Ressources · Cadre juridique
L'OSINT, pratiqué dans les règles
Voir dans les recoins du web est légal quand c'est fait avec méthode. Voici les principes qui encadrent nos licences comme nos missions, et ce que nous refusons de faire.
Ce que la réglementation vous impose
Aucun de ces textes ne nomme le dark web
Ils exigent autre chose : détecter les activités anormales, recueillir du renseignement sur les menaces, surveiller ses prestataires, tester l'efficacité de ses mesures. La surveillance du dark web sert directement ces quatre exigences. Chaque article ci-dessous a été vérifié sur le texte, et renvoie à sa source en bas de page.
DORA
Règlement (UE) 2022/2554. Entités financières, depuis le 17 janvier 2025.
Art. 10
Détection
Vous devez disposer de mécanismes permettant de détecter rapidement les activités anormales. Un identifiant de votre organisation mis en vente est une activité anormale qui se voit avant l'intrusion, pas après.
Art. 13 § 1
Apprentissage et évolution
Vous devez disposer des capacités et du personnel nécessaires pour recueillir des informations sur les vulnérabilités et les cybermenaces. Le texte impose la capacité de collecte, pas une source particulière.
Art. 26 et 27
Tests fondés sur la menace
Le TLPT est à conduire au moins tous les trois ans. Le renseignement sur les menaces qui l'alimente doit venir d'un fournisseur externe et indépendant : cette exigence figure dans la norme technique prise en application de l'article 26 § 11, pas dans l'article lui-même.
Art. 28
Risque lié aux prestataires TIC
Le chapitre V vous impose de gérer le risque que font peser vos prestataires informatiques, sur toute la durée de la relation. Leur exposition devient la vôtre.
NIS2
Directive (UE) 2022/2555. Entités essentielles et importantes. Une directive produit ses effets par la transposition nationale.
Art. 21 § 2 a)
Analyse des risques et sécurité des SI
La première des mesures minimales exigées. Elle suppose de connaître sa surface d'exposition, y compris ce qui a déjà fuité hors de vos murs.
Art. 21 § 2 b)
Gestion des incidents
Repérer une fuite d'identifiants avant qu'elle ne soit exploitée déplace le travail de la réponse vers l'anticipation.
Art. 21 § 2 d)
Sécurité de la chaîne d'approvisionnement
Le texte vise explicitement les relations entre l'entité et ses fournisseurs ou prestataires directs.
Art. 21 § 2 e)
Traitement et divulgation des vulnérabilités
La sécurité de l'acquisition, du développement et de la maintenance, divulgation des vulnérabilités comprise.
RGPD
Règlement (UE) 2016/679. Tout responsable de traitement et tout sous-traitant.
Art. 32 § 1 d)
Tester l'efficacité, régulièrement
Le texte impose « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Chercher si des données personnelles dont vous répondez circulent déjà est une façon directe d'évaluer cette efficacité.
Ce que dit le droit
Regarder n'est pas une infraction
Le clear, deep et dark web ne sont pas des notions juridiques
Ces termes ne correspondent à aucune notion juridique existante en droit français ou européen. Le deep web désigne les sites que les moteurs généralistes n'indexent pas ; le dark web, ceux qui ne sont accessibles que par des protocoles ou des réseaux d'anonymisation. Les deux font partie intégrante d'internet, un réseau technologiquement neutre : seuls les usages peuvent constituer une infraction.
Des outils conçus pour l'anonymat, utilisés dans les deux sens
Les réseaux d'anonymisation protègent l'identité des utilisateurs et chiffrent leurs communications. Ils servent des acteurs légitimes autant que des cybercriminels : journalistes, militants des droits de l'homme, défenseurs de la vie privée. La technologie ne tranche pas, l'usage si.
Un moteur de recherche est un service intermédiaire
Le règlement européen sur les services numériques (DSA) définit le moteur de recherche en ligne comme un service intermédiaire, à son article 3 j). Avant lui, la jurisprudence européenne et française assimilait déjà les moteurs de recherche à des hébergeurs, dans de nombreuses décisions.
Aucune obligation générale de surveillance
L'article 8 du DSA est explicite : les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu'ils transmettent ou stockent, ni de rechercher activement des faits révélant des activités illégales.
Responsable seulement si l'on savait, précisément
Le considérant 28 du règlement range les moteurs de recherche parmi les services qui bénéficient du régime de responsabilité atténué des hébergeurs, dont l'article 16 pose les conditions. Un éditeur de moteur de recherche ne devient donc responsable d'un contenu illicite référencé que s'il en a eu connaissance au cas par cas et ne l'a pas retiré promptement. Le considérant 22 ajoute que cette connaissance ne peut pas être générale : savoir qu'un service héberge aussi des contenus illicites ne suffit pas.
Ce que nous refusons de faire
La recherche offensive expose aussi celui qui l'achète
C'est la différence de fond avec d'autres prestataires, et elle ne relève pas de la préférence : elle relève du code pénal.
Nous indexons, nous ne forçons rien
Aleph se limite à indexer et référencer des sites internet, c'est-à-dire des informations volontairement rendues publiques. Nous ne recherchons pas de façon offensive des informations accessibles à cause d'un défaut de sécurité ou de l'exploitation d'une vulnérabilité. Il n'existe aucun motif légitime à scanner des machines connectées à internet, à y accéder puis à en extraire des données.
Ces pratiques sont des délits, pas des options
L'accès et le maintien frauduleux dans un système de traitement automatisé de données sont punis de trois ans d'emprisonnement et de 100 000 euros d'amende, portés à cinq ans et 150 000 euros dès que des données sont altérées ou supprimées (art. 323-1 du code pénal). L'extraction, la reproduction ou la transmission frauduleuses de ces données valent cinq ans et 150 000 euros (art. 323-3). La simple tentative est punie des mêmes peines (art. 323-7), et pour une personne morale les amendes sont quintuplées (art. 131-38).
Le client du prestataire offensif est exposé lui aussi
C'est le point que peu de gens mesurent : recourir à un prestataire qui pratique la recherche offensive engage aussi la responsabilité pénale du client. Il peut être poursuivi pour détention ou utilisation de données provenant frauduleusement d'un système de traitement automatisé, soit cinq ans et 150 000 euros au titre de l'article 323-3, et comme complice, puni comme l'auteur (art. 121-6).
C'est pour cela que notre méthode est plus lente, et tenable
Ne rien forcer impose de collecter plus large et d'indexer plus profond pour trouver ce qui est déjà exposé. C'est un choix technique coûteux, et c'est la seule façon de remettre à un client des éléments qu'il pourra utiliser sans se mettre en danger.
La recherche de fuites
Licite, à quatre conditions
La seule légitimité d'un client à rechercher des fuites ne suffit pas à rendre la recherche licite. Sa licéité dépend de sa finalité et de ses modalités.
- 01Une finalité qui vous concerne
- La recherche doit viser les fuites de données concernant le client, avec des mots-clés liés à des informations le concernant. Elle ne doit pas servir à chercher les fuites qui affectent des tiers, un concurrent par exemple.
- 02Aucune atteinte à un système
- Seules les informations accessibles sans contournement de sécurité sont analysées. Ni exploitation de vulnérabilité, ni contournement d'un mécanisme de protection.
- 03Ce qui ne vous concerne pas est écarté
- Même avec des mots-clés pertinents, une recherche renvoie des faux positifs. Dès qu'il apparaît que des données ne concernent pas le client, elles ne sont ni extraites ni conservées, et leur consultation s'arrête.
- 04Le RGPD, et les recommandations de la CNIL
- Le client ne duplique que les preuves de fuites provenant de son propre système d'information, et minimise la collecte de données personnelles.
Ce que nous garantissons
Les règles que nous nous imposons
Le mandat, quand nous intervenons nous-mêmes
Un mandat n'est exigé que lorsque Aleph intervient humainement dans une recherche de fuites. Il formalise l'autorisation d'agir au nom du client et pour son compte, matérialise son accord exprès, et protège les deux parties. Il n'est pas nécessaire lorsque le client utilise nos outils en autonomie.
Conformité RGPD
Le traitement des données personnelles suit le RGPD : base légale, minimisation, durée de conservation, droits des personnes. Notre méthodologie est documentée et auditable.
Aligné sur NIS2 et DORA
Nos produits et nos services aident les organisations soumises à ces cadres à documenter la veille sur les menaces qu'ils exigent, avec des preuves exploitables.
Un usage responsable
Chaque licence et chaque mission s'accompagnent de conditions d'usage claires. Nos outils servent la sécurité et l'investigation légitime, pas la surveillance de masse.
Souveraineté des données
Collecte et hébergement en France, sans fournisseur de données tiers : vos requêtes et vos périmètres de veille ne quittent pas le cadre légal européen.
Les textes
Références
Cette page suit la consultation juridique remise à Aleph par le cabinet Shift Avocats le 4 septembre 2025, qui répond aux huit questions les plus courantes sur nos services. Les peines citées sont celles des versions en vigueur, chaque référence renvoie au texte. Elle présente les grands principes, pour les licences comme pour les missions ; les conditions contractuelles complètes sont remises avec votre contrat.
- DORA, art. 10, 13, 26, 27 et 28
Règlement (UE) 2022/2554 du 14 décembre 2022 : détection des activités anormales, recueil d'informations sur les vulnérabilités et les menaces, tests fondés sur la menace, et risque lié aux prestataires informatiques.
- NIS2, art. 21 § 2
Directive (UE) 2022/2555 du 14 décembre 2022 : les mesures minimales de gestion des risques, dont l'analyse des risques a), la gestion des incidents b), la sécurité de la chaîne d'approvisionnement d) et la divulgation des vulnérabilités e).
- RGPD, art. 32 § 1 d)
Règlement (UE) 2016/679 du 27 avril 2016 : l'obligation de tester, d'analyser et d'évaluer régulièrement l'efficacité des mesures de sécurité.
- DSA, art. 3 j)
Règlement (UE) 2022/2065 du 19 octobre 2022 : définition du moteur de recherche en ligne.
- DSA, art. 8
Aucune obligation générale de surveiller les informations transmises ou stockées, ni de rechercher activement des activités illégales.
- DSA, considérant 28
Les moteurs de recherche en ligne figurent parmi les services qui bénéficient des exemptions de responsabilité du règlement.
- DSA, art. 16
Le régime de responsabilité atténué : pas de responsabilité sans connaissance effective, retrait prompt dès la prise de connaissance.
- DSA, considérant 22
La connaissance d'un contenu illicite doit être spécifique : savoir en général qu'un service héberge des contenus illicites ne suffit pas.
- CJUE, 23 mars 2010
Aff. C-236/08, Google France / Louis Vuitton Malletier : la jurisprudence assimilait déjà les moteurs de recherche aux hébergeurs avant le DSA.
- Code pénal, art. 323-1
Accès et maintien frauduleux dans un système de traitement automatisé de données : trois ans et 100 000 €, cinq ans et 150 000 € en cas d'altération.
- Code pénal, art. 323-3
Extraction, détention, reproduction, transmission ou modification frauduleuses de données d'un tel système : cinq ans et 150 000 €.
- Code pénal, art. 323-7
La tentative est punie des mêmes peines.
- Code pénal, art. 121-6
Le complice d'une infraction est puni comme son auteur.
- Code pénal, art. 131-38
Pour une personne morale, l'amende encourue est le quintuple de celle prévue pour une personne physique.
- RGPD
Règlement (UE) 2016/679 : base légale, minimisation, durée de conservation, droits des personnes.
- CNIL, RIFI
Les recommandations de la CNIL sur la recherche sur internet de fuites d'informations.