Legal Hold Forensics

Définition

Un Legal Hold (aussi appelé Litigation Hold ou Preservation Notice) est une obligation légale imposant à une organisation de préserver toutes les informations potentiellement pertinentes pour une procédure judiciaire en cours ou anticipée. En forensique numérique, la mise en oeuvre et la vérification des Legal Holds sont des processus critiques pour éviter la destruction inadvertante de preuves (spoliation) et se conformer aux obligations légales de discovery. Le Legal Hold est typiquement déclenché par la réception d'une assignation, l'ouverture d'une procédure judiciaire, ou l'anticipation raisonnable d'un litige. Le responsable juridique de l'organisation émet une Legal Hold Notice à tous les dépositaires (custodians) — les employés ou systèmes susceptibles de posséder des informations pertinentes. Cette notice leur impose de préserver toutes les données pertinentes et de suspendre toute politique normale d'effacement automatique (retention policies). Du point de vue technique forensique, un Legal Hold nécessite : l'identification des sources de données concernées (systèmes email, serveurs de fichiers, postes de travail, applications SaaS, sauvegardes), la suspension des politiques d'effacement automatique (journaux Windows avec rétention limitée, emails purged selon les politiques, logs SaaS expirés), et idéalement une collecte préventive des données les plus volatiles dans un référentiel de conservation légale. La spoliation des preuves (destruction délibérée ou négligente de preuves soumises à Legal Hold) peut entraîner des sanctions sévères dans les procédures judiciaires : inférence négative (le tribunal peut supposer que les preuves détruites étaient défavorables), condamnation pour contempt of court, ou même jugement par défaut. La documentation rigoureuse des mesures de Legal Hold et de la chaîne de traçabilité est essentielle pour démontrer la bonne foi en cas de contestation. En France, les obligations équivalentes découlent du Code de procédure civile (obligation de communication des pièces) et du Code pénal (article 434-4 : destruction de preuves). Le RGPD complique parfois les Legal Holds en imposant des durées limitées de conservation des données personnelles.