La preuve n’est pas le fichier, mais son parcours
Un fichier Excel contenant des prix clients, trouvé dans le stockage cloud privé d’un collaborateur qui a quitté l’entreprise. Son contenu est sans équivoque. Et pourtant, la première question de la partie adverse n’est pas : Que contient-il ? Mais : D’où vient le fichier, qui l’a eu entre les mains, et comment savez-vous qu’il n’a pas été modifié ?
C’est précisément à ces questions que répond la chaîne de conservation (chain of custody). Si l’on ne peut pas y répondre, une preuve devient une allégation avec une pièce jointe.
Qu’est-ce qu’une chaîne de conservation ?
Le National Institute of Standards and Technology (NIST) américain définit la chaîne de conservation comme une documentation chronologique qui atteste la saisie, la garde, le contrôle, la transmission, l’analyse et le sort d’une preuve physique ou électronique [1]. La directive RFC 3227 de l’IETF le formule de manière plus pratique : il faut pouvoir décrire clairement comment une preuve a été trouvée, comment elle a été traitée et tout ce qui lui est arrivé [2].
Concrètement, cela signifie consigner pour chaque preuve et chaque étape :
- Qui a sécurisé, transmis, analysé ?
- Quoi exactement a été sécurisé – appareil, boîte mail, fichier – et avec quelle valeur de hachage ?
- Quand et où – avec le fuseau horaire ?
- Comment – avec quelle méthode, quel outil, quelle version ?
- Pourquoi – sur quelle base et dans le cadre de quel mandat ?
La valeur de hachage est l’empreinte numérique. Si elle concorde lors de la sécurisation, de chaque transmission et de la présentation, il est établi que les données n’ont pas changé.
Pourquoi les preuves numériques sont particulièrement vulnérables
Avec le papier, il y a un original et des copies. Avec les fichiers, non : une copie dont la valeur de hachage est identique est le fichier. À l’inverse, chaque conversion modifie le fichier, même si cela ne se voit pas. Dans la revue suisse des juges, Schreiber et Kettiger montrent que l’impression d’un e-mail ou sa conversion en PDF fait disparaître l’en-tête et le reste du code source – c’est-à-dire précisément les informations permettant de vérifier l’expéditeur, le serveur et le moment de l’envoi [6]. Cette forme est pourtant largement répandue aujourd’hui [6].
D’où une règle simple : toute modification doit être justifiée et documentée – sinon elle devient un point d’attaque.
À quoi l’on reconnaît une chaîne de conservation sans faille
La norme ISO/IEC 27037 exige quatre propriétés dans le traitement des preuves numériques : auditabilité, répétabilité, reproductibilité et justifiabilité [3]. Chaque action doit pouvoir être retracée par un tiers qualifié ; chaque écart par rapport à la procédure standard doit être justifié.
Les principes ACPO britanniques font depuis longtemps figure de référence professionnelle [4]. Leur essence en quatre points : aucune action ne doit modifier des données sur lesquelles on entend s’appuyer plus tard. Quiconque doit accéder aux données originales doit être qualifié pour le faire et pouvoir expliquer sa démarche. Toutes les étapes doivent faire l’objet d’un audit trail permettant à un tiers indépendant de parvenir au même résultat. Et la responsabilité globale incombe à la personne en charge du dossier.
La RFC 3227 ajoute deux principes souvent violés en pratique : sécuriser d’abord, analyser ensuite – et ne jamais travailler sur la copie de preuve, mais sur une copie de travail supplémentaire [2].
Pour l’utilisation dans une procédure en Suisse, le Code de procédure civile [7] et le Code de procédure pénale [8] sont particulièrement pertinents. Le poids accordé à une preuve électronique dépend en pratique largement de la possibilité de retracer son authenticité, son intégrité et son origine [6] – c’est précisément ce qu’apporte une chaîne de conservation sans faille. La manière de produire une preuve dans une procédure concrète relève de l’appréciation de votre étude d’avocats.
Ce qu’attendent les autorités de surveillance
Les autorités de surveillance vérifient surtout le format. Dans ses Data Delivery Standards, la Securities and Exchange Commission (SEC) américaine exige que les fichiers électroniques soient livrés dans leur format d’origine. En cas de déduplication, les métadonnées des doublons – par exemple le custodian et l’emplacement de stockage – doivent être conservées et livrées [9]. La Federal Trade Commission (FTC) américaine prévoit dans ses directives de production un champ spécifique pour la valeur de hachage du fichier original [10].
En Suisse, la FINMA désigne des chargés d’enquête pour les affaires complexes [11]. Leurs constatations ne sont, elles aussi, solides que si les données sur lesquelles elles reposent ont été obtenues de manière traçable.
La chaîne de conservation en un coup d’œil
| Maillon | Ce qui est documenté | Rupture typique |
|---|---|---|
| Identification | Sources de données, custodians, mandat et fondement | Sources ajoutées après coup sans justification |
| Sécurisation | Méthode, outil et version, valeur de hachage, heure et fuseau horaire, personne exécutante | Collecte par les personnes concernées elles-mêmes par glisser-déposer |
| Transmission | De qui à qui, quand, mode de transport, contrôle du hachage | Support envoyé par la poste sans procès-verbal |
| Conservation | Emplacement, droits d’accès, journal des accès | Dépôt sur un lecteur réseau en accès libre |
| Traitement & analyse | Copie de travail, outils, filtres, déduplication | Analyse directement sur la copie de preuve |
| Présentation | Lien de chaque fichier présenté avec la sécurisation (valeur de hachage) | E-mail en PDF sans en-tête et sans fichier source |
Les EDRM Collection Standards relèvent que les copies par glisser-déposer modifient les métadonnées, ne génèrent pas d’audit trail automatique et sont difficiles à reproduire [5]. Qui collecte de cette manière doit s’attendre à devoir recollecter les données plus tard de façon forensiquement correcte – si elles existent encore.
Ce qui aide en pratique
Schreiber et Kettiger recommandent notamment, pour le traitement des preuves électroniques [6] :
- Identifier les preuves à leur réception et avant chaque envoi par leur valeur de hachage – et non par leur nom de fichier.
- Conserver et transmettre les preuves de manière à ce qu’elles ne puissent pas être modifiées par inadvertance.
- Si une conversion est inévitable, mentionner les deux versions dans le bordereau de preuves : le fichier source et le fichier produit, chacun avec nom de fichier, format et valeur de hachage (p. ex. SHA-256) – ainsi que la raison de la modification.
À cela s’ajoute ce qui caractérise toute bonne enquête : la documentation naît pendant le travail, pas après. Un procès-verbal reconstitué a posteriori est lui-même un point d’attaque.
Conclusion : cinq questions à poser à toute chaîne de conservation
- Chaque preuve peut-elle être retracée sans lacune jusqu’à sa source ?
- Les valeurs de hachage concordent-elles lors de la sécurisation, de la transmission et de la présentation ?
- Chaque personne ayant eu accès est-elle documentée nommément ?
- Chaque modification – conversion, filtrage, déduplication – est-elle justifiée et consignée ?
- Un spécialiste indépendant pourrait-il répéter la démarche et parvenir au même résultat ?
Là où l’une de ces questions appelle un « non », la faiblesse ne réside pas dans le contenu, mais dans le parcours. La chaîne de conservation ne se constitue pas après coup. Elle naît avec le premier geste – ou pas du tout.
Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique. Pour l’appréciation juridique de votre cas, veuillez vous adresser à une étude d’avocats.
Sources
[1] National Institute of Standards and Technology (NIST), OSAC Lexicon : Chain of Custody Records – https://www.nist.gov/glossary-term/20081
[2] Brezinski, D. / Killalea, T. : RFC 3227 – Guidelines for Evidence Collection and Archiving, IETF, 2002 – https://www.rfc-editor.org/rfc/rfc3227
[3] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[4] Association of Chief Police Officers (ACPO, aujourd’hui National Police Chiefs’ Council) : ACPO Good Practice Guide for Digital Evidence, version 5, 2012
[5] EDRM (edrm.net) : EDRM Collection Standards – https://edrm.net/resources/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/
[6] Schreiber, C. / Kettiger, D. : Elektronische Beweismittel – neue Herausforderungen, in : « Justice – Justiz – Giustizia » 2024/2 (Richterzeitung) – https://www.advo-schreiber.ch/dok/Schreiber_Kettiger_Richterzeitung_2024_2_el_Beweismittel.pdf
[7] Code de procédure civile (CPC), RS 272 – https://www.fedlex.admin.ch/eli/cc/2010/262/fr
[8] Code de procédure pénale suisse (CPP), RS 312.0 – https://www.fedlex.admin.ch/eli/cc/2010/267/fr
[9] U.S. Securities and Exchange Commission : Data Delivery Standards, rév. 08/2026 – https://www.sec.gov/files/sec-dds-aug-2026.pdf
[10] U.S. Federal Trade Commission : Preparing Native Files (Bureau of Competition Production Guide) – https://www.ftc.gov/tips-advice/competition-guidance/bc-production-guide/preparing-collections/native-files
[11] Loi fédérale sur l’Autorité fédérale de surveillance des marchés financiers (LFINMA), RS 956.1 – https://www.fedlex.admin.ch/eli/cc/2008/736/fr
Les contenus d’edrm.net sont publiés sous licence Creative Commons Attribution 4.0 International.