Preuve numérique judiciarisée : ce que la chaîne de garde exige

Une équipe de veille collecte des pièces numériques toute l'année sans jamais se demander ce qu'elles vaudraient devant une juridiction. Cette question reste théorique jusqu'au jour où un dossier bascule : plainte pour dénigrement, contentieux commercial, signalement pénal, procédure disciplinaire interne, enquête d'autorité sectorielle. Le basculement se produit toujours après la collecte, jamais avant. C'est ce décalage qui rend le sujet délicat, car la qualité probatoire d'une pièce se décide au moment où on la capture, à un instant où personne ne sait encore qu'elle servira.

Cette analyse décrit ce que la judiciarisation impose à la chaîne de garde d'une pièce collectée en sources ouvertes. Elle s'appuie sur l'examen des protocoles écrits que nous recensons dans des cellules de veille et des directions juridiques, en retenant comme protocole tout document interne qui fixe la manière de capturer, de nommer, de stocker et de transmettre une pièce. Les constats sont des ordres de grandeur d'observation, non des mesures statistiques. Le protocole d'observation reste reproductible : il consiste à demander qu'une pièce prise au hasard dans un dossier soit tracée jusqu'à sa capture d'origine.

Ce que recouvre exactement la chaîne de garde d'une pièce numérique

La chaîne de garde désigne la démonstration continue qu'une pièce présentée est identique à celle qui a été collectée, et qu'aucune altération n'est intervenue entre les deux. Elle ne dit rien de la véracité du contenu. Un faux parfaitement conservé reste un faux : la chaîne de garde établit l'intégrité et la provenance de l'objet, pas la vérité de ce qu'il affirme. Confondre les deux est l'erreur la plus courante, et elle conduit des équipes à croire qu'une capture horodatée vaut vérification, alors qu'elle vaut seulement conservation.

Une chaîne de garde complète comporte quatre éléments : l'identification de l'objet collecté, l'empreinte cryptographique qui permet d'en vérifier l'intégrité, la journalisation des personnes et des systèmes qui y ont accédé, et la documentation de chaque transformation subie. Le quatrième point est celui qui manque presque toujours. Une pièce circule, elle est recadrée pour une note, convertie pour un envoi, compressée par une messagerie, réenregistrée dans un format différent. Chacune de ces opérations produit un objet nouveau, et l'écart avec l'original devient impossible à expliquer sans journal.

La distinction utile oppose l'original, la copie certifiée conforme par empreinte, et la dérivation. La dérivation est légitime et fréquente : on annote, on traduit, on extrait un passage. Elle cesse de l'être quand elle circule sans indiquer de quel original elle procède. Une pratique simple règle la question : toute dérivation porte dans son nom l'identifiant de l'original dont elle est issue, et l'original ne quitte jamais son emplacement de conservation.

Le point de collecte : ce qui doit être figé avant toute manipulation

Le point de collecte est le seul moment non rejouable de la chaîne. Un contenu en ligne se modifie, se dépublie, se déplace ou change de titre sans laisser de trace visible. Ce qui n'a pas été capturé au moment de la collecte ne se reconstitue pas ensuite, ou seulement de façon partielle et contestable. Cette irréversibilité justifie un protocole minimal appliqué systématiquement, y compris aux pièces dont personne ne pense qu'elles serviront un jour.

Le minimum utile tient en cinq éléments : la ressource brute telle que servie, l'adresse exacte avec ses paramètres, la date et l'heure de capture avec le fuseau, l'empreinte du fichier obtenu, et le contexte immédiat de publication, c'est-à-dire le compte, la page ou le média qui l'a diffusée. Un rendu visuel seul ne suffit pas. Une capture d'écran est une image de ce qu'un poste a affiché à un instant donné, dépendante d'une session, d'un navigateur et d'un profil de personnalisation, et elle ne restitue ni les métadonnées ni la ressource d'origine.

La continuité de collecte pèse autant que la qualité de la capture unitaire. Une pièce isolée se conteste facilement, une série datée beaucoup moins, parce qu'elle documente l'existence, la diffusion et la persistance du contenu. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, restitue pour chaque signal le lien vers la publication d'origine et fait remonter les éléments pertinents en temps réel. Il revient ensuite à l'organisation de décider ce qu'elle conserve, sous quel format et pour quelle durée.

Conserver et tracer : la journalisation des transformations successives

Après la capture, la valeur probatoire ne dépend plus de la technique mais de la discipline documentaire. Les protocoles que nous examinons présentent tous la même faiblesse : l'entrée est soignée, la circulation ne l'est pas. Une pièce entre dans un espace de stockage correctement horodatée, puis part par messagerie, revient annotée, se retrouve dupliquée dans un dossier de travail partagé, et plus personne ne sait laquelle des cinq copies est l'originale. À ce stade, la chaîne est rompue, même si aucune altération volontaire n'a eu lieu.

Trois règles suffisent à tenir la trace. Première règle, un emplacement unique en écriture restreinte pour les originaux, distinct de l'espace de travail. Deuxième règle, un identifiant stable attribué à la capture et repris dans tous les documents qui la citent. Troisième règle, un journal simple qui enregistre qui a accédé à la pièce, quand, et ce qu'il en a fait. Ce journal n'a pas besoin d'être sophistiqué : un fichier tenu rigoureusement vaut mieux qu'un système complexe alimenté par intermittence.

La durée de conservation se décide en amont, pas au moment du contentieux. Elle entre en tension directe avec les obligations de minimisation des données personnelles, et cette tension se règle par une politique écrite, différenciée selon la nature du dossier, plutôt que par une conservation indéfinie de tout. Le choix relève de la direction juridique, qui documente la durée retenue et la justification associée : un choix explicite se défend, une accumulation par défaut se défend mal.

Ce que la contestation vient chercher dans le dossier

La partie adverse n'attaque presque jamais le contenu de la pièce, elle attaque son parcours. Les points visés sont toujours les mêmes : l'écart entre la date de publication supposée et la date de capture, l'absence d'empreinte, l'impossibilité de désigner l'original parmi plusieurs copies, l'identité de la personne ayant collecté, et le caractère synthétique éventuel du contenu. Ce dernier motif s'est installé au premier rang des arguments de défense, dans un contexte où la production automatisée d'images, de voix et de documents est devenue accessible.

Philstar rapporte que la défense de l'ancien président philippin Rodrigo Duterte a demandé à la Cour pénale internationale de renforcer ses protocoles de vérification des preuves numériques, en invoquant la propagation de fausses informations en ligne, dans une requête datée du 31 août. Selon Philstar, la démarche porte sur les règles applicables à l'admission de ces éléments. L'intérêt de cet épisode, pour une fonction de veille, n'est pas juridictionnel : il montre que la contestation de l'intégrité numérique s'est déplacée du terrain technique vers le terrain procédural, jusque devant les juridictions les plus formalisées.

La conséquence pratique est directe. Un dossier construit sur des captures d'écran non empreintes se conteste aujourd'hui avec un argument devenu banal, et cet argument n'a pas besoin d'être démontré pour produire son effet : il suffit qu'il installe le doute. À l'inverse, une pièce empreinte, horodatée, rattachée à son adresse d'origine et accompagnée d'un journal d'accès déplace la charge de la démonstration vers celui qui la conteste.

Une pièce numérique ne se défend pas par ce qu'elle montre, mais par ce que son détenteur est capable de raconter de son parcours, du moment de la capture jusqu'au jour de sa production.

Ce que le protocole coûte, et ce que son absence coûte davantage

L'objection habituelle porte sur la charge de travail. Elle mérite d'être regardée précisément. Le surcoût unitaire d'une collecte tracée se compte en minutes : capturer la ressource brute au lieu d'une image, calculer une empreinte, renseigner trois champs dans un journal. Le coût réel se situe ailleurs, dans la mise en place initiale et dans la constance. Un protocole appliqué neuf fois sur dix produit un dossier où la pièce déterminante appartient statistiquement au dixième restant, ce qui annule le bénéfice de l'effort consenti.

La bonne échelle d'application n'est donc pas la pièce mais la catégorie de dossier. Une organisation trie ses sujets en deux ensembles : ceux dont l'issue contentieuse reste plausible, où le protocole complet s'applique sans exception, et le reste, où une conservation simple suffit. Ce tri se révise deux fois par an. Les limites de cette observation doivent être rappelées : elle porte sur des organisations qui disposent déjà d'un protocole écrit, donc sur les plus structurées, et elle ne dit rien des pratiques dans les équipes qui n'en ont aucun.

Questions fréquentes

Une capture d'écran suffit-elle comme preuve numérique ?

Elle constitue un élément, rarement une preuve solide à elle seule. Une capture d'écran restitue ce qu'un poste a affiché à un instant donné, sans les métadonnées de la ressource, sans son adresse complète et sans garantie d'intégrité. Elle se conteste par l'argument de la fabrication, qui ne demande aucune démonstration technique. Le complément minimal consiste à conserver la ressource telle qu'elle a été servie, à en calculer une empreinte et à enregistrer la date de capture avec son fuseau horaire.

Comment prouver qu'une pièce n'a pas été modifiée après sa collecte ?

Par une empreinte cryptographique calculée au moment de la collecte, conservée séparément du fichier, et par un journal d'accès. Recalculer l'empreinte sur la pièce produite et la comparer à celle enregistrée établit l'intégrité. Cette démonstration ne dit rien de l'authenticité du contenu : elle établit uniquement que l'objet présenté est celui qui a été capturé. Les deux questions sont distinctes et se traitent par des moyens différents.

Qui doit collecter une pièce destinée à un usage contentieux ?

Une personne identifiée, formée au protocole, dont le nom figure dans le journal. La compétence technique compte moins que la traçabilité de l'intervention : une collecte anonyme, ou attribuée à un compte partagé, se conteste sur ce seul motif. Dans les dossiers les plus exposés, l'intervention d'un tiers assermenté renforce la position, mais elle ne remplace pas la discipline interne, qui reste la condition d'un dossier cohérent.