OSINT bij bedrijfsonderzoek: werkwijze en juridische grenzen

In het kort: OSINT is het waardevolste en het meest verkeerd begrepen instrument in bedrijfsonderzoek. Wat u mag verzamelen hangt af van de bron, de methode en het doel. In Europa bepaalt de AVG de grenzen; in Nederland komen de Wpbr-vergunning en de Privacygedragscode voor particuliere onderzoeksbureaus daar bovenop. Blijf bij openbare en rechtmatig toegankelijke bronnen, leg vooraf een grondslag vast en documenteer elke bevinding met bron en tijdstip, zodat die in een procedure controleerbaar is.

Open-source intelligence, kortweg OSINT, is een krachtig instrument binnen bedrijfsonderzoek. Denk aan onderzoek in handelsregisters, media-archieven, openbare profielen, domeingegevens, sanctielijsten, rechtszaken en digitale sporen. Juist omdat veel informatie openbaar lijkt, worden de juridische grenzen vaak onderschat.

OSINT is geen vrijbrief

Dat informatie publiek toegankelijk is, betekent niet automatisch dat verwerking onbeperkt is toegestaan. Binnen Europa spelen AVG, proportionaliteit, doelbinding en dataminimalisatie een belangrijke rol. Een professioneel OSINT-onderzoek begint daarom niet met zoeken, maar met scope: welke vraag moet worden beantwoord, welke bronnen zijn passend, en welke gegevens zijn echt noodzakelijk?

Wpbr-vergunning en privacygedragscode

In Nederland gelden voor recherchebureaus aanvullende regels. Wie beroepsmatig en in opdracht van anderen onderzoek naar personen doet, heeft een vergunning nodig op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus (Wpbr); NCRB is geregistreerd onder POB 1737. Een vergunninghouder moet zich daarnaast houden aan de Privacygedragscode voor particuliere onderzoeksbureaus. Die stelt onder meer eisen aan de afweging vooraf (is het onderzoek noodzakelijk en in verhouding tot het doel?), aan het informeren van betrokkenen en aan het bewaren van onderzoeksgegevens.

Wat valt wel en niet onder OSINT?

Legitieme OSINT gebruikt openbaar toegankelijke bronnen en rechtmatige toegangsmethoden. Het aanmaken van valse profielen, binnendringen in accounts, social engineering of het gebruiken van illegaal verkregen databases valt daar niet onder. Zulke methoden kunnen bewijs onbruikbaar maken en juridische risico’s creëren voor opdrachtgever en onderzoeker.

Werkwijze en grenzen bij bedrijfsonderzoek

• Documenteer methodologie: leg bronnen, zoektermen, datums, URL’s en screenshots vast.
• Werk proportioneel: stem de diepte van onderzoek af op de ernst van de kwestie.
• Minimaliseer persoonsgegevens: verzamel alleen wat relevant en noodzakelijk is.
• Verifieer bevindingen: behandel OSINT-resultaten als leads totdat ze zijn bevestigd.
• Beveilig bewijs: bewaar rapportages, metadata en screenshots gestructureerd en controleerbaar.

Deze werkwijze is essentieel bij fraudeonderzoek, due diligence, partneronderzoek, claims, interne onderzoeken en litigation support. Een goed rapport moet niet alleen bruikbaar zijn voor besluitvorming, maar ook verdedigbaar zijn wanneer het later door een advocaat, rechter, toezichthouder of wederpartij wordt beoordeeld.

Veelgemaakte fouten

Veel organisaties vertrouwen te veel op losse socialmediaresultaten, verouderde bedrijfsinformatie of naamovereenkomsten zonder verificatie. Ook confirmation bias is een risico: wie zoekt naar bevestiging van een vermoeden, mist vaak ontlastende of corrigerende informatie. Professioneel onderzoek legt daarom zowel bevestigende als relativerende bevindingen vast.

De waarde van professioneel OSINT-onderzoek

Het verschil tussen een internetzoekactie en professioneel OSINT-onderzoek zit in methodologie, bronkritiek, juridische discipline en rapportagekwaliteit. NCRB voert OSINT-onderzoek uit met aandacht voor AVG, bewijswaarde en praktische bruikbaarheid voor organisaties, advocatenkantoren, verzekeraars en internationale cliënten.

Neem contact op voor een vertrouwelijke bespreking van een bedrijfsonderzoek of due-diligencevraag.

Disclaimer: Deze informatie is algemeen van aard en vormt geen juridisch advies. Onderzoeksmethoden moeten altijd worden afgestemd op de toepasselijke wet- en regelgeving.