujet que nous l'avons profilé ?

L'article 14 l'exige, avec des exemptions dans l'article 14(5) y compris lorsque la notification serait impossible ou impliquerait un effort disproportionné, ou lorsque cela rendrait impossible ou nuirait gravement aux objectifs du traitement. Ces exemptions doivent être documentées et évaluées au cas par cas, et ne doivent pas être supposées pour l'ensemble de l'entreprise.

Sommes-nous un responsable ou un sous-traitant ?

Si le client définit le sujet et l'objectif et que vous exécutez uniquement, le statut de sous-traitant est discutable. Si vous enrichissez entre clients, conservez le matériel par la suite, ou améliorez vos modèles avec, vous êtes un responsable pour ces finalités, peu importe ce que dit le contrat.

Notre système est-il à haut risque en vertu de la loi sur l'IA ?

Cela dépend de l'utilisation. Les systèmes évaluant la solvabilité ou l'accès à des services essentiels sont de l'annexe III. Les systèmes utilisés par les forces de l'ordre pour l'évaluation des risques le sont aussi. Un outil vendu uniquement à des équipes de conformité privées peut être en dehors, mais la classification doit être documentée, pas supposée.