InvestigUser, une plateforme de renseignement utilisée par des agents publics en dehors de tout cadre officiel
Créé par un agent de la DGSI, InvestigUser offre à des agents publics de plusieurs administrations un accès gratuit à des fonctions avancées d’Osint via une simple adresse en « .gouv ». Utilisé en dehors de tout cadre officiel validé par l’État, l’outil suscite des inquiétudes internes sur l’absence de contrôle, la traçabilité des recherches et le recours possible à des données sensibles. Des alertes auraient été transmises au ministère de l’Intérieur, sans réponse à ce stade. En cause : un dispositif promu dans des réseaux internes de l’État, alors qu’aucun cadre légal spécifique n’encadre ces pratiques.
InvestigUser se présente comme une plateforme d’Osint, ces techniques de recherche d’informations accessibles en ligne devenues courantes dans les milieux de l’enquête, du journalisme ou de l’intelligence économique. Mais derrière cette apparence familière, l’outil soulève des questions bien plus larges : créé par un agent de la Direction générale de la sécurité intérieure (DGSI), il n’a pas été validé officiellement par l’État, tout en étant utilisé par des centaines d’agents du ministère de l’Intérieur et par des fonctionnaires d’autres ministères.
La version la plus avancée du site, normalement payante, est accessible gratuitement à tout internaute disposant d’une adresse attestant d’un rattachement à un service officiel de l’État français, se terminant par « .gouv ». Selon un message de l’administrateur de la plateforme, cette vérification ouvre un « accès illimité », tout en garantissant que l’adresse utilisée pour le contrôle du statut n’est pas associée au compte et est ensuite supprimée.
Cette architecture a une conséquence directe : les recherches menées sur la plateforme ne laisseraient pas de trace nominative liée à l’agent qui les effectue.
On peut comprendre que la police ait rapidement recours à l’Osint dans le cadre d’une enquête, explique Noémie Levain, juriste à La Quadrature du Net. Mais cela est censé être fait dans le cadre d’une enquête, avec un procès-verbal. Là, on est dans une forme d’escalade, sans contrôle, où les agents peuvent faire ce qu’ils veulent.
Noémie Levain, juriste à La Quadrature du Net
Un outil diffusé dans les réseaux internes
L’Osint n’est pas en soi une pratique marginale dans les services d’enquête. À Sainte-Soline, dans les Deux-Sèvres, des enquêteurs se sont appuyés sur les photos Instagram d’un militant pour établir sa présence sur place. Mediapart avait aussi révélé que des policiers de la police judiciaire parisienne avaient utilisé des méthodes similaires pour suivre pendant plusieurs mois Rima Hassan.
Pour plusieurs observateurs, l’enjeu ne réside donc pas dans l’existence de ces techniques, mais dans leurs conditions d’usage. Un fonctionnaire, resté anonyme, résume cette inquiétude : « Le problème, ce n’est pas que les policiers utilisent de l’Osint, mais que cela soit fait sans aucun contrôle et que ce soit accessible à toutes celles et ceux qui travaillent pour l’État. »
Cette préoccupation est renforcée par le mode de diffusion de l’outil. InvestigUser est promu sur un canal dédié de Tchap, la messagerie interne du service public, qui rassemble plusieurs centaines de fonctionnaires. En interne, plusieurs sources indiquent aussi que la Direction interministérielle du numérique (Dinum) a alerté Place Beauvau il y a quelques mois sur les zones d’ombre entourant le projet. Le ministère de l’Intérieur n’a pas réagi.
Des usages courants et d’autres plus sensibles
Une partie des services proposés par InvestigUser repose sur des pratiques courantes et licites : faciliter des recherches à partir d’une adresse mail, vérifier si le propriétaire d’un numéro de téléphone utilise WhatsApp, ou interroger de nombreux moteurs de recherche pour retrouver des informations sur une personne.
Mais la documentation de la plateforme fait aussi apparaître des usages plus sensibles. Noémie Levain cite notamment la possibilité d’identifier l’opérateur rattaché à un numéro de téléphone. « Je vois mal comment cela est possible sans avoir recours à des méthodes de barbouzes en demandant des informations aux opérateurs », affirme-t-elle.
Le cadre juridique apparaît, lui aussi, incertain. « Il n’existe aucun cadre légal spécifique pour l’Osint dans le cadre d’une enquête judiciaire ou d’une activité de renseignement, reprend la juriste, ce qui favorise l’utilisation sans contrôle. Mais le droit commun, notamment le RGPD, s’applique aussi à ces pratiques. »
La question des données piratées
Autre sujet sensible : les fuites de données. En droit français, l’utilisation ou la détention de données volées relève du recel. Pourtant, dans le secteur de l’Osint, l’existence de ces bases piratées est parfois intégrée aux outils. Une spécialiste du domaine évoque « une forme de tolérance » à l’égard de ces pratiques.
InvestigUser permet ainsi, à partir d’une adresse mail, de savoir si des données ont déjà été compromises. Sa documentation précise que seules les informations signalant la disponibilité de données issues de « leaks » sont affichées, sans donner directement accès à leur contenu. Elle rappelle aussi que « le statut légal français concernant la possession et l’affichage des leaks est assez clair », tout en ajoutant qu’il peut être « intéressant de ne pas fermer les yeux sur leur présence » et qu’il revient ensuite à l’utilisateur d’y accéder « par [lui]-même ».
Sollicités, ni le ministère de l’Intérieur, ni la Dinum, ni l’administrateur de la plateforme n’ont répondu.