eDiscovery : comment exploiter les preuves électroniques dans une enquête interne

Dans toute enquête interne, qu'il s'agisse de fraude, de harcèlement ou de conflit d'intérêts, la reconstitution factuelle repose sur les traces laissées par les collaborateurs. Aujourd'hui, ces traces sont massivement électroniques : emails, messageries instantanées, documents partagés, fichiers stockés sur le cloud. L'eDiscovery désigne précisément la pratique permettant d'identifier, collecter et exploiter ces preuves numériques. Sans cette démarche structurée, l'enquêteur risque de passer à côté d'éléments décisifs.

---

Qu'est-ce que l'eDiscovery ?

L'eDiscovery (pour electronic discovery) désigne le processus d'identification, de collecte, de préservation et d'analyse de preuves électroniques dans le cadre d'une procédure légale ou d'une enquête interne. Contrairement à la simple recherche manuelle dans une boîte mail, l'eDiscovery mobilise des outils spécialisés capables de traiter des volumes massifs de données, de détecter des documents pertinents et de garantir leur intégrité tout au long du processus.

Dans le contexte d'une enquête interne, l'eDiscovery permet notamment de :

• Reconstituer une suite d'emails entre plusieurs collaborateurs suspectés de harcèlement ou de collusion
• Retrouver des versions successives d'un document modifié avant un appel d'offres
• Identifier des communications effacées sur une messagerie instantanée professionnelle
• Croiser des métadonnées (date, heure, auteur, destinataires) pour établir une chronologie factuelle

Cela permet de transformer un amoncellement de fichiers souvent indigeste, en un corpus de preuves exploitables et recevables.

---

Les grandes étapes de l'eDiscovery en enquête interne

L'eDiscovery n'est pas un simple export de boîtes mail. Il suit un protocole rigoureux en cinq phases successives.

1. Identification des sources de données

Avant toute collecte, il faut cartographier précisément où se trouvent les preuves potentielles :

• Messageries professionnelles (Outlook, Gmail, Exchange)
• Messageries instantanées (Teams, Slack, WhatsApp Business)
• Serveurs de fichiers et solutions cloud (SharePoint, Google Drive)
• Postes de travail locaux (ordinateurs, disques durs externes) ou serveurs distants

Cette phase suppose une compréhension fine des systèmes d'information de l'organisation et des usages réels des collaborateurs concernés. Quels outils utilisent-ils quotidiennement ? Où stockent-ils leurs documents sensibles ?

2. Préservation des données (legal hold)

Une fois les sources identifiées, il peut être utile de geler les données pour éviter toute modification ou suppression, qu'elle soit volontaire ou accidentelle. Cette étape, appelée legal hold, consiste à :

• Suspendre les politiques de suppression automatique (ex : effacement des emails après 90 jours)
• Bloquer l'accès en écriture aux comptes concernés
• Notifier formellement les dépositaires de données (les collaborateurs visés) de leur obligation de conservation

Le non-respect de cette étape peut entraîner la perte irréversible de preuves, voire des sanctions juridiques si l'enquête débouche sur une procédure contentieuse.

3. Collecte des données

La collecte consiste à extraire physiquement les données préservées, en garantissant leur intégrité technique et juridique. Les outils d'eDiscovery peuvent générer un hash cryptographique, soit une empreinte numérique unique. Cette dernière permet de prouver qu'aucune donnée n'a été altérée entre la collecte et l'analyse.

Deux méthodes coexistent :

• Collecte à distance (via solutions dédiées comme Purview ou Vault)
• Collecte physique (saisie de matériel, copie forensique de disques durs)

Le choix dépend principalement des contraintes techniques de l'organisation et de la sensibilité de l'enquête.

4. Traitement et revue des données

Cette phase transforme le volume brut collecté en un corpus analysable. Elle comprend plusieurs opérations techniques :

• Dédoublonnage : éliminer les copies multiples d'un même fichier
• Indexation : rendre les contenus recherchables par mots-clés, dates, auteurs
• Filtrage : exclure les fichiers non pertinents (ex : fichiers système, courriers automatiques)
• Analyse de métadonnées : croiser dates de création, de modification, d'envoi pour établir une chronologie
• Technology-Assisted Review (TAR) : utiliser l'intelligence artificielle pour identifier automatiquement les documents les plus pertinents dans un corpus de plusieurs millions de fichiers, notamment grâce à des fonctions de clustering et de threading.

L'enquêteur peut alors effectuer une revue documentaire : lire, annoter et tagger les pièces à charge ou à décharge, notamment grâce à des outils comme Relativity, Logickull ou Nuix.

5. Production et exploitation des preuves

Une fois le corpus stabilisé et analysé, les documents retenus sont produits, c'est-à-dire formellement extraits et présentés sous un format exploitable :

• Export PDF avec métadonnées
• Rapports chronologiques ou thématiques
• Visualisations de réseaux de communication (qui écrit à qui, à quelle fréquence)

Ces éléments constituent la base factuelle de l'enquête. Ils peuvent être utilisés dans un rapport interne, transmis au comité d'éthique, versés au dossier d'une procédure disciplinaire ou, le cas échéant, produits devant une autorité judiciaire.

---

Les plateformes reconnues du marché

Le marché de l'eDiscovery est dominé par des solutions professionnelles capables de traiter des volumes massifs et de garantir la traçabilité juridique de chaque opération. Voici un panorama des plateformes les plus utilisées :

Relativity

Relativity est la référence mondiale pour les contentieux complexes et les enquêtes de grande ampleur. La plateforme propose des fonctionnalités avancées de TAR (Technology-Assisted Review), de visualisation de réseaux de communication et de gestion collaborative de la revue documentaire. Elle est particulièrement prisée par les cabinets d'avocats et les grandes entreprises dans le cadre de litiges internationaux.

Nuix

Nuix se distingue par sa capacité à traiter des sources de données très variées — y compris des formats exotiques, des messageries chiffrées ou des archives corrompues. Son moteur d'analyse forensique en fait un outil de choix pour les enquêtes internes nécessitant une approche technique poussée (reconstitution de fichiers effacés, analyse de disques endommagés).

Logikcull

Logikcull se positionne sur le segment des petites et moyennes enquêtes, avec une approche self-service : l'utilisateur peut uploader, traiter et analyser ses données sans intervention technique externe. La plateforme propose un modèle tarifaire simple et transparent, basé sur le volume de données traitées.

---

Quand mobiliser l'eDiscovery dans une enquête interne ?

L'eDiscovery n'est pas systématiquement nécessaire pour toute enquête. Son déploiement se justifie lorsque :

• Le volume de données à analyser dépasse ce qu'un humain peut raisonnablement traiter manuellement
• L'enquête porte sur des faits nécessitant une reconstitution chronologique précise
• L'affaire présente un risque contentieux (procédure pénale, action civile, contrôle réglementaire) imposant une traçabilité juridique stricte
• Des preuves risquent d'être détruites ou altérées sans mesure de préservation immédiate

---

L'eDiscovery transforme la collecte de preuves électroniques en un processus industrialisé et traçable, avec une meilleure garantie juridique. Maîtriser ses étapes et ses outils permet aux enquêteurs internes de reconstituer des faits complexes avec rigueur, de détecter des comportements dissimulés et de produire des preuves exploitables devant toute instance, qu'elle soit disciplinaire, réglementaire ou judiciaire.