Note de méthode : documenter la chaîne de garde d'une preuve numérique exploitée en veille

En veille, une pièce collectée en source ouverte change de statut dès l'instant où elle sert à décider. Tant qu'elle nourrit une note interne, sa provenance n'intéresse presque personne. Dès qu'elle appuie une alerte transmise à une direction, un signalement adressé à une autorité ou une position défendue devant un tiers, elle devient une preuve, et la première question posée ne porte plus sur son contenu mais sur son origine. Cette note de méthode décrit le protocole que l'Observatoire de l'Intelligence Économique applique pour documenter la chaîne de garde d'une preuve numérique, autrement dit la trace continue de sa provenance, de ses transferts et de ses transformations successives.

La notion vient du droit et de la criminalistique, où elle désigne la succession documentée des personnes ayant détenu un objet saisi. Transposée à la veille, elle ne suppose ni scellé ni laboratoire, mais elle conserve son exigence centrale : à tout moment, un tiers doit pouvoir reconstituer qui a obtenu quoi, quand, depuis quelle source et au prix de quelles manipulations intermédiaires. Une pièce dont ce fil est rompu ne devient pas fausse pour autant. Elle devient invérifiable, ce qui est plus grave dans un débat contradictoire, car elle ne pèse alors rien face à une contestation même faiblement argumentée.

Ce que recouvre la chaîne de garde d'une preuve numérique en veille

Trois objets distincts sont souvent confondus. Le sourçage indique d'où vient une information et se réduit à une référence. La conservation garantit qu'un fichier existe encore et qu'il n'a pas été altéré depuis son enregistrement. La chaîne de garde, elle, couvre l'intervalle complet entre l'observation initiale et l'usage final, y compris les moments où la pièce n'est plus sous le contrôle de celui qui l'a collectée. C'est précisément dans ces intervalles, transfert par messagerie, dépôt sur un espace partagé, extraction dans un rapport, que la traçabilité se perd le plus souvent.

La distinction a une conséquence opérationnelle. Une équipe qui cite correctement ses sources échoue parfois complètement sur la chaîne de garde, parce que le lien cité renvoie à une page qui a changé, parce que la capture d'écran versée au dossier a été recadrée, ou parce que personne ne sait plus quel analyste a produit le fichier transmis. À l'inverse, une pièce anonyme dont on documente l'heure d'obtention, l'outil utilisé et l'empreinte reste exploitable, même si son auteur demeure inconnu. La chaîne de garde documente le trajet de la pièce, pas la fiabilité de son émetteur.

Le registre de garde : les champs qui font foi, ceux qui font perdre du temps

Le protocole retenu tient dans un registre unique, une ligne par pièce, alimenté au moment de la collecte et jamais reconstitué après coup. Sept champs suffisent : identifiant interne de la pièce, date et heure d'obtention avec fuseau explicite, adresse exacte de la ressource, méthode de collecte (consultation manuelle, capture automatisée, export d'interface), empreinte numérique du fichier obtenu, nom de l'opérateur, destination prévue. Un huitième champ, libre, consigne les anomalies constatées pendant la collecte : page partiellement chargée, contenu réservé aux membres, redirection inattendue vers une autre ressource.

Les champs superflus coûtent plus qu'ils ne rapportent. Un résumé du contenu, une appréciation de crédibilité ou une qualification juridique n'ont pas leur place dans le registre : ils vieillissent mal, mélangent l'observation et son interprétation, et transforment un instrument de traçabilité en début d'analyse. Notre observation sur les corpus internes va dans ce sens, sous forme d'ordre de grandeur et non de mesure précise : les registres les plus complets ne sont pas les plus longs, ce sont ceux dont les champs restent purement factuels et se remplissent en moins d'une minute par pièce.

Empreinte, horodatage et copie de travail : les trois gestes qui rendent une pièce opposable

L'empreinte numérique, calculée par une fonction de hachage sur le fichier tel qu'il a été obtenu, est le geste le moins coûteux et le plus décisif. Elle ne prouve ni l'authenticité du contenu ni la sincérité de son auteur : elle établit seulement que le fichier examiné aujourd'hui est exactement celui qui a été enregistré à la date consignée. C'est une garantie étroite, souvent mal comprise, et pourtant suffisante pour clore la plupart des contestations portant sur une altération postérieure à la collecte.

L'horodatage pose une difficulté propre aux sources ouvertes. La date affichée par une page est déclarative et modifiable ; celle du système de collecte dépend de l'horloge locale. Le protocole consigne donc les deux, sans les confondre, et note explicitement lequel des deux fait référence. Lorsque la pièce sert à établir une antériorité, un horodatage émis par un tiers indépendant devient nécessaire, faute de quoi la datation reste une affirmation interne à l'équipe, recevable en interne et fragile à l'extérieur.

La copie de travail, enfin, sépare deux usages qui ne doivent jamais se mélanger. L'original est archivé sans retouche, en lecture seule, et n'est plus ouvert que pour vérification. Toute annotation, tout surlignage, tout recadrage destiné à illustrer une note s'applique à une copie identifiée comme telle. Les corpus dans lesquels cette séparation n'existe pas produisent invariablement le même incident : au moment du contrôle, personne ne sait plus si l'image versée au dossier est la pièce collectée ou sa version préparée pour la présentation.

Ce que la sanction prononcée par la CNIL rappelle sur la journalisation

L'actualité de conformité éclaire ce point de méthode. La CNIL a prononcé une sanction de 42 millions d'euros au total à l'encontre des sociétés FREE MOBILE et FREE, dont 27 millions pour la première et 15 millions pour la seconde, à la suite d'une violation de données d'octobre 2024 portant sur 24 millions de contrats d'abonnement. Parmi les manquements retenus figurent une sécurité insuffisante au regard de l'article 32 du règlement général sur la protection des données, une authentification à distance faible et une détection d'anomalies inopérante, ainsi qu'une information des personnes incomplète.

Le rapprochement avec la veille n'est pas une analogie juridique, c'est une leçon documentaire. Ce que sanctionne l'autorité, dans son volet technique, tient à l'incapacité d'observer et de consigner ce qui se produisait sur un système au moment où cela se produisait. Une équipe de veille se trouve dans la même position lorsqu'elle ne journalise pas ses collectes : elle dispose du résultat, jamais de la trace. Les injonctions prononcées, mise en conformité de la sécurité sous trois mois et purge des données sous six mois pour FREE MOBILE, rappellent au passage qu'un corpus se documente aussi par sa date de suppression.

Une preuve numérique ne vaut pas par sa qualité intrinsèque, elle vaut par la continuité de ce que l'on sait de son parcours.

Limites du protocole et conditions de reproductibilité

Ce protocole a des limites qu'il faut énoncer. Il ne dit rien de la véracité du contenu collecté : une intox parfaitement tracée reste une intox. Il ne résiste pas non plus à une collecte réalisée par un tiers dont les conditions de travail échappent à l'équipe, situation fréquente pour les contenus obtenus par une plateforme intermédiaire. Enfin, il suppose une discipline de saisie au moment même de la collecte, condition rarement tenue lorsque le volume augmente et que l'urgence prime, ce qui constitue le principal facteur d'échec observé.

La reproductibilité se teste simplement : un analyste extérieur au dossier reçoit le registre et cinq pièces, puis tente de reconstituer chaque trajet sans poser de question. Les points qu'il ne parvient pas à reconstituer désignent les champs à corriger, et l'exercice se rejoue à chaque changement d'outil de collecte. Sur ce point, l'outillage compte autant que la règle : NewsCore (www.newscore.fr) couvre en continu des millions de sources, horodate chaque signal remonté et conserve le lien direct vers la publication d'origine, ce qui raccourcit d'autant le travail de documentation en aval.

Le même raisonnement se lit dans les décisions récentes du régulateur français. Données Personnelles relève la sanction de 5 millions d'euros prononcée le 22 janvier 2026 contre France Travail, retenue pour une authentification insuffisante et des droits d'accès trop larges après la cyberattaque du premier trimestre 2024. Pour un registre de garde, la conséquence est directe : consigner qui a ouvert une pièce, à quelle date et sous quelle habilitation pèse autant que consigner la pièce elle-même, parce que c'est cette trace qui rend la conservation opposable à un tiers.

Questions fréquentes

Qu'est-ce que la chaîne de garde d'une preuve numérique ?

C'est la documentation continue du parcours d'une pièce, depuis son observation initiale jusqu'à son usage final : qui l'a obtenue, à quelle date et quelle heure, depuis quelle adresse, avec quelle méthode, puis qui l'a détenue, transférée ou transformée ensuite. Elle ne certifie ni l'exactitude du contenu ni la bonne foi de son auteur. Elle établit seulement que la pièce examinée est bien celle qui a été collectée, et que rien d'indocumenté ne s'est produit entre ces deux moments.

Faut-il un constat officiel pour qu'une capture d'écran soit recevable ?

Cela dépend de l'usage visé, et la question mérite d'être posée avant la collecte plutôt qu'après. Pour un usage interne, un arbitrage de direction ou une note d'alerte, un registre rigoureux et une empreinte suffisent généralement. Dès que la pièce est destinée à une procédure contentieuse, le recours à un constat établi par un professionnel habilité devient l'option raisonnable, car il déplace la charge de la preuve du parcours vers un tiers indépendant de l'équipe qui a collecté la pièce.

Comment documenter une page qui a disparu depuis la collecte ?

La disparition de la ressource ne détruit pas la chaîne de garde, elle en révèle la qualité. Si l'empreinte, l'horodatage et l'adresse exacte ont été consignés au moment de la collecte, la pièce reste exploitable et la disparition devient elle-même un fait à consigner, avec sa date de constatation. Si ces éléments manquent, aucune reconstitution postérieure ne les remplace : les recherches dans les archives publiques du web apportent un indice de contexte, jamais la preuve du parcours suivi par le fichier détenu.