Preuve numérique, indice, trace : trois statuts qu'il ne faut pas confondre

Dans un dossier de veille, le mot preuve circule sans contrôle. Une capture d'écran devient une preuve, un horodatage devient une preuve, une archive de page devient une preuve. Le droit ne reconnaît pourtant presque jamais ce vocabulaire tel quel : il manipule des éléments de preuve, dont la valeur dépend de la manière dont ils ont été obtenus, conservés et produits. L'écart n'est pas une subtilité de langage, il commande directement ce qu'une organisation peut faire de ses propres constats.

Les enquêtes que publie Observatoire de l'Intelligence Économique sur la falsification de contenus, et les reportages que publie Le Fil de la Veille sur les litiges qui en découlent, butent régulièrement sur le même point de rupture. L'organisation dispose d'un matériau abondant, elle ne dispose pas d'un dossier. Entre les deux se trouve une série de qualifications successives que personne, dans la chaîne de traitement, n'a explicitement prise en charge.

Cet article ne dit pas comment constituer un dossier probatoire, travail qui relève d'un professionnel du droit. Il pose le vocabulaire : ce qu'est une trace, ce qui la transforme en indice, ce qui fait basculer un indice du côté de la preuve, et les critères concrets qui décident de chaque passage. Une cellule qui tient ces trois mots séparés cesse de promettre à sa direction ce qu'elle n'est pas en mesure de livrer.

Preuve, élément de preuve et mode de preuve : ce que le droit nomme réellement

La preuve, au sens strict, n'est pas un objet mais un résultat : l'état d'un juge convaincu de l'existence d'un fait. Ce qui circule dans un dossier n'est donc jamais une preuve, mais un élément de preuve, c'est-à-dire une pièce versée au soutien d'une allégation. Cette distinction paraît scolastique, elle a une conséquence immédiate : aucune pièce ne prouve seule, et aucun outil, aussi rigoureux soit-il, ne délivre une preuve. Il produit une pièce dont la force reste à apprécier.

Le mode de preuve désigne encore autre chose : la forme admise pour établir un fait, témoignage, écrit, constat, expertise. Un même contenu numérique peut être versé selon plusieurs modes, et sa force varie du tout au tout selon celui que l'on emploie. La même page publique aura une portée différente selon qu'elle est décrite dans un rapport interne, imprimée en annexe, ou constatée par un officier ministériel dans les formes prévues à cet effet.

Pour une cellule de veille, la conséquence pratique est nette. Le travail de veille produit du matériau, il ne produit pas de mode de preuve. Confondre les deux conduit à investir des semaines dans la constitution d'un corpus que la première contestation adverse renverra à un statut de simple allégation documentée.

La trace : un fait technique dépourvu de qualification

Une trace est l'empreinte laissée par un événement dans un système : une ligne de journal, une entrée de cache, un identifiant de session, la persistance d'un fichier sur un serveur miroir. Elle existe indépendamment de toute intention d'enquête et se caractérise par une propriété simple : elle n'affirme rien. Une adresse retrouvée dans un en-tête technique ne dit pas qui a agi, elle dit qu'un système a enregistré quelque chose à un moment donné, dans un format qu'il faut encore savoir lire.

La trace se distingue aussi par sa volatilité. Beaucoup disparaissent par rotation automatique des journaux, par purge de cache ou par suppression à la source, souvent en quelques jours. C'est pourquoi la première décision d'une cellule n'est pas d'interpréter mais de figer : capturer l'objet avec ses éléments contextuels, ses en-têtes, son adresse complète, l'heure de collecte et l'outil employé. Une trace non figée n'aura aucune existence ultérieure, quelle qu'ait été sa pertinence au moment où on l'a vue.

L'indice : une trace rapportée à une hypothèse de travail

L'indice naît d'une opération intellectuelle, pas d'une opération technique. Il apparaît quand une trace est mise en relation avec une hypothèse : ce nom de domaine enregistré la veille d'une campagne devient un indice si l'hypothèse porte sur une préparation coordonnée. Le même enregistrement, sans hypothèse, reste une trace parmi des milliers. L'indice est donc toujours relatif à une question posée, et il change de valeur si la question change.

De cette dépendance découle la faiblesse la plus fréquente des dossiers issus de la veille : la sélection des indices reproduit l'hypothèse initiale. On retient ce qui confirme et l'on ne conserve pas ce qui contredit. Une cellule sérieuse documente donc ce qu'elle a cherché et n'a pas trouvé, au même titre que ce qu'elle a trouvé, parce que l'absence de trace est elle aussi une information exploitable et vérifiable.

La chaîne de garde, critère de bascule vers l'admissibilité

Le passage de l'indice à l'élément de preuve ne dépend pas de la qualité du contenu observé mais de la continuité de sa conservation. La chaîne de garde désigne la traçabilité ininterrompue d'un objet numérique depuis sa collecte : qui l'a capturé, quand, avec quel outil, où il a été stocké, qui y a eu accès, et par quel calcul d'empreinte on démontre qu'il n'a pas été modifié depuis.

Un défaut anodin suffit à rompre cette chaîne. Un fichier recopié sur un poste personnel, un dossier partagé sans journalisation, un renommage manuel, une capture retouchée pour la lisibilité d'une présentation : chacun de ces gestes, courants dans une équipe pressée, prive la pièce de sa capacité à résister à la contestation. Le contenu reste vrai, il devient invérifiable.

Le point sensible tient à la chronologie. La chaîne de garde ne se reconstitue pas après coup, elle s'organise avant la collecte, donc avant de savoir si l'affaire aura une suite contentieuse. C'est un arbitrage de doctrine et non de technique : jusqu'où une organisation traite-t-elle ses collectes ordinaires comme si elles devaient un jour être produites, sachant que la très grande majorité ne le sera jamais.

Un dossier ne se dégrade pas au moment de la contestation, il se dégrade au moment de la collecte. La contestation ne fait que révéler ce qui manquait déjà.

Loyauté de la collecte : ce qui disqualifie un constat en source ouverte

Un second critère, indépendant du précédent, décide de la recevabilité : la loyauté du procédé. Observer ce qui est publiquement accessible, sans identité d'emprunt ni contournement d'un dispositif de restriction, situe la collecte dans le champ des sources ouvertes. Créer un faux profil pour entrer dans un groupe fermé, réutiliser des identifiants obtenus par un tiers, ou franchir une limitation technique fait sortir du cadre, quelle que soit la valeur de ce que l'on trouve ensuite.

Le contraste avec la pratique quotidienne est frappant. Un compte de test à moitié anonyme, créé pour accéder à un espace communautaire, paraît inoffensif à l'analyste qui le crée. Il transforme pourtant un matériau exploitable en matériau contaminé, et il expose l'organisation à un débat qui portera moins sur les faits révélés que sur les moyens employés pour les révéler. Sur ce terrain, l'outillage ne protège de rien : c'est une règle interne écrite, connue et opposable qui protège.

Ce que la distinction change dans l'organisation d'une cellule de veille

La première conséquence est terminologique et elle est peu coûteuse : bannir le mot preuve des livrables de veille. Un rapport qui parle d'indices concordants, en nommant l'hypothèse à laquelle ils se rattachent, dit exactement ce qu'il détient. Un rapport qui parle de preuves promet un statut juridique que personne dans la chaîne n'a constitué, et il place la direction dans une position intenable dès la première objection.

La deuxième conséquence est architecturale. Il faut deux régimes de collecte distincts, et non un régime moyen appliqué à tout. Le régime courant vise le volume et la vitesse, il alimente l'analyse. Le régime probatoire, déclenché par un critère écrit à l'avance, impose l'empreinte, la journalisation des accès et le stockage séparé. La difficulté réelle est le déclencheur : trop haut, il se déclenche trop tard, trop bas, il asphyxie l'équipe sous des formalités inutiles.

La troisième conséquence porte sur la couverture. Un régime probatoire n'a de sens que si l'événement a été détecté à temps, avant que la trace ne disparaisse. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, détecte les signaux dès leur publication et relie chaque élément à sa source d'origine, ce qui raccourcit le délai entre la parution d'un contenu et sa mise sous conservation. Le tri entre trace, indice et pièce reste ensuite un acte d'analyse assumé par l'organisation.

Questions fréquentes

Une capture d'écran peut-elle servir de preuve devant un tribunal ?

Elle est recevable comme élément de preuve, sa force probante est faible quand elle est produite seule. Une image se retouche sans difficulté et ne porte, par elle-même, aucune information vérifiable sur sa date, son auteur ou son adresse d'origine. Elle gagne en portée quand elle est accompagnée de l'adresse complète, de l'heure de collecte, du code source ou de l'archive correspondante, et d'une empreinte calculée à la collecte. La question utile n'est donc pas si une capture vaut preuve, mais ce qui l'entoure et permet à un tiers de refaire le chemin.

Quelle différence entre une trace et une donnée de connexion ?

La donnée de connexion est une catégorie juridique définie par la réglementation, qui vise les informations techniques relatives à l'acheminement d'une communication et dont l'accès est encadré et souvent réservé à des autorités. La trace est une notion opérationnelle, beaucoup plus large, qui recouvre toute empreinte laissée dans un système, y compris des éléments librement publiés. Une cellule de veille travaille sur des traces publiques, elle n'a pas accès aux données de connexion, et confondre les deux crée des attentes que le dispositif ne pourra jamais satisfaire.

À partir de quand faut-il basculer une collecte en mode probatoire ?

Le critère praticable n'est pas la gravité perçue, trop subjective et trop tardive, mais l'existence d'un tiers identifiable susceptible de contester. Dès qu'un dossier met en cause une personne, une entreprise ou un contrat nommés, la contestation devient plausible et le régime renforcé se justifie. Ce critère a le mérite d'être vérifiable par un tiers et de se décider en quelques secondes, au moment où l'analyste ouvre le dossier, plutôt que des semaines plus tard quand les traces utiles ont déjà tourné.