A pesquisa de fontes abertas significa encontrar, ler e combinar informação que já foi publicada e está legalmente acessível a qualquer pessoa que a procure. Um registo comercial, uma lista de sanções, a própria pauta de processos de um tribunal, um aviso de expedição, uma fotografia que alguém publicou publicamente.
É tudo. Três coisas que não é:
Não é acesso. Se para chegar à informação for necessária uma palavra-passe que não lhe foi dada, um CAPTCHA que contornou ou um limite de pedidos que conseguiu evitar, não é uma fonte aberta. É acesso não autorizado e, na maioria das jurisdições, constitui uma infração, independentemente do que encontrou.
Não é uma compra a um intermediário. Um conjunto de dados posto à venda por alguém que não diz de onde veio não é uma fonte. Dados pessoais divulgados ilegalmente e extraídos automaticamente circulam comercialmente e são frequentemente apresentados como "OSINT". A associação não os utiliza, e você também não deve utilizá-los: isso contamina tudo o que se segue, porque não pode mostrar a um tribunal de onde veio um facto.
Não é uma conclusão. Encontrar um registo é encontrar um registo. Uma pessoa que aparece numa lista de pessoas procuradas é uma pessoa numa lista — nada nesse registo estabelece que tenha feito aquilo que a lista afirma, e nada num nome coincidente estabelece que se trata da mesma pessoa.
A linha é importante na prática, não apenas do ponto de vista ético. O trabalho que a ultrapassa não pode ser mostrado a ninguém. Não pode ser incluído num relatório, entregue a um procurador ou citado a um jornalista, porque a primeira pergunta é sempre "de onde veio isto" e não há resposta que resista a essa pergunta.