RGPD et enquête privée : vos données, vos droits

Le paradoxe du consentement

Le grand public associe spontanément le RGPD au consentement : la case à cocher, le bandeau cookies, le « j'accepte ». De là une intuition tenace : puisqu'une personne recherchée ne consent évidemment pas à ce qu'on la localise, l'enquête serait illégale. C'est une erreur de raisonnement — et elle mérite d'être corrigée, car elle nourrit une méfiance infondée.

Le Règlement général sur la protection des données prévoit six bases légales permettant de traiter des données personnelles (article 6). Le consentement n'en est qu'une. Les cinq autres — exécution d'un contrat, obligation légale, mission d'intérêt public, sauvegarde des intérêts vitaux et intérêt légitime — n'exigent aucun accord de la personne concernée. Une activité licite n'a pas besoin du consentement de celui qu'elle vise pour traiter ses données ; elle a besoin d'une base légale valable. C'est tout l'enjeu.

La base légale : l'intérêt légitime (art. 6-1-f)

L'enquête privée repose sur la base de l'intérêt légitime, prévue à l'article 6-1-f du RGPD. La CNIL pose trois conditions cumulatives pour s'en prévaloir.

1. Un intérêt réellement légitime

L'intérêt poursuivi doit être « manifestement conforme au droit, clairement défini et réel ». Recouvrer une créance certaine, retrouver un héritier pour régler une succession, faire valoir un droit devant un tribunal, localiser un débiteur pour lui signifier un acte : ce sont des intérêts licites et concrets, pas des prétextes. À l'inverse, surveiller un ex-conjoint par jalousie ou ficher un voisin n'est jamais un intérêt légitime — et aucun cabinet sérieux n'acceptera ce type de mission.

2. La nécessité du traitement

Le traitement doit être nécessaire à cet objectif : il faut démontrer qu'il permet effectivement de l'atteindre et qu'aucun moyen moins intrusif n'existe. Si l'information peut être obtenue par une voie plus simple (un courrier, une recherche publique), l'enquête plus poussée ne se justifie pas.

3. La mise en balance des intérêts

C'est le cœur du dispositif. L'intérêt du mandant doit être mis en balance avec « les intérêts ou les droits et libertés fondamentaux » de la personne recherchée. Le traitement ne doit pas non plus la surprendre : la CNIL parle d'« attentes raisonnables ». Un débiteur qui ne règle pas une dette exigible peut raisonnablement s'attendre à ce que son créancier cherche à le localiser pour recouvrer son dû. En revanche, fouiller sa vie privée bien au-delà de ce que l'affaire exige ferait pencher la balance du mauvais côté — et rendrait le traitement illicite.

Cette base ne s'applique d'ailleurs pas n'importe comment : la CNIL rappelle qu'elle ne peut pas être invoquée par les autorités publiques dans l'exercice de leurs missions. L'agent de recherches privées, lui, agit pour la défense des intérêts privés d'un tiers — c'est précisément le périmètre de l'article L621-1 du Code de la sécurité intérieure.

Nécessité et proportionnalité : la règle de minimisation

L'intérêt légitime n'est pas un blanc-seing. Il s'accompagne du principe de minimisation (article 5-1-c du RGPD) : seules les données adéquates, pertinentes et limitées à ce qui est nécessaire peuvent être traitées. Concrètement, pour une recherche d'adresse, l'enquêteur n'a pas à constituer un dossier sur les opinions, la santé ou la vie sentimentale de la personne. Il collecte ce qui sert l'objectif, rien de plus.

Cette discipline a une conséquence directe sur la recevabilité du rapport. Devant le juge, une preuve obtenue de façon disproportionnée ou déloyale peut être écartée des débats. La proportionnalité n'est donc pas qu'une contrainte RGPD : c'est ce qui fait la valeur d'un rapport opposable. Un travail propre est un travail utile.

La minimisation impose aussi les sources. L'ARP travaille sur des sources ouvertes et des informations légalement accessibles, recoupées par un travail de terrain. Il n'a accès ni aux comptes bancaires, ni au FICOBA ou aux fichiers de la Banque de France, ni aux données de connexion téléphonique, ni à la géolocalisation en temps réel. Quiconque promet l'accès à ces fichiers réservés sort du cadre légal — un sujet que nous détaillons dans « Que peut (et ne peut pas) faire un détective privé ».

Le droit à l'information… mais différé

Voici la partie la plus contre-intuitive. En principe, quand des données sont collectées indirectement (c'est-à-dire pas auprès de la personne elle-même, ce qui est le cas d'une enquête), l'article 14 du RGPD impose d'informer cette personne — en lui indiquant notamment la source des données — dans un délai raisonnable, au plus tard un mois après la collecte, ou dès la première communication avec elle.

Si cette règle s'appliquait sans nuance, toute enquête serait absurde : prévenir une personne qu'on la localise lui permettrait aussitôt d'organiser sa disparition ou son insolvabilité. Le législateur l'a anticipé. L'article 14-5 prévoit des exceptions à l'obligation d'information, dont deux intéressent directement l'enquête :

• lorsque l'information est « susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs » du traitement (art. 14-5-b) ;
• lorsque les données doivent rester confidentielles en vertu d'une obligation de secret professionnel (art. 14-5-d).

Autrement dit, l'information de la personne recherchée n'est pas supprimée : elle est différée jusqu'au moment où elle ne compromet plus la mission — typiquement lorsque le rapport est remis au mandant et que la procédure judiciaire ou amiable s'engage, la personne découvrant alors le traitement et pouvant exercer ses droits. C'est un équilibre que la CNIL admet pour ce type d'activité, à condition qu'il reste proportionné et documenté.

Les droits de la personne recherchée

La personne dont les données sont traitées conserve l'ensemble des droits prévus au chapitre III du RGPD. Une fois l'enquête révélée, elle peut notamment exercer :

• un droit d'accès (art. 15) : savoir quelles données la concernant ont été traitées et d'où elles proviennent ;
• un droit de rectification (art. 16) si une information est inexacte ;
• un droit d'opposition (art. 21), propre aux traitements fondés sur l'intérêt légitime — le responsable doit alors cesser, sauf à démontrer des motifs légitimes et impérieux qui prévalent, par exemple la constatation et la défense d'un droit en justice ;
• un droit à l'effacement (art. 17), qui se concilie avec les durées de conservation légalement justifiées.

Et en dernier recours, toute personne peut saisir la CNIL d'une réclamation. L'autorité dispose d'un réel pouvoir de contrôle et de sanction : un responsable de traitement qui méconnaît le RGPD s'expose à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Le cadre n'est pas théorique.

Les garanties côté cabinet

Depuis 2018, l'agent de recherches privées est lui-même responsable de traitement. À ce titre, plusieurs obligations encadrent son travail au quotidien : tenir un registre des traitements, ne conserver les données que le temps nécessaire puis les supprimer ou les anonymiser, sécuriser les pièces (chiffrement, accès restreints), et n'agir qu'à partir d'un mandat écrit signé avant toute recherche, comme l'exige l'article L621-1 du Code de la sécurité intérieure.

S'ajoute le secret professionnel auquel l'ARP est tenu : sa violation est réprimée par l'article 226-13 du Code pénal (un an d'emprisonnement et 15 000 € d'amende). Les informations recueillies ne servent que la finalité du mandat et ne sont communiquées qu'au seul mandant. C'est cette rigueur — base légale documentée, minimisation, conservation limitée, confidentialité — qui distingue une enquête conforme d'une collecte sauvage. Le détail de nos engagements figure dans notre politique de confidentialité et notre page Cadre légal & déontologie.