Le seuil d'agrégation : quand des informations publiques deviennent sensibles réunies

Le paradoxe de l'addition d'informations publiques

Une adresse figure dans un annuaire professionnel. Un horaire de déplacement apparaît dans un agenda partagé. Une composition familiale se lit dans un acte notarié consultable. Aucun de ces trois éléments, pris isolément, ne franchit le seuil de ce qu'un institut de veille qualifie de sensible : chacun est déjà public, déjà consultable, déjà connu de quiconque cherche à le trouver. La difficulté commence lorsque ces trois éléments sont réunis dans un même document, au même endroit, avec un même horodatage. La compilation change la nature de l'objet, alors même qu'aucune de ses composantes n'a changé de statut.

Ce paradoxe explique pourquoi la classification par source est un critère insuffisant pour juger de la sensibilité d'un dossier de veille. Une information ne porte pas d'étiquette intrinsèque : sa sensibilité dépend de ce qu'elle rend possible une fois mise en relation avec d'autres. Un cadre qui se limite à vérifier l'origine publique de chaque donnée laisse passer des dossiers qui, une fois assemblés, décrivent une routine, un déplacement probable ou une vulnérabilité qu'aucune source individuelle ne révélait.

Formuler un critère opérationnel de franchissement de seuil suppose donc de déplacer l'attention de la source vers la combinaison. C'est cette dernière, et non les éléments qui la composent, qui doit être soumise à examen avant toute diffusion.

Trois critères pour qualifier le franchissement du seuil

Trois critères permettent de qualifier ce franchissement de façon reproductible. Le premier est l'unicité de la combinaison : une association d'éléments qui ne se retrouve nulle part ailleurs sous cette forme précise constitue, par construction, une information nouvelle, même si chacune de ses parties est ancienne et publique. Plus la combinaison est rare, plus elle mérite d'être traitée comme une production originale et non comme une simple compilation de faits déjà connus.

Le deuxième critère est la capacité d'action que confère la combinaison. Une information devient opérationnellement sensible quand elle permet à un tiers d'anticiper, de localiser ou de cibler, alors qu'aucun des éléments séparés ne le permettait. La question à poser n'est pas : cet élément est il public, mais : que devient il possible de faire une fois cet élément mis en regard des autres.

Le troisième critère est la réversibilité de la divulgation. Une information publiée reste, en pratique, disponible indéfiniment, y compris après retrait de la source d'origine, par le jeu des copies, des caches et des reprises. Un dossier compilé doit donc être évalué à l'aune de ce qu'il rendra durablement accessible, et non à l'aune de sa seule utilité au moment de la publication.

Ces trois critères ne s'appliquent pas indépendamment les uns des autres : une combinaison peu unique peut néanmoins franchir le seuil si la capacité d'action qu'elle confère est particulièrement élevée, et inversement une combinaison rare mais sans capacité d'action associée ne justifie pas nécessairement le même niveau de précaution qu'une combinaison plus banale mais opérationnellement décisive. Traiter les trois critères comme une grille à cocher indépendamment plutôt que comme un jugement d'ensemble expose à sous estimer un dossier qui, sur chaque critère pris isolément, semble modéré, mais qui devient préoccupant une fois les trois lus ensemble.

La sensibilité se loge dans l'architecture, pas dans la source

La sensibilité d'un dossier de veille ne se loge pas dans ses sources mais dans son architecture. Deux dossiers construits à partir des mêmes documents peuvent présenter des niveaux de sensibilité opposés selon la manière dont les éléments y sont juxtaposés, ordonnés et mis en relief. Un dossier qui énumère des faits sans les relier entre eux n'a pas la même portée qu'un dossier qui, par sa structure même, suggère une trajectoire ou une routine.

Cette distinction a une conséquence méthodologique directe : le contrôle de sensibilité ne peut pas se réduire à un contrôle de sources, effectué en amont, document par document. Il doit porter sur le produit fini, tel qu'il sera lu, avec sa mise en page, son ordre de présentation et les rapprochements qu'il induit chez le lecteur.

Elle a aussi une conséquence sur la répartition des responsabilités au sein d'un dispositif de veille. Le collecteur qui rassemble des documents individuellement licites n'est pas la même personne, fonctionnellement, que celui qui compile un dossier destiné à circuler. C'est à ce second stade que doit s'exercer le contrôle, quand bien même chaque pièce aurait déjà été validée séparément.

Un contrôle systématique avant diffusion d'un dossier compilé

Un contrôle avant diffusion d'un dossier compilé peut s'organiser autour d'une série de questions systématiques, appliquées non aux sources mais au produit assemblé. La première question porte sur la reproductibilité de la combinaison par un tiers disposant des mêmes moyens : si l'assemblage exige un temps de recherche ou un accès spécialisé que peu de lecteurs possèdent, le dossier ajoute une valeur informative propre qui doit être pesée en tant que telle.

La deuxième question porte sur la granularité temporelle. Un dossier qui superpose des observations espacées dans le temps peut donner l'illusion d'une continuité ou d'une intention qui n'existe pas dans les sources prises séparément. Vérifier que l'ordre chronologique présenté correspond à une réalité, et non à un artefact de compilation, fait partie du contrôle.

La troisième question porte sur le destinataire visé. Un même dossier n'a pas la même portée selon qu'il est diffusé à un cercle restreint d'analystes formés à en circonscrire l'usage ou publié sans restriction. Le canal de diffusion fait partie intégrante de l'évaluation du risque, au même titre que le contenu.

La quatrième question porte sur la possibilité de dégrader la précision sans perdre la valeur analytique du dossier : remplacer une adresse précise par un secteur, une date exacte par une période, un nom par une fonction, permet souvent de conserver l'intérêt d'une analyse tout en réduisant sa capacité d'action pour un tiers mal intentionné.

Une cinquième précaution, complémentaire des quatre premières, consiste à documenter la décision elle-même : consigner brièvement les réponses apportées aux quatre questions, et non uniquement la conclusion finale, permet de réexaminer ce jugement si de nouveaux éléments viennent enrichir le dossier après sa première diffusion. Cette traçabilité protège aussi la fonction de contrôle elle-même, en distinguant un examen mené selon une méthode explicite d'une simple impression laissée sans trace après coup.

Les limites de la méthode

Cette méthode a des limites qu'il convient de reconnaître. Le jugement sur l'unicité d'une combinaison suppose de connaître ce qui circule déjà ailleurs, ce qui n'est jamais garanti de façon exhaustive : un assemblage peut sembler original à un analyste et exister déjà, sous une forme proche, dans un autre corpus qu'il n'a pas consulté. La méthode réduit le risque, elle ne l'annule pas.

Un dispositif de veille qui relie des signaux hétérogènes entre plusieurs sources aide précisément à combler cette part d'incertitude : www.newscore.fr rapproche les mentions disséminées d'une même entité et détecte les recoupements qui, sans cet outillage, resteraient dispersés entre des corpus que personne n'examine simultanément. Cette capacité de rapprochement raccourcit le temps nécessaire pour identifier, avant publication, qu'une combinaison a déjà circulé ailleurs sous une forme comparable.

L'appréciation de la réversibilité reste, elle aussi, un exercice de jugement plutôt qu'un calcul. Nul ne peut garantir qu'un contenu retiré ne subsiste pas quelque part sous forme de copie, et l'estimation de cette persistance repose sur une connaissance empirique des pratiques de reprise plutôt que sur une certitude vérifiable au moment de la publication.

Ces limites ne dispensent pas d'appliquer les trois critères : elles invitent à les traiter comme un filtre de prudence plutôt que comme une preuve définitive d'innocuité. Un dossier qui satisfait les trois critères sans déclencher d'alerte reste, malgré tout, à réévaluer si de nouvelles sources viennent enrichir la combinaison qu'il présente.

Questions fréquentes

Faut il considérer toute compilation d'informations publiques comme potentiellement sensible : non, la majorité des dossiers de veille assemblent des faits sans créer de combinaison inédite ni de capacité d'action nouvelle. Le contrôle vise les cas où l'assemblage produit un effet que les sources séparées ne produisaient pas, pas la totalité de la production courante.

Qui doit appliquer ce contrôle au sein d'un dispositif de veille : la responsabilité revient à la personne ou à la fonction qui valide la mise en forme finale d'un dossier avant sa circulation, distincte de celle qui a collecté les documents. Ce découplage évite qu'un contrôle de source, déjà effectué en amont, soit confondu avec un contrôle de compilation.

Une information publique depuis longtemps peut elle redevenir sensible : oui, dès lors qu'elle est recombinée avec des éléments qui n'existaient pas encore ou qui n'avaient pas été rapprochés d'elle. L'ancienneté d'une donnée ne protège pas contre une nouvelle capacité d'action que sa mise en relation ultérieure peut créer.

Comment traiter un dossier qui satisfait aux trois critères sans qu'aucune alternative de dégradation ne soit possible : dans ce cas, la restriction du canal de diffusion, plutôt que la modification du contenu, devient le levier principal, en réservant l'accès à un cercle d'analystes identifiés et responsables de son usage.