Ce qu'un expert judiciaire en informatique tire d'un disque dur

L'expertise informatique judiciaire est une mesure d'instruction par laquelle un juge confie à un expert inscrit près une cour d'appel l'analyse technique de supports numériques. Il copie les disques, exploite fichiers effacés, horodatages et journaux, puis dépose un rapport contradictoire qui fonde la décision.

Ce qu'est une expertise informatique judiciaire

Le code de procédure civile range l'expertise parmi les mesures d'instruction légalement admissibles. Le tribunal ne dispose ni du temps ni de la compétence technique pour dire si un fichier client a été copié sur une clé USB la veille d'une démission, ou si un logiciel livré correspond au cahier des charges signé. Il délègue donc ce travail à un expert judiciaire en informatique, en fixant par ordonnance une mission écrite qui borne précisément ce qu'il devra chercher.

Cette mission est le document le plus important de toute la procédure d'expertise. L'expert n'a pas le droit de la déborder : s'il lui est demandé d'examiner un poste de travail, il ne peut pas de sa propre initiative ouvrir la messagerie personnelle de son propriétaire. Les parties ont donc tout intérêt à discuter sa rédaction devant le juge, avant qu'elle ne soit figée, car c'est elle qui décidera de ce que le rapport pourra dire.

Il ne faut pas confondre cette intervention d'expert avec deux voisines. Le constat informatique dressé par un commissaire de justice décrit ce qui est visible à un instant donné, par exemple une page publiée sur internet : il constate, il n'analyse pas. L'audit commandé à un cabinet d'expertise privé est une analyse technique complète, mais réalisée pour une seule partie, donc discutable devant le juge. L'expertise judiciaire cumule les deux qualités : elle analyse, et elle le fait sous le regard de tout le monde.

Qu'est-ce qu'une expertise informatique judiciaire ?

C'est l'analyse de supports numériques confiée par un juge à un expert inscrit sur une liste de cour d'appel, dans le cadre d'une mission écrite. Elle se distingue d'un audit privé par son caractère contradictoire : chaque partie voit les opérations, reçoit les pièces et peut y répondre avant le dépôt du rapport.

Quand un juge ordonne l'analyse des supports numériques

Le point commun de ces litiges est que la preuve est enfermée dans du matériel informatique détenu par l'adversaire. Sans décision de justice, la partie qui réclame reste devant une porte close, et la charge de la preuve lui incombe pourtant. C'est la raison pour laquelle beaucoup de demandes sont formées avant tout procès, par la voie du référé de l'article 145 du code de procédure civile, qui permet de conserver une preuve électronique menacée de disparaître.

Le projet informatique qui dérape

C'est le contentieux informatique historique : un progiciel livré en retard, un site qui ne supporte pas la charge annoncée, un intégrateur et un client qui se renvoient la responsabilité. L'expert compare le livré au promis, reconstitue la chronologie des versions et des recettes, et distingue ce qui relève d'un manquement du prestataire de ce qui vient de spécifications changeantes côté client. Le préjudice financier se chiffre ensuite sur cette base, et notre page sur l'évaluation du préjudice financier détaille cette seconde étape.

Le départ d'un salarié et les fichiers emportés

Une équipe entière qui rejoint un concurrent, un fichier client retrouvé chez lui, une base de données dupliquée la veille d'un préavis : la concurrence déloyale et le détournement de fichiers forment aujourd'hui la matière la plus fréquente de l'expertise informatique judiciaire. L'analyse porte alors autant sur le poste rendu par le salarié que sur les serveurs de la société d'accueil, ce qui suppose une mission visant nommément les deux, et souvent deux procédures.

Viennent ensuite la contrefaçon de logiciel, où l'expert compare des codes sources placés sous scellé, les litiges de nom de domaine et de contenu en ligne, et l'analyse des conséquences d'une intrusion informatique lorsque la victime cherche à établir l'origine de la faille et l'étendue des données exposées.

La copie forensique, premier geste de l'expert

Un expert compétent ne travaille jamais sur le support d'origine. Il commence par en réaliser une image, secteur par secteur, à l'aide d'un bloqueur d'écriture, un boîtier qui laisse lire le disque mais interdit physiquement d'y écrire. Sans cette précaution, le simple fait de brancher un disque dur sur un ordinateur modifie des dates d'accès et suffit à faire discuter tout le reste par l'adversaire.

Cette image est ensuite empreinte : un calcul mathématique produit une suite de caractères qui change dès qu'un seul octet est modifié. L'empreinte est consignée au procès-verbal des opérations, avec la référence du support et les personnes présentes. Deux ans plus tard, recalculer cette empreinte prouve que le fichier analysé est bien celui qui a été saisi. C'est ce qui transforme une collecte de données en élément de preuve, et non l'outil employé pour la lire.

Les logiciels d'expertise viennent après. Ils reconstituent les systèmes de fichiers, indexent les contenus, alignent les journaux et permettent de rechercher par mot-clé sur des volumes que personne ne lirait à la main. Le matériel informatique de l'expert compte donc moins que sa méthode : c'est la traçabilité de chaque manipulation qui fait tenir le rapport devant le tribunal.

Quels outils sont utilisés en expertise judiciaire ?

Un bloqueur d'écriture pour copier sans altérer, une fonction de hachage pour sceller la copie, puis des suites d'investigation numérique qui reconstruisent les systèmes de fichiers, récupèrent les effacements et croisent les journaux. Ces techniques d'analyse relèvent de l'informatique légale, discipline distincte de l'administration système ordinaire.

Ce qu'un disque dur conserve encore

L'attente la plus répandue porte sur les fichiers effacés. Supprimer un document ne l'efface pas : le système se contente de déclarer libre l'espace qu'il occupe, et son contenu reste lisible tant qu'il n'a pas été recouvert. L'expert explore cet espace non alloué et reconstitue souvent des documents entiers, parfois des années après. Cette récupération est cependant beaucoup plus incertaine sur un disque à mémoire flash, dont le mécanisme interne de nettoyage efface réellement les blocs libérés sans attendre.

Les métadonnées sont souvent plus parlantes que les documents eux-mêmes. Chaque fichier porte une date de création, de dernière modification et de dernier accès, et le système conserve la trace des supports amovibles qui ont été branchés, avec leur numéro de série. Un tableau des corrélations vaut mieux qu'un long développement.

Cette dernière colonne est la plus importante et la plus souvent passée sous silence. Une trace technique établit un événement, jamais une intention ni une identité. C'est au juge de faire le lien, à partir du faisceau que le rapport lui présente, et un expert sérieux écrit noir sur blanc ce que ses constatations ne démontrent pas.

Le déroulement, de l'ordonnance au dépôt du rapport

Une fois l'expert judiciaire désigné par le tribunal, la partie demanderesse verse au greffe la somme fixée par le juge. L'expert ne commence ses opérations qu'après cet encaissement, et ce délai surprend souvent : rien ne se passe pendant plusieurs semaines. Notre page sur la consignation de la provision d'expertise revient sur ce mécanisme et sur les conséquences d'un défaut de paiement.

Vient ensuite la première réunion, qui se tient de plus en plus souvent dans les locaux où se trouve le matériel. L'expert y identifie les supports, procède aux copies et établit la liste des documents qu'il réclame à chacun. Toute la phase d'expertise obéit ensuite au principe du contradictoire : aucune pièce ne peut fonder le rapport si l'autre partie n'a pas pu en prendre connaissance et la discuter.

Avant de conclure, l'expert adresse aux parties une note de synthèse qui expose ses constatations et ses réponses provisoires. Cette note ouvre le temps des dires des parties, auxquels il est tenu de répondre dans son rapport définitif. Un dire technique, précis, appuyé sur des pièces, fait bouger des conclusions bien plus sûrement qu'une contestation générale déposée après coup. Le rapport d'expertise est enfin déposé au greffe et communiqué à tous.

Comment se déroule une expertise judiciaire en informatique ?

Ordonnance de désignation, consignation de la provision, première réunion avec copie des supports, analyses, note de synthèse soumise aux parties, dires, puis dépôt du rapport. La durée dépend surtout du volume de données à traiter et du nombre de parties appelées aux opérations.

Ce que pèse le rapport, et comment le contester

Le code de procédure civile est net sur ce point : le juge n'est pas lié par les constatations ni par les conclusions du technicien. C'est le fondement juridique de tout recours contre un rapport défavorable, et c'est aussi ce que les parties oublient le plus souvent. Dans les faits, un magistrat qui n'a pas la compétence technique suit rarement l'avis contraire de celui qu'il a lui-même désigné : l'enjeu réel se joue donc pendant les opérations, pas après.

Trois voies restent ouvertes une fois le rapport déposé. La demande de complément d'expertise s'adresse au même expert lorsqu'une question de la mission est restée sans réponse ou qu'un support n'a pas été examiné. La procédure de contre-expertise confie une nouvelle mission à un autre technicien, mais elle se justifie par une erreur de méthode démontrée, non par un simple désaccord sur l'issue. Un avis technique produit par un cabinet indépendant permet enfin de critiquer un raisonnement devant le tribunal, sans avoir la même force qu'une expertise judiciaire.

Une observation vaut d'être connue de toute entreprise concernée : un rapport établi sans qu'une partie ait été appelée aux opérations lui est inopposable. Le juge l'écarte, ou ne le retient que comme élément d'information à corroborer. C'est la raison pour laquelle un avocat vérifie, dès l'ordonnance, que toutes les personnes visées par le litige informatique figurent bien au cadre de la mission, y compris la société qui héberge les serveurs.

Quels sont les enjeux d'une expertise judiciaire ?

Le juge n'est pas lié par les conclusions de l'expert, mais il les suit le plus souvent faute de compétence technique propre. L'enjeu se joue donc pendant les opérations, par les dires et les pièces versées, davantage qu'au moment de contester le rapport. Un rapport rendu sans qu'une partie ait été appelée lui est inopposable.

Les limites que la mission ne franchit pas

Le chiffrement est la première. Un disque protégé par une phrase secrète que son propriétaire refuse de livrer reste illisible, et aucune mesure civile ne permet de l'y contraindre. L'expert le consigne, et le juge en tire les conséquences qu'il estime : un refus non justifié se retourne généralement contre celui qui l'oppose, mais cela reste une appréciation, pas une preuve.

La vie privée du salarié est la deuxième. La Cour de cassation juge depuis 2001 que l'employeur ne peut pas ouvrir les messages que le salarié a identifiés comme personnels, même sur un poste professionnel. Les fichiers qui ne portent aucune mention de ce genre sont à l'inverse présumés professionnels, donc consultables. L'expert doit ainsi trier au fil de l'analyse, et la mission prévoit souvent qu'il écarte les éléments manifestement privés sans en révéler le contenu. Le respect de la confidentialité des données personnelles rencontrées en chemin obéit à la même logique de proportionnalité.

Les données hébergées hors de France forment la troisième. Une messagerie ou un espace de stockage exploité par une société étrangère échappe à la portée directe d'une ordonnance française, et l'obtention passe alors par des voies plus longues. En pratique, l'expert travaille sur ce qui a été synchronisé localement, ce qui explique pourquoi le poste de travail garde toute son importance à l'heure du nuage.

Le coût et la personne qui le supporte

La question du budget vient tôt, et la réponse tient en deux temps qu'il ne faut pas confondre. Le juge fixe d'abord une provision, avancée par le demandeur ; cette somme n'est qu'une estimation, et l'expert peut solliciter une provision complémentaire si la mission se révèle plus lourde que prévu. À la fin, le magistrat taxe la rémunération réellement due par une ordonnance, au vu du compte détaillé produit par le technicien.

Le second temps est celui de la charge définitive. La rémunération des techniciens fait partie des dépens, que le juge met en principe à la charge de la partie perdante. Avancer les frais ne signifie donc pas les supporter, et une partie qui gagne récupère en général ce qu'elle a consigné. Nos pages sur les honoraires de l'expert judiciaire et sur le délai d'une expertise judiciaire chiffrent ces deux dimensions.

Ce qui fait varier le tarif d'un expert judiciaire en informatique n'est pas son taux horaire mais le volume : le nombre de supports à copier, la quantité de données à indexer, le nombre de parties à convoquer. Réduire le périmètre de la mission à ce qui est vraiment utile au litige est le seul levier sérieux dont dispose un avocat pour contenir le budget d'une expertise judiciaire.

Quels sont les coûts d'une expertise informatique ?

Une provision fixée par le juge et avancée par le demandeur, éventuellement complétée en cours de mission, puis une rémunération taxée au réel à la fin. Ces frais entrent dans les dépens et sont normalement supportés par la partie perdante. Le volume de supports et de données pèse davantage que le taux horaire.

Se préparer quand on est partie à la procédure

La préparation d'une expertise judiciaire commence avant la première réunion, et souvent avant même l'assignation. Le réflexe le plus utile est la conservation des preuves : dès qu'un litige devient prévisible, il faut geler les supports concernés, suspendre les rotations de sauvegarde et les effacements automatiques, et cesser d'utiliser le poste en cause. Un ordinateur que l'on continue d'employer se recouvre lui-même, et chaque semaine d'usage détruit un peu de ce que l'expert aurait pu retrouver.

Il faut ensuite réunir les documents nécessaires : contrats, cahier des charges, comptes rendus de recette, échanges de courriels, tickets de support, organigramme technique et inventaire du parc. Une partie qui arrive avec un dossier ordonné oriente les opérations d'expertise ; une partie qui arrive les mains vides subit celles de l'adversaire.

Enfin, se faire assister par un conseil technique aux côtés de son avocat change la nature des échanges. Ce spécialiste lit les procès-verbaux, vérifie que les empreintes correspondent, formule les objections au bon moment et rédige les dires dans un langage que l'expert reconnaît. Lorsque le point litigieux touche une matière que l'expert ne maîtrise pas lui-même, il peut de son côté demander au juge l'aide d'un sapiteur, spécialiste consulté sur un point précis.

Comment se préparer à une expertise judiciaire ?

Geler immédiatement les supports concernés, suspendre les effacements automatiques, cesser d'utiliser le poste litigieux, puis rassembler contrats, cahier des charges, recettes et échanges. L'assistance d'un conseil technique aux côtés de l'avocat permet de discuter les constatations pendant les opérations, quand elles peuvent encore évoluer.

Devenir expert judiciaire en informatique

L'inscription se demande chaque année auprès d'une cour d'appel, qui statue après enquête sur la compétence professionnelle et la moralité du candidat. Une première inscription probatoire précède l'inscription pour une durée renouvelable, et la Cour de cassation tient une liste nationale accessible aux experts justifiant d'une ancienneté suffisante sur une liste de cour. Les professionnels du droit consultent ces listes pour proposer un nom au magistrat.

La difficulté propre à cette spécialité tient à la double compétence exigée. Maîtriser l'investigation numérique ne suffit pas : il faut connaître la procédure civile, savoir rédiger une note aux parties, respecter des délais et répondre à des dires sans sortir de sa mission. Beaucoup de candidats techniquement excellents échouent sur ce second volet, et les compagnies d'experts, dont la compagnie nationale spécialisée en informatique et techniques associées, organisent des formations sur ce point précis. Notre page consacrée à devenir expert judiciaire détaille les conditions et le calendrier de dépôt.