Informatique légale · Particuliers

Comment puis-je savoir quand une vidéo a été enregistrée ou créée ?

Les vidéos peuvent contenir plusieurs indications temporelles dans les conteneurs, le système de fichiers et les applications, qui décrivent différentes opérations.

Demande sans engagement

Pourquoi cette question est-elle importante pour les particuliers ?

Les discussions, photos, vidéos et captures d'écran peuvent revêtir une importance considérable dans le cadre de litiges privés, civils ou pénaux. Leur présentation visuelle ne permet toutefois pas automatiquement de répondre aux questions relatives à leur origine, à leur modification, à leur date ou à leur auteur.

Approche technique d'analyse

Nous comparons les plages horaires disponibles et les éléments correspondants (appareils, applications ou éléments cloud), en tenant compte des fuseaux horaires et des exportations éventuelles.

Où se situe la limite de l'expression

Une simple entrée « Creation-Time » ne correspond pas nécessairement à l'heure réelle de l'enregistrement.

Pourquoi LanCologne ?

Pour les non-initiés, les preuves numériques semblent souvent plus incontestables qu’elles ne le sont en réalité d’un point de vue technique. Une capture d’écran peut paraître authentique tout en ayant été retouchée. À l’inverse, l’absence de métadonnées ou une recompression peuvent avoir des causes tout à fait normales. Un fichier peut se trouver sur un smartphone sans y avoir été créé.

LanCologne décompose donc cette question apparemment simple „ Est-ce authentique ? “ en sous-questions vérifiables sur le plan technique : le fichier original est-il disponible ? De quelle application ou source de données provient-il ? Les structures internes et les métadonnées sont-elles cohérentes ? Existe-t-il des entrées correspondantes dans les bases de données, les sauvegardes, le cloud ou les artefacts système ? Le fichier a-t-il été exporté, converti ou modifié ? Parmi ces opérations, lesquelles sont réellement vérifiables ?

Il est particulièrement important de faire la distinction entre l'authenticité et la paternité. Même si, d’un point de vue technique, un message figurait bien sur un compte donné, cela ne prouve pas automatiquement quelle personne physique l’a saisi. De même, le modèle d’appareil photo figurant dans les données EXIF ne prouve pas, sans vérification supplémentaire, quel appareil physique concret a généré un fichier.

Nous privilégions les données brutes plutôt que les simples représentations. Les messages originaux, les bases de données et les fichiers originaux fournissent généralement davantage de contexte technique que les captures d'écran, les impressions ou les exportations réalisées a posteriori.

Le résultat reste ouvert. Nous consignons de manière équitable les résultats confirmants, contradictoires et indécis, et expliquons de manière claire jusqu’où porte réellement une affirmation technique.

Notre méthode de travail

1Définir la question de preuve concrète : contenu, origine, date, modification ou paternité.

2Obtenir l'appareil d'origine ou le fichier d'origine, dans la mesure où ceux-ci sont légalement disponibles.

3Créer des copies de travail et documenter l'intégrité des états de données appropriés.

4Faire clairement la distinction entre les captures d'écran, les exportations et les données brutes.

5Analyser la structure des fichiers, les métadonnées et les artefacts spécifiques à l'application.

6Interpréter les horodatages en fonction de leur signification technique respective.

7Vérifier les bases de données correspondantes, les sauvegardes, le cloud et les traces système.

8Distinguer la conversion normale et le traitement par la plateforme de la manipulation ciblée.

9Ne laissez jamais les détecteurs automatiques de manipulation ou basés sur l'IA prendre des décisions seuls.

10Il ne faut pas confondre authenticité, provenance, propriété et paternité de l'œuvre.

11Répertorier les hypothèses alternatives et les lacunes dans les données.

12Présenter le résultat de manière compréhensible et reproductible en vue d'une vérification par des experts.

L'authenticité n'est pas synonyme de paternité de l'œuvre

D'un point de vue technique, un message peut être stocké de manière authentique dans un compte ou sur un appareil sans que l'on puisse en déduire avec certitude quelle personne physique l'a rédigé. Cette distinction permet d'éviter de confondre un constat technique correct avec une affirmation non prouvée concernant l'identité d'une personne.

Les données originales sont plus importantes que la simple représentation à l'écran

Une capture d'écran peut s'avérer précieuse, notamment lorsque le contenu disparaît par la suite. Toutefois, pour mener une enquête plus approfondie, nous essayons également d'obtenir les fichiers originaux, les données des applications, les bases de données ou d'autres sources primaires. Ceux-ci contiennent souvent des éléments de contexte qui ne figurent pas dans la représentation visible.

Pourquoi utiliser la méthode LanCologne lors de l'examen des preuves numériques ?

LanCologne ne considère pas les contenus numériques comme vrais ou faux simplement parce qu’ils semblent plausibles. Nous examinons les preuves techniques disponibles, documentons leur origine et leurs limites, et présentons notre analyse de manière à ce qu’elle soit compréhensible pour le particulier tout en restant vérifiable par un avocat, une autorité chargée de l’enquête, un tribunal ou tout autre expert en informatique légale qualifié.

Cadre juridique

En cas de manipulation de données probantes numériques, l'article 269 du Code pénal allemand (StGB) peut s'appliquer en fonction des circonstances concrètes. Cette disposition concerne, sous certaines conditions, le stockage ou la modification de données pertinentes pour la preuve dans une intention frauduleuse, ou l’utilisation de données ainsi stockées ou modifiées. La question de savoir si un fichier ou un message concret remplit tous les éléments constitutifs de l’infraction est une question juridique ; la constatation technique d’une manipulation ne suffit pas à elle seule à y répondre.

L'article 371 du Code de procédure civile (ZPO) s'applique aux procédures civiles. En vertu de cet article, la preuve par inspection sur place peut également être apportée par la présentation ou la transmission de documents électroniques. L'article 371a du Code de procédure civile allemand (ZPO) contient des dispositions particulières relatives à la force probante des documents électroniques, notamment en ce qui concerne les signatures électroniques qualifiées et certains documents électroniques publics. Par conséquent, tout message de chat ou fichier image ordinaire ne bénéficie pas automatiquement de la force probante particulière prévue par ces dispositions.

Les articles 402 et suivants du Code de procédure civile (ZPO) s'appliquent à la preuve d'expert. Une expertise en informatique légale commandée à titre privé ne constitue pas une expertise judiciaire du simple fait de sa qualité technique. Sa méthodologie compréhensible et les éléments de preuve sur lesquels elle s'appuie peuvent toutefois revêtir une importance particulière pour les avocats et pour un examen technique ultérieur.

Les valeurs de hachage constituent un outil important pour garantir l'intégrité, mais ne constituent pas une garantie d'authenticité du contenu d'origine. Une valeur de hachage atteste qu'un ensemble de données donné est resté inchangé depuis la création du hachage ou qu'il correspond, bit par bit, à un ensemble de référence. Elle ne permet pas de déterminer automatiquement si le contenu a été altéré avant la sauvegarde.

LanCologne évalue les données techniques et leur pertinence. L'appréciation juridique des preuves, la qualification pénale et la décision quant à l'importance à accorder à chaque élément de preuve au cours de la procédure relèvent de la compétence des avocats, des autorités chargées de l'enquête et des tribunaux.

Foire aux questions

Comment puis-je savoir quand une vidéo a été enregistrée ou créée ?

Comment se déroule concrètement un tel examen technique ?

Nous comparons les plages horaires disponibles et les éléments correspondants (appareils, applications ou éléments cloud), en tenant compte des fuseaux horaires et des exportations éventuelles.

Un tel examen peut-il toujours fournir un résultat sans équivoque ?

Une simple entrée « Creation-Time » ne correspond pas nécessairement à l'heure réelle de l'enregistrement.

Existe-t-il une base juridique à cet effet ?

En cas de manipulation de données numériques constituant des éléments de preuve, l'article 269 du Code pénal allemand (StGB) peut s'appliquer en fonction des circonstances concrètes. Cette disposition concerne, sous certaines conditions, le stockage ou la modification de données pertinentes pour la preuve dans l'intention de tromper, ou l'utilisation de données ainsi stockées ou modifiées. La question de savoir si un fichier ou un message concret remplit tous les éléments constitutifs de l’infraction est une question juridique ; la seule constatation technique d’une manipulation n’y répond pas. Pour les procédures civiles, l’article 371 du Code de procédure civile allemand (ZPO) s’applique. En vertu de cette disposition, la preuve par inspection peut également être apportée par la production ou la transmission de documents électroniques. L’article 371a du Code de procédure civile (ZPO) contient des dispositions particulières relatives à la force probante des documents électroniques, notamment en ce qui concerne les signatures électroniques qualifiées et certains documents électroniques publics. C’est pourquoi tout message de chat ou fichier image ordinaire ne possède pas automatiquement la force probante particulière qui y est prévue. En matière de preuve d’expert, les articles 402 et suivants du Code de procédure civile (ZPO) s’appliquent. Une expertise informatique judiciaire commandée à titre privé ne constitue pas une expertise judiciaire du simple fait de sa qualité technique. Sa méthodologie traçable et les éléments de preuve recueillis peuvent toutefois revêtir une importance pour les avocats et pour un examen technique ultérieur. Les valeurs de hachage constituent un outil d’intégrité important, mais ne garantissent pas l’authenticité du contenu d’origine. Une valeur de hachage atteste qu’un ensemble de données donné est resté inchangé depuis la génération du hachage ou qu’il correspond bit à bit à un ensemble de référence. Elle ne permet pas de déterminer automatiquement si le contenu a été manipulé avant la sauvegarde. LanCologne évalue les données techniques et leur valeur probante. L’appréciation juridique des preuves, la qualification pénale et la décision quant à l’importance à accorder à chaque preuve dans la procédure relèvent de la compétence des avocats, des autorités chargées de l’enquête et des tribunaux.