Chaîne de conservation d’une preuve numérique : que consigner à chaque transfert
Identité, intégrité, garde : ce qu’un registre de conservation consigne à chaque transfert d’une pièce numérique, et les trois ruptures les plus fréquentes.
À retenir
- Une chaîne de conservation établit l’identité, l’intégrité et la garde d’une pièce ; elle n’établit ni l’authenticité de son contenu, ni l’exhaustivité de la collecte.
- Six familles d’événements ouvrent une entrée de registre : collecte, empreinte, changement de détenteur, changement de support, dérivation, sortie.
- Les ruptures observées viennent des copies de confort, du stockage confié à un tiers et des départs de personnes, presque jamais de la perte du fichier.
- Le registre se contrôle par sondage : seul l’écart d’empreinte inexpliqué compte comme défaut, et c’est son taux qui mesure la santé du dispositif.
L’Observatoire distingue ici deux opérations que les dispositifs de veille confondent régulièrement. La première consiste à constater et à figer : capture, enregistrement, calcul d’une empreinte. La seconde consiste à documenter la continuité entre cet instant et tous ceux qui suivent. C’est la seconde qui manque le plus souvent, et rarement parce que le fichier a disparu : il est là, sur un serveur, mais personne n’a écrit qui l’a déplacé, quand, pourquoi, ni ce que le déplacement a changé. Une chaîne de conservation est exactement cela, et rien d’autre : la trace écrite, continue et datée, de la garde d’une pièce.
Cette note décrit la méthode appliquée à nos propres corpus : ce qu’une chaîne établit et ce qu’elle laisse ouvert, les événements qui doivent laisser une entrée, le gabarit d’écriture de cette entrée, les points de rupture observés en pratique, et le contrôle qui permet de vérifier son propre registre. Elle relève de la méthode documentaire et non du conseil juridique : la force probante d’une pièce dépend de la procédure et de la juridiction concernées, et se discute avec un praticien du droit. Ce qui suit conditionne cette discussion sans la remplacer.
Ce que la continuité de garde établit, et ce qu’elle ne prouve pas
Une chaîne documentée établit trois propriétés, et trois seulement. L’identité : l’objet présenté est celui qui a été collecté à la date indiquée. L’intégrité : son contenu n’a pas changé depuis, ou, s’il a changé, le registre dit à quel moment et sous quelle opération. La traçabilité des détenteurs : à chaque instant de la période couverte, une personne identifiée répond de la pièce. Ces trois propriétés se démontrent par des écrits produits au fil de l’eau. Aucune ne se démontre par une déclaration rétrospective, même sincère et même détaillée.
La chaîne n’établit pas l’authenticité du contenu. Un registre parfaitement tenu autour d’un document fabriqué prouve seulement que la fabrication a été fidèlement conservée. Les deux questions restent séparées : la pièce a-t-elle été altérée depuis sa collecte, et son contenu correspond-il à la réalité qu’il décrit. La première relève du registre, la seconde de la vérification, avec ses méthodes propres, recoupement de sources indépendantes, examen des invariants matériels, analyse des métadonnées, retour aux acteurs concernés. Confondre les deux conduit à surestimer une pièce bien rangée et à écarter une pièce solide mal documentée.
Les six événements qui doivent laisser une entrée datée
La règle qui donne sa valeur au registre est l’écriture au moment de l’opération. Une entrée rédigée trois mois plus tard raconte l’événement, elle ne le documente pas. Le signe qui trahit une reconstitution est connu et facile à repérer : toutes les entrées portent la même date de création, celle du jour où quelqu’un a demandé le dossier. Un registre réellement tenu porte au contraire des dates dispersées, des entrées de longueur inégale, parfois des corrections signées et datées, et c’est cette irrégularité assumée qui le rend crédible devant un examen contradictoire.
Chaque entrée répond à six questions : quoi, l’identifiant de la pièce ; qui, la personne et son rôle de rattachement ; quand, l’horodatage avec le fuseau déclaré ; où, le support de départ et celui d’arrivée ; pourquoi, le motif de l’opération ; avec quoi, l’outil employé et son numéro de version. Le dernier champ manque presque toujours, alors que c’est lui qui explique les écarts constatés plus tard : une conversion conduite par deux logiciels différents, ou par deux versions du même logiciel, ne produit pas le même fichier de sortie.
Le gabarit d’une entrée de registre
Le registre se tient dans un document distinct de la pièce, en écriture ajoutée uniquement, et repose sur un identifiant stable qui ne dépend jamais du nom du fichier. Le nom, lui, change : il est renommé au téléchargement, tronqué à l’envoi, réécrit par un système de partage. Un identifiant attribué au moment de la collecte survit à ces manipulations, alors qu’une référence construite sur le nom du fichier casse dès la première copie.
| Champ | Ce que l’on inscrit | Erreur fréquente |
|---|---|---|
| Identifiant de pièce | Référence attribuée à la collecte, indépendante du fichier | Utiliser le nom du fichier comme référence |
| Horodatage | Date, heure et fuseau, selon une convention déclarée une fois | Heures locales mélangées sans convention écrite |
| Détenteur | Personne nommée, avec son rôle de rattachement | Un service générique, sans personne identifiée |
| Empreinte | Valeur calculée et algorithme utilisé | Empreinte notée sans préciser l’algorithme |
| Support | Espace de départ et espace d’arrivée | Mention d’un partage, sans support ni chemin |
| Motif | Raison de l’opération, en une phrase | Case vide parce que l’action paraissait évidente |
| Outil | Logiciel employé et numéro de version | Champ absent du gabarit |
Trois conventions rendent ce gabarit exploitable par un tiers qui n’a pas participé à la collecte. La convention horaire est déclarée une fois en tête de registre et ne bouge plus, sans quoi aucun délai n’est comparable d’une entrée à l’autre. L’algorithme d’empreinte est nommé, car une valeur seule ne se recalcule pas. Le détenteur est une personne physique, doublée d’un rôle : un service générique ne répond de rien, et l’entrée devient inutilisable dès que l’équipe se réorganise.
Où la garde se rompt dans un dispositif de veille
La première rupture est la copie de confort. Une capture est collée dans une note interne, un fichier est joint à un message, un document est déposé sur un espace partagé pour qu’un collègue le regarde. Aucune de ces opérations n’est illégitime, toutes sont invisibles pour le registre : le fichier circule plus vite que sa documentation. Le correctif ne consiste pas à interdire la circulation, ce qui échoue toujours, mais à désigner une copie de référence, à la déclarer comme telle et à traiter explicitement les autres comme des copies de travail sans valeur de conservation.
La troisième rupture est humaine. La garde nominative disparaît avec la personne : départ, changement de poste, réorganisation d’équipe. Sans transfert documenté à la sortie, la dernière entrée du registre nomme un détenteur qui n’est plus là, et la continuité s’interrompt au pire endroit, entre la collecte et l’usage. Le transfert de garde s’inscrit comme n’importe quel autre événement, avec ses deux acteurs, sa date et son motif. C’est l’entrée la moins coûteuse à écrire et la plus difficile à reconstituer un an plus tard.
Conversions et dérivations : documenter ce qui change le contenant
Toute conversion modifie l’empreinte. Un document réenregistré dans un autre format, une vidéo recompressée, un tableau exporté en texte : le contenu perçu reste comparable, le fichier est un autre fichier. Ce n’est pas une faute, c’est un événement à consigner comme dérivation, avec l’identifiant de la pièce parente, l’opération conduite et l’outil employé. La copie de référence, elle, ne se convertit jamais : elle reste en lecture seule, dans son format d’origine, et toutes les manipulations utiles se font sur des copies déclarées comme telles.
Les traitements d’anonymisation et d’occultation obéissent à la même règle, avec une exigence supplémentaire : ils produisent une pièce nouvelle et ne remplacent jamais l’originale. Écraser la pièce source par sa version expurgée détruit la possibilité de vérifier ce qui a été retiré, et transforme une précaution légitime en perte d’information irréversible. La chaîne cesse alors d’être une ligne pour devenir un arbre : une racine, la pièce collectée, et des branches dont chacune nomme son parent. Le registre doit permettre de remonter n’importe quelle branche jusqu’à la racine sans ambiguïté.
Une chaîne de conservation n’est pas une ligne, c’est un arbre : chaque copie doit savoir nommer son parent.
Contrôler son registre par sondage, et déclarer ses limites
Un registre ne se vérifie pas en entier, il se contrôle par sondage. La procédure retenue tire un échantillon aléatoire de pièces par trimestre, recalcule l’empreinte de la copie de référence, la compare à la valeur inscrite lors de la collecte, puis vérifie que chaque événement consigné correspond bien à un état réel du stockage. Trois résultats sont possibles : concordance, écart expliqué par une dérivation consignée, écart inexpliqué. Seul le troisième cas compte comme défaut, et c’est son taux, mesuré et suivi dans le temps, qui dit la santé du dispositif.
Le premier maillon se joue avant toute manipulation humaine, au moment où le signal entre dans le dispositif. Sur ce point, NewsCore (www.newscore.fr) relie chaque élément remonté à son document source, avec son adresse d’origine et sa date de collecte : la première entrée du registre existe donc dès la détection, et l’analyste travaille sur une pièce déjà rattachée à son contexte de découverte plutôt que sur un fichier orphelin trouvé dans un dossier partagé. Le reste de la chaîne relève ensuite de l’organisation, qui décide qui garde quoi et pendant combien de temps.
Questions fréquentes
Faut-il une chaîne de conservation pour toute pièce collectée en veille ?
Non, et prétendre le contraire rend la méthode inapplicable. Le coût d’une garde documentée se justifie pour les pièces susceptibles de fonder une décision contestable : signalement, dossier contentieux, alerte de sécurité, note transmise hors de l’organisation. Pour le flux ordinaire, l’enregistrement de l’adresse d’origine et de la date de collecte suffit. La décision se prend au moment de la collecte, pas après : une pièce promue rétroactivement au statut de preuve arrive avec les entrées qui lui manquent.
Une capture d’écran horodatée suffit-elle à documenter la conservation ?
Elle documente un constat, pas une continuité. La capture montre un état perçu à un instant donné ; elle ne dit rien de ce qui est arrivé au fichier ensuite, ni de qui en a eu la garde. Elle constitue la première entrée d’un registre, jamais le registre lui-même. Associée à une empreinte calculée sur le fichier source et à un journal des transferts successifs, elle devient exploitable.
Que faire quand une pièce a été manipulée sans qu’aucune entrée soit écrite ?
On inscrit la lacune plutôt que de la combler. Une entrée de régularisation, datée du jour où elle est rédigée et signalée comme telle, décrit ce qui est connu et délimite ce qui ne l’est pas. Une chaîne comportant un trou déclaré reste discutable point par point, ce qui est un état de travail acceptable. Une chaîne reconstituée après coup et présentée comme continue perd toute valeur dès que la reconstitution est repérée, et elle finit par l’être.
Combien de temps conserver une pièce et son registre ?
La durée se fixe par écrit avant la collecte, selon la finalité poursuivie et les règles applicables aux données concernées, puis s’applique de façon coordonnée à la pièce et à son registre. Détruire la pièce en gardant le registre laisse un dossier qui décrit un objet introuvable ; détruire le registre en gardant la pièce laisse un objet dont plus personne ne répond. La destruction elle-même constitue un événement à consigner, avec sa date et son responsable.