Lena OrtizRéponse courte : aux États-Unis, au Royaume-Uni et dans la majeure partie de l'UE, rechercher des informations publiques sur un numéro de téléphone est légal. C'est ce que vous faites ensuite du résultat qui compte juridiquement – et cette partie reçoit beaucoup moins d'attention qu'elle ne le mérite.
Ceci est un explicatif général, pas un conseil juridique. Les règles diffèrent selon les pays et évoluent ; si une décision compte, prenez conseil auprès d'un professionnel.
Pourquoi la recherche elle-même est généralement acceptable
Une recherche inversée de numéro interroge des sources déjà publiques : annuaires professionnels, sites web, profils sociaux publics, registres publiés, actualités. Lire des informations accessibles au public n'est pas, en soi, une activité réglementée. Si un plombier affiche son numéro de mobile sur son site web, le trouver en recherchant ce numéro n'est pas différent de le trouver en recherchant « plombier ».
Ce qui sépare un service légitime d'un service illégitime, c'est la source. Un service qui vous propose des journaux d'appels, des contenus de messages texte, des dossiers d'abonnés privés d'opérateurs, une localisation en temps réel ou des contenus de données de connexion divulguées offre quelque chose qui sort d'une recherche ordinaire d'informations publiques. Les données de numérotation sous licence peuvent identifier un opérateur, un type de ligne et une région d'attribution sans révéler l'abonné ou la localisation de l'appareil. L'obtention de dossiers privés nécessite généralement une procédure judiciaire, et leur achat peut vous placer du mauvais côté des lois sur l'utilisation abusive d'ordinateurs et la protection des données.
La ligne qui compte vraiment : la FCRA
Aux États-Unis, le Fair Credit Reporting Act (FCRA) régit les rapports fournis par une agence de rapports de consommation pour des décisions concernant l'emploi, le crédit, le logement, l'assurance ou d'autres fins d'éligibilité. Le guide de la FTC pour les employeurs explique les étapes requises lorsqu'un employeur obtient l'un de ces rapports auprès d'une entreprise qui compile des informations d'antécédents.
La distinction importante n'est pas simplement de savoir si quelqu'un a effectué une recherche sur le web en prenant une décision. C'est de savoir si un service tiers a assemblé ou fourni un rapport de consommation à des fins FCRA. Ce cadre comporte des obligations qu'un produit de recherche web général n'est pas conçu pour satisfaire :
- le sujet doit consentir à une vérification d'antécédents pour l'emploi
- le sujet a le droit de voir ce qui a été rapporté à son sujet
- le sujet a le droit de contester les inexactitudes et de les faire enquêter
- l'utilisateur doit suivre des procédures contradictoires avant de rejeter quelqu'un
Une recherche web publique ne répond à aucune de ces exigences. Il n'y a pas d'étape de consentement, pas de mécanisme de contestation, pas de garantie d'exactitude. C'est exactement pourquoi des services comme le nôtre déclarent clairement qu'ils ne sont pas des agences de rapports de consommation et ne doivent pas être utilisés pour ces décisions – et c'est pourquoi cette clause de non-responsabilité est une contrainte réelle plutôt qu'une formule standard.
Donc : rechercher un numéro qui vous a appelé est un usage personnel ordinaire. Si vous avez besoin d'un rapport d'antécédents tiers pour prendre une décision d'emploi, de logement, de crédit, d'assurance ou d'éligibilité similaire, utilisez un fournisseur conçu pour se conformer à la loi de vérification pertinente et suivez les processus de consentement et de notification requis. DeepSearch n'est pas un tel fournisseur et interdit ces usages. La note de décision plus longue est Un résultat de recherche de personnes n'est pas un rapport de consommation.
Europe et Royaume-Uni : public ne signifie pas sans restriction
En vertu du RGPD et du RGPD britannique, les données personnelles sont protégées qu'elles soient ou non accessibles au public. « Je l'ai trouvé sur un site web public » n'est pas une base juridique en soi. Le guide actuel de l'ICO exige que les organisations s'appuyant sur des intérêts légitimes identifient l'intérêt, montrent que le traitement est nécessaire et le mettent en balance avec les droits et libertés de la personne.
Pour la plupart des particuliers, cela compte moins qu'il n'y paraît, car il existe une exemption domestique : le traitement de données personnelles à des fins purement personnelles ou domestiques échappe au règlement. Vérifier si la personne que vous rencontrez via une application de rencontre est réelle est une finalité personnelle.
Cette exemption disparaît dès que l'activité devient professionnelle ou organisationnelle. Si vous recherchez des personnes dans le cadre d'une entreprise – vérification, diligence raisonnable, génération de prospects, journalisme – vous avez besoin d'une base juridique, généralement des intérêts légitimes, et vous devez avoir réfléchi à la proportionnalité. Vous pouvez également devoir informer la personne que vous détenez des données à son sujet.
Le test pratique : pourriez-vous expliquer votre finalité à la personne que vous avez recherchée et qu'elle l'accepte comme raisonnable ? Si la réponse honnête est non, l'analyse juridique va probablement dans le même sens.
Où cela cesse d'être légal quelle que soit la source
Certains usages sont illicites quelle que soit la publicité de l'information sous-jacente. Ce ne sont pas des cas limites ; c'est la raison pour laquelle toute cette catégorie attire l'examen :
Harcèlement criminel et harcèlement moral. Contacter, suivre ou surveiller de manière répétée quelqu'un qui ne le souhaite pas. Assembler des informations publiques dans un profil qui permet cela fait partie de l'infraction dans de nombreuses juridictions, pas un acte neutre séparé.
Doxxing. Publier l'adresse personnelle, le lieu de travail ou les coordonnées de quelqu'un avec pour effet de l'exposer au harcèlement. Le fait que les faits individuels soient publics n'est pas une défense ; l'agrégation et la publication constituent le préjudice.
Usurpation d'identité et prétexte. Se faire passer pour quelqu'un d'autre – une banque, un collègue, le titulaire du compte – pour extraire des informations. Aux États-Unis, le Telephone Records and Privacy Protection Act criminalise l'acquisition frauduleuse ou la divulgation non autorisée d'informations confidentielles de relevés téléphoniques.
Accès non autorisé. Tenter d'accéder à un compte qui ne vous appartient pas, de quelque manière que ce soit. Illégal essentiellement partout.
Un test pratique avant de rechercher
Trois questions, dans l'ordre :
- Pourquoi est-ce que je veux cela ? Si vous ne pouvez pas dire la finalité en une phrase simple sans sourciller, arrêtez.
- Est-ce l'une des décisions réglementées ? Emploi, crédit, logement, assurance, location – si oui, utilisez un fournisseur de vérification approprié avec consentement.
- Qu'est-ce que je vais en faire ? Vérifier qu'un appelant est légitime est un usage. Contacter quelqu'un qui vous a demandé de ne pas le faire n'en est pas un.
Usages qui sont clairement acceptables
Pour être clair que la réponse n'est pas « rien n'est autorisé », voici des usages ordinaires et licites dans la plupart des endroits :
- identifier un appelant inconnu ou répété
- vérifier qu'un vendeur ou acheteur en ligne est une entité commerciale réelle
- confirmer qu'une personne rencontrée en ligne est qui elle prétend être, avant de la rencontrer en personne
- vérifier les détails publics d'une entreprise avant d'envoyer de l'argent
- reprendre contact avec quelqu'un avec qui vous avez perdu le contact, en respectant sa réponse
- journalisme et recherche dans l'intérêt public, dans le cadre des règles de votre juridiction
Ce que nous faisons à ce sujet
Puisqu'il est juste de demander ce qu'une entreprise vendant cela applique réellement : nous utilisons des sources publiques, des métadonnées d'opérateurs et de numérotation sous licence, et des index publics de notifications de violations qui nomment les incidents sans exposer les mots de passe, les hachages ou les contenus d'enregistrements violés. Nous n'offrons pas de contenus d'appels ou de messages, de dossiers d'abonnés privés ou de localisation en temps réel, et nos conditions stipulent que les résultats ne doivent pas être utilisés pour des décisions couvertes par la FCRA. Les affirmations du web public renvoient à leur source afin que vous puissiez les vérifier plutôt que de leur faire confiance.
Cette combinaison est délibérée. Un outil qui ne peut pas vous montrer d'où vient un fait ne peut pas être vérifié, et un outil qui ne peut pas être vérifié ne devrait pas être digne de confiance pour une décision concernant une personne.