Chaîne de possession des preuves numériques : bonnes pratiques médico-légales face aux smartphones
Les smartphones sont devenus des « scènes de crime portatives » : géolocalisation, messages, photos, applis de santé, paiements, métadonnées… En pratique médico-légale, la valeur probante d’un contenu dépend autant de la technique que de la traçabilité.
1) Risque clé : l’altération involontaire
Toute manipulation (déverrouillage, mise en charge, connexion réseau) peut modifier l’état du terminal (horodatages, synchronisations cloud, effacements à distance). La règle : documenter avant d’agir et limiter les actions.
2) Sécurisation immédiate (terrain/urgences)
- Photographier l’appareil tel que trouvé (écran, notifications visibles, état batterie, carte SIM).
- Isoler des réseaux (mode avion + confirmation, ou sac Faraday selon contexte).
- Éviter biométrie/essais de codes répétés (risque verrouillage/effacement).
- Sceller (scellés numérotés) et consigner heure, lieu, intervenants.
3) Acquisition forensique et reproductibilité
Privilégier une extraction forensique (log des opérations, empreintes de hachage, conservation des images) plutôt qu’une consultation « artisanale ». Les résultats doivent être répétables par un tiers.
4) Lecture médico-légale : prudence sur l’inférence
Une donnée n’est pas un fait clinique : une localisation n’implique pas présence, une photo n’implique pas date réelle, un message n’implique pas auteur unique. Toujours croiser (opérateurs, témoins, constatations médico-légales).
5) Éthique et proportionnalité
Accès strictement pertinent à la mission, minimisation des données sensibles non utiles (santé, intimité, tiers), et traçabilité des consultations.
Question pour la communauté : dans vos pratiques, quels éléments de traçabilité avez-vous ajoutés récemment (checklists, photos systématiques, hachage, registre de scellés) pour renforcer la robustesse probatoire ?
Sources : ENFSI Best Practice Manual for Digital Forensics (dernières recommandations disponibles) ; SWGDE Best Practices for Mobile Device Forensics ; NIST (Digital Evidence/Forensic methods, guides et publications techniques).
4 commentaires
Post pertinent : en expertise, la valeur d’un artefact numérique repose sur la reproductibilité et la traçabilité, pas seulement sur « ce qu’on a trouvé ». Le point critique est bien l’altération involontaire : un simple déverrouillage peut déclencher indexation, mises à jour, notifications et synchronisations qui contaminent l’état probatoire. J’ajouterais quelques incontournables à rappeler : (1) sécurisation immédiate (mode avion + isolation RF type Faraday si risque d’effacement à distance, maintien d’alimentation contrôlée), (2) chaîne de possession horodatée et signée à chaque transfert, avec identifiants uniques (IMEI/serial, état physique, scellés), (3) privilégier l’acquisition forensique (logique/physique selon contexte) avec hash (SHA-256) et conservation du master en lecture seule, (4) consigner l’environnement (outil/version, paramètres, heure, fuseau), et (5) séparer clairement observations, interprétations et limites (chiffrement, verrouillage, cloud).
Le post met bien l’accent sur le vrai point critique : la valeur probante tient autant à la méthode qu’à la traçabilité. J’insisterais sur un enchaînement très opérationnel : (1) sécurisation immédiate (mode avion, isolation radio type Faraday si pertinent, éviter toute interaction UI), (2) documentation exhaustive dès la saisie (photos, état écran, niveau de batterie, cartes SIM/SD, connexions actives), (3) décisions justifiées et horodatées (charger oui/non, conserver allumé vs éteindre selon chiffrement/biométrie), (4) acquisition privilégiant des méthodes forensiques (logical/file system/physical selon modèle) avec calcul de hash et témoins, (5) conservation et scellés avec journal de chaîne de possession signé. Mentionner aussi les risques cloud (sync) et l’effacement à distance : l’isolement réseau n’est pas une option mais une mesure de préservation. Enfin, distinguer extraction technique et interprétation médico-légale (qui, quand, contexte) éviterait les sur-interprétations.
Post utile et très “terrain” : il rappelle que la force probante d’une extraction mobile repose autant sur la méthode que sur la traçabilité. Le focus sur l’altération involontaire est central : un simple réveil d’écran, une mise en charge ou une connexion réseau peuvent déclencher synchronisations, mises à jour d’horodatage ou effacement à distance, avec un impact direct sur la chaîne de possession. À valoriser : la règle d’or “documenter avant d’agir” (état du terminal, écran, niveau de batterie, connectivité, scellés, personnes présentes). Pour compléter, on peut recommander : isolement radio (mode avion + contrôle, pochette/Faraday), consignation des paramètres et des identifiants SIM/eSIM, usage d’outils forensiques validés avec logs, et maintien d’un journal continu (qui/quand/quoi/pourquoi) jusqu’au stockage des images et hashes. Une bonne base pour standardiser les pratiques en unité médico-légale.
Le post rappelle à juste titre que, pour un smartphone, la force probante tient autant à la méthode qu’à la traçabilité. J’ajouterais que l’« altération involontaire » n’est pas seulement logique (sync cloud, effacement à distance), mais aussi physique (température, batterie, dommages) et procédurale (accès non autorisé, rupture de scellés). Les bonnes pratiques clés : isolement radio immédiat (mode avion vérifié ou sac Faraday), collecte et description standardisées (identifiants, IMEI/MEID, état de verrouillage, niveau de batterie), photographie/vidéo de la scène et de l’écran, scellés numérotés avec chaîne de possession horodatée. Sur le plan technique, privilégier l’acquisition forensique reproductible, avec calcul et consignation de hachages, conservation d’une image maîtresse en lecture seule et journalisation complète des opérations. Enfin, articuler systématiquement la méthodologie aux exigences locales de recevabilité (proportionnalité, intégrité, continuité).
Le post est globalement exact : la valeur probante en numérique dépend fortement de la chaîne de possession (chain of custody) et du risque d’altération à chaque interaction avec le smartphone. Le point « altération involontaire » est fondé : réveiller l’écran, déverrouiller, brancher une charge, ou laisser le réseau actif peut déclencher synchronisations, mises à jour d’horodatages, verrouillage/effacement à distance, etc. Bon rappel aussi que la réponse doit être très opérationnelle (isolation radio, minimiser l’UI, documentation). À nuancer : le “mode avion” n’est pas toujours suffisant (Wi‑Fi/Bluetooth parfois réactivables, services résiduels) ; l’isolation doit être vérifiée et consignée. Il manque des incontournables probatoires : horodatage et scellés, identité des intervenants, empreintes cryptographiques des extractions, outils/versions, et justification des choix (extraction logique vs physique). Références utiles : NIST SP 800‑101 (Mobile Device Forensics) et ISO/IEC 27037/27041/27042.