Points clés
- Convenir des éléments restreints, des personnes autorisées à y accéder et des détails réellement nécessaires au client.
- Remplacer le nom d’une source par un code ne garantit pas que la personne ne puisse être identifiée.
- Un accord de confidentialité, une mention confidentielle ou l’intervention d’un avocat ne confèrent pas automatiquement une protection juridique privilégiée au rapport.
Que couvre réellement la confidentialité en HUMINT ?
Le sujet d’une enquête HUMINT peut être sensible avant tout entretien. Un client pourrait révéler une transaction non annoncée, une allégation contestée ou un changement de direction prévu en diffusant simplement un cahier des charges trop détaillé. Les identités des sources, les comptes rendus d’entretiens et les projets d’évaluation créent des risques supplémentaires à mesure que la mission avance.
Distinguez ces types d’informations lors de la discussion sur la mission. Une source peut accepter que son témoignage alimente une évaluation tout en craignant de voir son nom dans un rapport diffusé largement chez le client. Celui-ci peut avoir besoin d’une synthèse probante sans tous les détails d’identification. Convenez de la manière dont le prestataire traitera ces différences et des limites qu’il peut honnêtement communiquer.
Pour choisir des prestataires de services HUMINT commerciaux, demandez des précisions sur l’accès aux informations, leur communication et le traitement du rapport dans la mission proposée. Une déclaration générale de confidentialité ne précise pas qui lira un témoignage sensible ni ce qui se passera si les circonstances évoluent. Le guide de sélection d’un prestataire HUMINT propose aussi des questions sur les responsabilités de l’équipe.
Quelle différence entre confidentialité et protection des données ?
La confidentialité restreint la divulgation ou l’utilisation dans une relation convenue. La protection des données concerne plus largement le traitement des données personnelles. Un accord de confidentialité signé n’explique pas à lui seul la base légale du traitement d’informations sur une source, le sujet examiné ou d’autres personnes évoquées pendant l’enquête.
Les recommandations de l’ICO sur la base légale, mises à jour en avril 2026, imposent de documenter cette base avant d’utiliser des données personnelles. La base appropriée dépend de la finalité et des circonstances ; des conditions supplémentaires peuvent s’appliquer aux données sensibles ou relatives aux infractions pénales. Ces questions doivent être résolues pour la mission considérée, sans supposer que le terme renseignement suffit à les couvrir.
Demandez au prestataire d’expliquer son rôle et celui du client, les informations de confidentialité applicables, le traitement des données sensibles imprévues et les restrictions de réutilisation. Si une exemption est envisagée, elle doit être justifiée de manière applicable. Ne supposez pas que la confidentialité commerciale constitue une exemption générale aux droits des personnes.
Quelles protections faut-il préciser ?
Une annexe de confidentialité peut transformer des assurances générales en engagements contrôlables. Le cadre suivant facilite la discussion sans constituer un modèle contractuel universel. Chaque mesure doit refléter la sensibilité des informations et le fonctionnement réel de la mission.
| Information | Décision à consigner | Question à poser au prestataire |
|---|---|---|
| Cahier des charges du client | Destinataires approuvés et informations accessibles aux partenaires | Peut-on définir le périmètre sans diffuser toutes les informations sensibles de contexte ? |
| Identité de la source | Personnes ayant besoin d’un accès et gestion de l’attribution | Quels éléments pourraient identifier indirectement une personne ? |
| Comptes rendus d’entretiens | Stockage, accès et utilisation dans le rapport | Qui examine les données brutes ? |
| Rapport destiné au client | Diffusion, versions et réutilisations autorisées | Qu’est-ce qui convient à un public plus large ? |
| Documents de travail | Réexamen de la conservation et responsabilités de destruction sécurisée | Quels éléments subsistent après la clôture, et pourquoi ? |
Identifiez aussi l’interlocuteur habilité à approuver les exceptions et la personne à prévenir en cas d’erreur de livraison ou d’accès. Une mesure dont personne n’est responsable est difficile à appliquer lorsqu’une décision commerciale urgente crée une pression pour diffuser le rapport.
Une source peut-elle rester anonyme dans le rapport client ?
Un rapport peut désigner une source par une fonction générale pertinente plutôt que par son nom, tout en expliquant les fondements de ses connaissances. Toutefois, une combinaison de détails peut encore révéler son identité : un poste unique, un incident distinctif ou une courte période d’emploi peuvent permettre à un lecteur connaissant l’organisation d’identifier la personne.
L’ICO explique que les informations pseudonymisées restent des données personnelles pour quiconque détient les informations supplémentaires permettant de les rattacher à une personne. Les codes de sources constituent donc une mesure de contrôle, et non une déclaration générale d’anonymat. Tenez compte des connaissances préexistantes du destinataire lors de l’examen de la description d’une source.
Exemple fictif : un rapport mentionne « le seul directeur régional de projet parti après la revue de mai ». La suppression du nom n’a pas sensiblement réduit la possibilité d’identification par les collègues. Une description plus générale peut limiter l’exposition, mais aussi réduire la confiance avec laquelle le lecteur évalue le témoignage. Expliquez cet arbitrage. Le guide des sources HUMINT examine l’accès pertinent et les connaissances directes.
Comment traiter les rapports et les documents de travail ?
Demandez une explication proportionnée des systèmes d’échange des cahiers des charges, de stockage des notes et de livraison des rapports. Les questions pertinentes concernent les droits d’accès, la vérification des destinataires, l’accès des partenaires et la remontée des incidents. Demandez suffisamment de détails pour évaluer la proposition sans exiger la divulgation de configurations de sécurité sensibles.
Les recommandations de l’ICO sur la sécurité des données prévoient des mesures techniques et organisationnelles adaptées aux risques du traitement de données personnelles. Pour l’acheteur, le point essentiel est le lien entre les risques et les mesures de contrôle, plutôt que la présence d’une fonctionnalité de sécurité à la mode.
Précisez les attentes envers les sous-traitants, la révision externe et tout recours envisagé à des outils de traduction ou d’IA. Demandez si des informations quitteront l’environnement convenu et qui autorise ce changement. Le client doit aussi maîtriser ses propres copies : transmettre un rapport, en copier des passages dans un dossier du conseil ou le charger dans un autre service modifie les destinataires et le contexte de traitement. Planifiez la durée d’utilisation du rapport au lieu de considérer sa livraison comme la fin des responsabilités.
Que ne peut-on pas promettre et que doivent vérifier les acheteurs ?
N’acceptez pas comme argument commercial une protection automatique par le secret professionnel juridique. Confidentialité et protection juridique privilégiée sont deux questions différentes. Les recommandations de la SRA sur le privilège juridique en entreprise présentent la confidentialité comme une condition préalable, insuffisante à elle seule ; la page signale également un réexamen en cours à la suite d’une décision de septembre 2026. Si cette protection est importante, sollicitez un avis juridique adapté au dossier plutôt que de vous fier à l’intitulé du rapport.
- Convenir des destinataires autorisés du cahier des charges, des données brutes et du rapport final.
- Consigner la manière dont l’identification directe et indirecte des sources sera examinée.
- Préciser l’accès des sous-traitants et les éventuels outils externes de traitement.
- Demander comment sont traités et remontés les incidents et les demandes obligatoires de divulgation.
- Convenez d’un réexamen de la durée de conservation et de la finalité de tout élément conservé.
- Obtenir un avis juridique si l’utilisation judiciaire ou une protection privilégiée influence la commande.
L’anonymat absolu et le secret indéfini ne sont pas des garanties universelles crédibles. Une mission préparée avec soin explique les protections pratiques et les circonstances dans lesquelles une divulgation pourrait nécessiter un examen juridique. Notre guide du rapport HUMINT explique comment préserver un contexte probant utile tout en clarifiant les destinataires et la finalité.