Informatique légale · Avocats et avocats pénalistes

Comment la défense peut-elle vérifier si la détection d'un VPN, d'un proxy ou de Tor est effectivement liée à l'activité reprochée à l'accusé ?

L'existence de logiciels ou de traces réseau correspondants peut paraître suspecte d'un point de vue technique, mais ne permet pas pour autant d'établir un lien avec un acte concret.

Demande sans engagement

Pourquoi cette question est-elle importante pour la défense pénale ?

Au cours de l'instruction, certaines déclarations techniques peuvent revêtir une importance considérable. Pour permettre une défense adéquate, il doit rester possible de déterminer si une déclaration découle directement de données primaires, repose sur une interprétation automatisée ou repose sur des hypothèses supplémentaires.

Approche technique d'analyse

Nous établissons des corrélations entre les heures d'installation et d'utilisation, les sessions, les événements réseau, les connexions cibles et la période exacte où les faits se sont produits.

Où se situe la limite de l'expression

L'installation ou l'utilisation générale d'un service d'anonymisation ne prouve pas qu'une connexion incriminée spécifique ait été établie par ce biais.

Pourquoi LanCologne ?

À ce stade du procès, il est particulièrement important de ne pas considérer les résultats techniques isolément. Une preuve numérique ne peut être correctement mise en perspective que si son origine, son état actuel, la logique qui a présidé à sa création et ses limites en termes de pertinence sont connus.

LanCologne procède donc systématiquement des constatations initiales à la conclusion. Les rapports automatisés, les captures d’écran ou les vues logicielles servent à illustrer les résultats, mais ne sont pas assimilés à la source de preuve proprement dite. En cas de constatations décisives, nous vérifions, dans la mesure où la base de données le permet, les fichiers, bases de données, journaux, métadonnées ou autres artefacts sous-jacents.

Les éléments à charge et à décharge sont traités selon les mêmes critères techniques. Une alternative techniquement possible n’est pas considérée comme une preuve contraire tant qu’il n’existe pas d’indices concrets. À l’inverse, un affichage logiciel qui semble plausible ne permet pas d’en déduire une identification plus précise d’une personne si les éléments de preuve nécessaires à cet effet font défaut.

Le rapport doit être compréhensible pour les avocats de la défense et le tribunal, tout en contenant suffisamment de détails techniques pour qu’un autre expert qualifié en informatique légale puisse comprendre et vérifier les conclusions essentielles.

Notre méthode de travail

1Déterminer le fait concret faisant l'objet de la preuve et la source numérique correspondante.

2Associer de manière univoque les données brutes, les exportations, les rapports et les représentations.

3Consigner l'état des données ainsi que la date de la sauvegarde ou de la collecte.

4Vérifier l'intégrité, l'identité et, le cas échéant, les différences entre les versions.

5Identifier l'origine technique des résultats des analyseurs syntaxiques, des filtres et des recherches.

6Évaluer séparément l'affectation du temps, des appareils, des comptes, des sessions et des personnes.

7Vérifier les processus automatiques et les explications alternatives concrètes sur le plan technique.

8Recouper les nouveaux éléments de preuve issus du procès avec la base de données existante.

9Consigner les éléments à charge, à décharge et les points en suspens selon des critères uniformes.

10Résumer de manière claire les arguments clés et les limites de l'argumentation à l'intention de la défense.

Résultats défavorables, favorables et indécis

Notre étude ne préjuge pas des résultats. Si un résultat défavorable se confirme, il sera consigné au même titre qu’un contre-résultat solide. Si une question technique ne peut être tranchée en raison d’un manque de données, de plusieurs causes tout aussi plausibles les unes que les autres ou de limites méthodologiques, c’est précisément cette incertitude qui sera consignée.

Compréhensible pour les avocats de la défense et le tribunal – clair pour les autres experts en criminalistique

Le message clé est expliqué dans un langage accessible. La partie technique documente les sources de données, les identifiants, les repères temporels, les informations relatives à l'intégrité, les données brutes pertinentes et les étapes de validation. Cela permet à un autre expert qualifié en informatique légale de vérifier les conclusions essentielles d'un point de vue technique.

LanCologne en tant qu'assistance technique indépendante à la défense pénale

Lorsque, au cours du procès, il s'agit d'analyser des preuves numériques, de nouveaux témoignages techniques ou des conclusions contradictoires issues de l'expertise informatique, LanCologne apporte son soutien en procédant à une analyse objective, transparente et impartiale. Seules les données disponibles et ce qu'elles démontrent réellement font foi.

Cadre juridique

L'article 244 du Code de procédure pénale (StPO) reste déterminant pour l'instruction en cours. Conformément au paragraphe 2, le tribunal doit, d'office, étendre l'instruction à tous les faits et éléments de preuve pertinents pour la décision. Les conditions requises pour une demande de preuve et les motifs légaux de rejet découlent notamment de l’article 244, alinéas 3 et suivants, du Code de procédure pénale. LanCologne peut mettre en évidence des questions factuelles d’ordre technique et des sources de données appropriées, mais ne dépose pas lui-même de demandes de preuve dans le cadre de la procédure pénale.

Conformément à l’article 246, paragraphe 1, du Code de procédure pénale, l’administration d’une preuve ne peut être refusée au seul motif que l’élément de preuve ou le fait à prouver a été présenté tardivement. Les autres dispositions de l'article 246, notamment celles relatives aux éventuelles demandes de suspension en cas de présentation tardive, relèvent du droit procédural et concernent les parties à la procédure ainsi que le tribunal.

L'article 249 du Code de procédure pénale régit la preuve par écrit. Conformément à l'article 249, paragraphe 1, les documents électroniques sont considérés comme des pièces écrites dans la mesure où ils sont lisibles. Le paragraphe 2 énonce les conditions requises pour la procédure de lecture autonome. La tâche technique peut consister à vérifier la version, l'origine et l'intégrité d'un document électronique ; c'est au tribunal qu'il appartient de décider de la forme que prendra l'administration de la preuve.

Conformément à l'article 257, paragraphe 2, du Code de procédure pénale, l'avocat de la défense doit également, à sa demande, avoir la possibilité de s'exprimer après chaque acte d'instruction. Conformément au paragraphe 3, cette déclaration ne doit pas préjuger des conclusions finales. LanCologne peut, à cette fin, présenter des éléments techniques, mais ne fait aucune déclaration processuelle à la place de l'avocat de la défense.

Si, au cours de l'audience principale, le point de vue juridique ou, dans les cas visés par l'article 265, l'état de fait venait à changer, l'article 265 du Code de procédure pénale prévoit des dispositions relatives à la notification et, sous certaines conditions, à la suspension de la procédure. La question de savoir si cette norme s'applique dans le cas d'espèce doit faire l'objet d'une appréciation juridique. Nous nous limitons à déterminer si et comment les faits techniques ont évolué.

Une fois l'instruction terminée, les plaidoiries finales ont lieu conformément à l'article 258 du Code de procédure pénale. L'appréciation proprement dite des preuves relève de la compétence du tribunal : en vertu de l'article 261 du Code de procédure pénale, celui-ci statue sur le résultat de l'instruction selon sa libre conviction, fondée sur l'ensemble des éléments ressortant du procès. Une expertise en informatique légale peut expliquer des faits techniques et leurs limites, mais elle ne remplace ni les plaidoiries finales ni l'appréciation judiciaire des preuves.

Foire aux questions

Le LanCologne peut-il, au cours de l'audience principale, préparer des éléments techniques en vue d'une déclaration de l'avocat de la défense ?+

Oui. Nous pouvons analyser d'un point de vue technique un rapport d'expertise numérique et en déterminer la base de données ainsi que les limites de sa validité. L'explication de la procédure incombe quant à elle à l'avocat de la défense.

Une vue d'écran d'un logiciel constitue-t-elle déjà en soi une preuve numérique à part entière ?+

Ce n'est pas obligatoire. Il s'agit souvent d'une interprétation des données brutes. Lorsque les résultats sont déterminants, il doit être possible de retracer les données sur lesquelles se fonde l'affichage.

Une nouvelle preuve numérique peut-elle encore être prise en compte au cours de l'audience principale ?+

Oui. Il convient toutefois d'examiner sa portée technique et son origine. Le traitement procédural dépend de la situation concrète de la procédure.

Est-ce que LanCologne détermine, à l'issue du procès, si l'accusé est coupable ou s'il doit être acquitté ?+

Non. Nous répondons à des questions techniques factuelles. L'appréciation juridique et l'appréciation des preuves relèvent respectivement de la défense et du tribunal.