Informatique légale · Avocats et avocats pénalistes

Comment vérifier si les données de connexion et de communication présentent des incohérences techniques ?

Les opérations de communication peuvent générer des informations différentes concernant l'heure et l'état, tant au niveau du terminal que chez le fournisseur d'accès et chez le correspondant.

Demande sans engagement

Pourquoi cette question est-elle importante pour la défense pénale ?

Après consultation du dossier, il importe de distinguer les faits techniques des évaluations synthétiques issues de l'enquête. Les preuves numériques, en particulier, peuvent paraître plausibles dans les rapports, alors que l'étendue de l'extraction, la sémantique temporelle, l'attribution aux personnes ou le contexte des données exigent une évaluation plus nuancée.

Approche technique d'analyse

Nous comparons les identifiants techniques, les valeurs temporelles, les états de connexion et les données disponibles du poste distant, et nous expliquons les écarts liés au système.

Où se situe la limite de l'expression

Des divergences dans les données ne constituent pas automatiquement des preuves de manipulation ; elles doivent être évaluées en fonction de l'architecture du système concerné.

Pourquoi LanCologne ?

D'après l'examen du dossier, la valeur ajoutée d'une contre-vérification indépendante en informatique légale ne consiste pas à remettre globalement en cause le travail des autorités. Il s'agit plutôt de vérifier que les conclusions numériques déterminantes reposent bien sur les données réelles.

LanCologne vérifie donc quel élément de preuve, quelle image ou quelle extraction a été examinée, quels filtres et analyseurs syntaxiques ont été utilisés, et si la conclusion qui en a été tirée est techniquement étayée par les données primaires. Lorsqu’une conclusion administrative est correcte, elle est confirmée. Lorsqu’une affirmation va au-delà des données, cette limite est expliquée de manière compréhensible.

Une attention particulière est accordée à la distinction entre l'appareil, le compte, la session et la personne physique, ainsi qu'entre le comportement automatisé du système et l'action délibérée de l'utilisateur. Les résultats contradictoires, les sources de données incomplètes et les explications alternatives techniquement plausibles sont également pris en compte.

L'objectif est de disposer d'une base technique solide pour la défense, capable de résister à un examen ultérieur par le parquet, d'autres experts et le tribunal.

Notre méthode de travail

1Recenser de manière structurée le dossier d'enquête et les pièces techniques accessibles à la défense.

2Associer de manière univoque les identifiants des éléments de preuve, les images, les extraits et les rapports.

3Vérifier quelles sources de données ont effectivement servi de base à ces conclusions accablantes.

4Documenter l'étendue de l'extraction, les erreurs, les filtres, les mots-clés et les limites temporelles.

5Vérifier la cohérence des résultats du parseur et des rapports par rapport aux données brutes et au contexte du système.

6Évaluer séparément l'attribution des appareils, des comptes, des sessions et des personnes.

7Prendre en compte les fuseaux horaires, la synchronisation et les dépendances entre sources dans les corrélations.

8Rechercher des résultats contradictoires et des explications alternatives qui n'ont pas encore été pris en compte.

9Signaler expressément les incertitudes techniques et les données non disponibles.

10Documenter les résultats clés et les questions techniques de manière compréhensible et reproductible pour la défense.

Résultats défavorables, favorables et indécis

Une contre-vérification technique ne consiste pas à chercher à tout prix une erreur dans le dossier d’enquête. Les conclusions techniquement correctes sont confirmées. Si des conclusions contradictoires, des données incomplètes ou d’autres explications techniques sont constatées, celles-ci sont également documentées de manière claire et compréhensible. La défense dispose ainsi d’une base factuelle réaliste et solide.

Compréhensible pour l'avocat de la défense – reproductible pour d'autres experts en criminalistique

La conclusion principale est formulée de manière claire, sans jargon technique inutile. Les sources de données pertinentes pour l'expertise, les valeurs de hachage, les identifiants, les repères temporels, les emplacements des données brutes et les étapes méthodologiques sont documentés de manière à ce qu'un autre expert en informatique légale qualifié puisse comprendre d'un point de vue technique les constatations essentielles.

LanCologne en tant qu'assistance technique indépendante à la défense pénale

Lorsqu'un avocat de la défense souhaite, après avoir consulté le dossier, faire vérifier de manière indépendante les conclusions relatives aux clés numériques, LanCologne lui apporte son soutien en réalisant une contre-expertise informatique légale objective et sans a priori. L'objectif est d'apporter une réponse claire quant à ce que les données techniques disponibles prouvent réellement – et ce qu'elles ne prouvent pas.

Cadre juridique

Le droit de l'avocat de la défense à consulter les dossiers et à examiner les pièces à conviction est régi par l'article 147 du Code de procédure pénale. En vertu du paragraphe 1, l'avocat de la défense est habilité à consulter les dossiers dont dispose le tribunal ou qui doivent lui être présentés en cas d'acte d'accusation, ainsi qu'à examiner les pièces à conviction conservées par les autorités. Tant que la clôture de l’enquête n’a pas encore été consignée dans le dossier, la consultation ou l’inspection visées au paragraphe 2 peuvent être restreintes dans les conditions qui y sont énoncées. Conformément à l'article 147, paragraphe 3, l'avocat de la défense ne peut en aucun cas se voir refuser l'accès aux rapports d'expertise, quelle que soit la phase de la procédure. C'est en principe le parquet qui statue sur l'octroi de l'accès au dossier au cours de la phase d'instruction (article 147, paragraphe 5).

Ces droits reviennent à l'avocat de la défense, et non à LanCologne. Une contre-vérification technique présuppose donc que la défense puisse légalement mettre à disposition les documents ou données concernés. Le fait de mandater LanCologne à titre privé ne lui confère aucun droit propre de consultation, d’accès au dossier ou d’accès aux données vis-à-vis du parquet ou de la police.

L'article 160, alinéa 2, du Code de procédure pénale (StPO) oblige le parquet à enquêter tant sur les circonstances à charge que sur celles à décharge. Conformément à l'article 163a, alinéa 2, du StPO, les éléments de preuve invoqués par le prévenu à sa décharge doivent être recueillis s'ils sont pertinents. Une expertise technique indépendante peut donc fournir des éléments factuels que l'avocat de la défense peut évaluer en vue de nouvelles suggestions de preuves ou de requêtes ; la décision procédurale revient à l'avocat de la défense ou au service de poursuite pénale compétent.

En ce qui concerne les éléments de preuve électroniques saisis, confisqués ou examinés par les autorités, il convient notamment de respecter les articles 94, 98 et 110 du Code de procédure pénale. L'article 110, paragraphe 3, régit l'examen des supports de stockage électroniques par les autorités publiques habilitées à cet effet, ainsi que, sous certaines conditions, celui des supports de stockage situés dans des lieux distincts. Il n'en découle aucun pouvoir souverain pour un expert en informatique légale mandaté par un particulier.

Un expert en informatique légale mandaté à titre privé par la défense n'est pas, du simple fait de ce mandat, un expert officiellement désigné au sens des articles 72 et suivants du Code de procédure pénale. Ces rôles procéduraux sont expressément distingués.

Foire aux questions

LanCologne peut-il demander lui-même à consulter le dossier en vertu de l'article 147 du Code de procédure pénale ?+

Non. Ce droit revient à l'avocat de la défense ou, sous réserve des conditions légales, à la personne mise en cause. LanCologne ne peut procéder à une vérification technique que des éléments du dossier et des données qui lui ont été légalement communiqués.

La vérification croisée part-elle du principe que l'analyse effectuée par l'administration est erronée ?+

Non. L'examen ne préjuge pas du résultat. Les résultats déterminants peuvent être confirmés, nuancés ou réfutés d'un point de vue technique.

Faut-il répéter l'intégralité de l'analyse judiciaire pour chaque rapport ?+

Ce n'est pas obligatoire. L'étendue dépend de la question de défense concrète et des éléments techniques qui étayent effectivement l'accusation.

Le LanCologne peut-il aider l'avocat de la défense à poser des questions techniques à un expert ?+

Oui. Nous pouvons mettre en évidence les incohérences techniques, les lacunes dans les données et les limites des témoignages, et en déduire une liste de questions techniques. C'est l'avocat de la défense qui décide de la manière de les utiliser au cours du procès.