Projet de loi de 2026 sur l’accès légal

Honorables sénateurs, je suis prêt pour le discours que je m’apprête à prononcer.

J’ai rencontré une bonne partie des gens qui devront se conformer au projet de loi C-22, ou « Loi sur l’accès légal ». J’ai rencontré des gens d’ici et d’ailleurs qui offrent leurs services partout sur la planète, j’ai rencontré des innovateurs canadiens dont l’entreprise est en pleine expansion et j’ai aussi rencontré certains des ingénieurs qui devront mettre le projet de loi en œuvre. Tous avaient d’énormes réserves.

Pour commencer, voici mon opinion à moi. J’adhère entièrement à l’objectif premier du projet de loi C-22, et je suis conscient qu’il y a urgence d’agir. En fait, je n’ai rencontré personne qui prétend le contraire.

Si nous voulons réduire les torts que subissent les Canadiens, nous devons actualiser les moyens à notre disposition pour sanctionner les crimes commis à l’ère numérique. Citoyens, entreprises, infrastructures essentielles : tout est de plus en plus vulnérable, et les forces de l’ordre autant que les services de sécurité ont besoin d’outils d’intervention efficaces.

J’aimerais tout d’abord remercier notre collègue le sénateur Dhillon pour les dizaines d’années qu’il a passées sur les premières lignes à défendre les Canadiens. Il a vu des choses que je n’ai jamais vues, il sait des choses que j’ignore, et j’ai pour lui un respect absolu.

En tant qu’ancien entrepreneur et défenseur d’organisations hautement technologiques, je vais aborder ce projet de loi sous un angle qui pourrait s’avérer différent du sien. Dans son discours à l’étape de la deuxième lecture, le sénateur Dhillon a décrit une rencontre importante que lui, les sénatrices Ataullahjan et Hay et moi avons eue en août avec un groupe spécial d’enquêteurs sur les crimes financiers du Service de police de Toronto. L’ampleur et la complexité des crimes qu’ils voient et les défis qu’ils rencontrent sont représentatifs des activités criminelles en général. Cependant, c’était très troublant, car le projet de loi C-22 comme tel n’a jamais été soulevé. Si cela avait été le cas, les participants l’auraient probablement appuyé. Ils veulent tous les outils possibles qui pourraient les aider à protéger les futures victimes et à rendre justice aux victimes actuelles.

Pourtant, les capacités de conservation des données et d’accès à distance prévues dans le projet de loi C-22 ne figuraient pas parmi les 32 recommandations formulées ce jour-là. Chacune était liée à un problème précis que ces enquêteurs rencontrent presque tous les jours, et la plupart étaient des améliorations simples et pratiques du processus. Notre rapport se trouve sur mon site Web et il est disponible auprès de mon bureau.

Quel problème précis le projet de loi C-22 vise-t-il à régler? Son objectif déclaré est de veiller à ce que les fournisseurs de services électroniques « puissent faciliter » l’accès légal. Le rapport du Comité des parlementaires sur la sécurité nationale et le renseignement a révélé que le SCRS et la GRC connaissent des « défis importants » quand ils souhaitent accéder à des données en temps opportun, mais que le déchiffrement ne devrait pas être nécessaire et qu’une « abondance de métadonnées » n’est pas une panacée.

On semble avoir fait fi de ces mises en garde.

Dans le cadre de mon examen du projet de loi, dont je parlerai dans un instant, j’ai eu de nombreuses difficultés. Je me concentre aujourd’hui sur la partie 2 du projet de loi, laquelle vise à édicter la Loi sur le soutien en matière d’accès autorisé à de l’information. Par exemple, le paragraphe 5(6) précise que les règlements pris par le gouverneur en conseil ne confèrent pas le « pouvoir d’accéder à des renseignements personnels concernant les personnes auxquelles le fournisseur principal fournit des services ».

Cet énoncé n’a aucun sens compte tenu des autres pouvoirs prévus dans le projet de loi. La Loi sur la protection des renseignements personnels et les documents électroniques définit « renseignement personnel » comme étant « [t]out renseignement concernant un individu identifiable », et le tout récent projet de loi C-36 élargit cette définition pour inclure les « renseignements déduits » concernant cet individu.

Pourtant, contrairement au paragraphe 5(6), l’alinéa 5(2)a) exige des fournisseurs principaux qu’ils maintiennent :

[...] leurs capacités [...] en ce qui touche l’extraction et l’organisation de l’information à laquelle l’accès est autorisé et l’accès à celle-ci par les personnes autorisées [...]

De plus, le paragraphe 5(1) permet au Cabinet, par règlement, d’ajouter des catégories de fournisseurs et de métadonnées.

Le projet de loi C-22 ouvre une « porte d’accès légal » aux dimensions floues et refile une facture en blanc aux innovateurs dont nous avons besoin pour renforcer notre économie : aucune idée des coûts, aucun plafond et aucune garantie d’indemnisation.

Chers collègues, je ne vois rien qui indique que les experts qui créent et qui entretiennent les systèmes numériques sur lesquels s’appuie le projet de loi C-22 ont contribué à la rédaction du projet de loi ou qu’ils participeront à sa mise en œuvre. Le ministre et le Cabinet approuvent les exigences, mais quels experts les conseillent? Quelles mesures de gouvernance, de reddition de comptes et de transparence garantissent qu’on met en balance la lutte contre la criminalité et l’évolution des risques techniques et du paysage commercial?

Je laisse aux adeptes du droit constitutionnel, ce que je ne suis certainement pas, le soin de déterminer si le projet de loi C-22 enfreint les droits garantis par l’article 8 de la Charte. Ce qui me préoccupe, c’est que le manque de clarté du projet de loi C-22 ajoute à l’incertitude à laquelle sont déjà confrontées les petites et moyennes entreprises canadiennes et qu’il aura une incidence sur leur décision d’investir et de prendre de l’expansion au Canada.

Chers collègues, j’appuie l’intention du projet de loi C-22, mais, dans sa forme actuelle, les coûts associés à la sécurité et les risques liés à la création et à la maintenance de l’accès à l’infrastructure numérique dépassent largement les avantages pour certaines enquêtes, surtout lorsqu’il existe des solutions de rechange moins risquées. Les États-Unis et la Nouvelle-Zélande n’ont pas d’obligations générales en matière de conservation des métadonnées. Le Royaume-Uni et l’Australie, quant à eux, ont des pouvoirs plus étendus, mais ils ont des mesures de protection qui font défaut dans le projet de loi C-22. Le Royaume-Uni exige une approbation judiciaire indépendante pour chaque avis de capacité et une répartition des coûts prévue par la loi. L’Australie interdit d’exiger une « faiblesse systémique ou une vulnérabilité systémique » et elle indemnise les fournisseurs de manière à ce qu’il n’y ait ni profit ni perte.

Chers collègues, pourquoi le Canada choisit-il d’être en marge du reste du monde, et à quoi cela sert-il nos intérêts si nous voulons devenir un pays numérique de confiance pour attirer les investissements et les innovations qui en découlent?

Les amendements apportés par les Communes ont permis de régler certains des problèmes, mais d’importantes questions demeurent. Le travail des sénateurs en comité est plus nécessaire que jamais.

Je ne possède pas les réponses; je n’ai que des questions qui méritent un examen approfondi grâce à la comparution de témoins. Ces questions se regroupent en deux catégories : primo, le projet de loi est-il clair et équilibré? Secundo, est-il possible d’un point de vue technique de mettre le projet de loi en œuvre sans créer d’autres risques pour la cybersécurité?

Penchons-nous donc sur ces deux thèmes.

Le premier concerne la clarté et l’équilibre. Le projet de loi C-22 est-il suffisamment clair et équilibré quant aux entités qui sont assujetties au régime, leurs obligations et les données qu’elles pourraient être tenues de conserver et de rendre accessibles, et quant aux risques qu’il est susceptible de créer dans sa forme actuelle?

Je vais examiner cela sous trois angles : la portée, les incidences sur les entreprises et les métadonnées.

Pour ce qui est de la portée, quelles entités seront incluses dans la définition de « fournisseur de services électroniques » et quelles obligations leur seront imposées?

Le débat porte surtout sur la définition de « fournisseur de services électroniques ». Cela commence par la définition de « service électronique » au paragraphe 2(1) :

Tout service — ou fonctionnalité d’un service — qui implique la création, l’enregistrement, le stockage, le traitement, la transmission, la réception, la diffusion ou la mise à disposition d’information sous toute forme immatérielle, notamment électronique ou numérique, par tout moyen technologique — électronique, numérique, magnétique, optique, biométrique, acoustique ou autre — ou par une combinaison de tels moyens.‍

Tout exhaustive que soit cette liste, ce sont les premiers mots qui me tracassent le plus : « Tout service — ou fonctionnalité d’un service [...] » J’aimerais bien qu’on me donne un exemple d’entreprise qui n’offre absolument aucun service ni aucune fonctionnalité numérique.

Par ailleurs, « fournisseur de services électroniques » est défini ainsi :

Personne qui, seule ou au titre de son appartenance à un groupe, fournit des services électroniques, notamment en vue de permettre la communication, et qui, selon le cas :

a) fournit ces services à des personnes se trouvant au Canada;

b) exerce tout ou partie de ses activités commerciales au Canada.‍

On peut dire que ce projet de loi s’appliquerait à un très grand nombre d’entreprises.

Certains ont soutenu que la majeure partie des obligations incombera aux fournisseurs principaux et non aux fournisseurs de services électroniques. Pourtant, le paragraphe 7(1) indique que le ministre peut imposer, au moyen d’arrêtés valides pour une période maximale de deux ans, tout ce que prévoient les règlements concernant les fournisseurs principaux à un fournisseur de services électroniques « que celui-ci soit un fournisseur principal ou non ». L’article 11, lui, oblige les fournisseurs de services électroniques à se conformer aux arrêtés, et l’article 14 fait en sorte que les arrêtés restent secrets.

C’est un élément crucial. La partie 2 du projet de loi, dans sa forme actuelle, engendre des risques bien réels pour les technologies, les ressources et les clients de toute entreprise qui serait forcée de se conformer à un arrêté ministériel. La confiance est également mise à mal — la confiance que les clients sophistiqués ont envers les technologies canadiennes et la confiance des investisseurs que les entreprises canadiennes ne seront pas exposées à des risques inconnus. Je crains que ces investisseurs ne se tournent plutôt vers une entreprise similaire implantée dans un autre pays, qui adopte une approche différente en matière d’accès légal.

Sécurité publique Canada nous a assuré que les hôtels, les agences de location de voitures, les établissements de santé et d’autres catégories seraient exclus, mais aucune exclusion de ce type ne figure dans le texte de la partie 2 actuellement. Aucune justification de ces exclusions n’a été proposée sous forme d’amendement.

Bien qu’il y ait des améliorations par rapport au projet de loi C-2, la définition très large des fournisseurs de services électroniques et le fait que n’importe lequel d’entre eux puisse être considéré comme un fournisseur principal restent des sujets de préoccupation majeurs. La liste des entités considérées comme des fournisseurs principaux consiste actuellement en trois pages vierges à la fin du projet de loi.

En résumé, tel que le projet de loi est rédigé, il est raisonnable de penser que pratiquement n’importe quelle organisation pourrait entrer dans le champ d’application du projet de loi C-22. Cela suffit à créer beaucoup d’incertitude, en particulier dans le milieu des affaires et dans le secteur des technologies au Canada.

Examinons maintenant les obligations auxquelles les fournisseurs de services électroniques pourraient être soumis. Le paragraphe 2(1) que prévoit le projet de loi définit l’accès comme incluant l’interception des communications, ce qui signifie que les capacités requises peuvent aller jusqu’à l’interception en temps réel, plutôt que de se limiter aux données déjà enregistrées.

Selon l’alinéa 5(2)a) que propose le projet de loi, le Cabinet pourrait prendre des règlements exigeant de tout fournisseur principal de services électroniques — dont nous savons désormais qu’il pourrait s’agir de n’importe quel fournisseur de services électroniques — qu’il élabore, mette en œuvre, mette à l’essai et maintienne ses capacités techniques, notamment celles qui lui permettent d’extraire et d’organiser l’information, ainsi que de donner accès à cette information aux personnes autorisées.

Aux termes de l’alinéa 5(2)b) proposé, des règlements peuvent exiger que les fournisseurs principaux — et nous savons maintenant que cela inclut les fournisseurs de services électroniques — installent, utilisent et entretiennent tout dispositif ou équipement ou toute autre chose pouvant permettre à une personne autorisée d’accéder à de l’information.

Chers collègues, le projet de loi C-22 doit présenter des définitions précises, ainsi que des attentes et des seuils plus clairs en fonction de facteurs comme la taille et la capacité de l’organisation, les obligations imposées et la possibilité que les risques pour l’organisation soient minimisés. Dans sa forme actuelle, presque toutes les organisations doivent présumer qu’elles pourraient être assujetties à ce régime, ce qui aurait de vastes répercussions sur leurs activités et leurs plans en matière de gestion des risques. C’est particulièrement vrai pour les petites et moyennes entreprises, ou PME, qui sont généralement des organisations axées sur le numérique et qui constituent la base et l’avenir de notre économie.

Passons maintenant au deuxième aspect du projet de loi qui manque de clarté et de proportionnalité, c’est-à-dire les répercussions financières et opérationnelles, surtout pour les PME. En quoi consistent les répercussions financières pour les petites entreprises, les entreprises en démarrage et les entreprises en expansion? À l’alinéa 7(3)c) proposé, le projet de loi C-22 reconnaît que « les frais à engager par le fournisseur de services électroniques pour se conformer à l’arrêté » sont un facteur dont il faut tenir compte. Le paragraphe 7(4) proposé dit que le ministre peut prévoir une indemnité.

La réalité, c’est que rien ne garantit que les PME pourront recouvrer les coûts qui découleront du projet de loi. Il est possible que les grandes entreprises considèrent qu’il s’agit simplement du prix à payer pour faire des affaires. Si le ministre offre une indemnité, celle-ci tiendra-t-elle compte de l’ensemble des coûts et des occasions ratées des PME et sera-t-elle versée assez rapidement pour protéger leur fonds de roulement? Malheureusement, j’en doute.

Les articles 2, 5 et 7 du projet de loi pourraient forcer à peu près n’importe quelle PME à négliger le service à la clientèle, pourtant prioritaire, et à créer une porte d’accès légale, même s’ils n’ont ni le budget ni le temps pour ce faire. Le projet de loi C-22 crée des risques et des incertitudes qui peuvent vite prendre une proportion insoupçonnée si on se fie aux pénalités prévues à l’article 29, qui peuvent atteindre 250 000 $ par violation — et je précise que chaque jour constitue une nouvelle violation. Les petites entreprises, comme celles que j’ai bâties, devront détourner des ressources déjà rares d’activités consacrées à la clientèle et pourraient même devoir quitter le Canada ou carrément cesser leurs activités. Le seul fait de se préparer à un éventuel arrêté ministériel nécessite des ressources qui manquent cruellement à la plupart des entreprises.

Il s’agit d’un problème très sérieux, chers collègues. Pas plus tard que la semaine dernière, le Comité sénatorial permanent des banques, du commerce et de l’économie a publié le rapport Du potentiel à la prospérité : Pour un investissement accru dans les PME canadiennes, une nécessité urgente, dans lequel il recense les obstacles ahurissants que les PME doivent déjà surmonter. Il n’arrête pas de répéter que les problèmes structurels qui touchent l’économie canadienne empêchent les PME d’accéder aux fonds dont elles ont besoin pour prospérer. Dans sa forme actuelle, le projet de loi C-22 en ajouterait d’autres, en plus de créer de l’incertitude.

Si le prix à payer est trop élevé, comment peut-on s’attendre à ce que les entreprises choisissent de s’établir au Canada, surtout quand on sait que la loi américaine, appelée Communications Assistance for Law Enforcement Act, n’exige rien de tel?

Il y a une dernière chose à propos de laquelle le projet de loi manque de précision et de proportionnalité : les métadonnées, ou plutôt ce qui est considéré comme des métadonnées et leurs répercussions sur l’économie du Canada et sur sa réputation de confiance à l’étranger. Les réserves sur la portée des dispositions et l’incertitude s’étendent aux exigences sur la conservation des métadonnées. L’alinéa 5(2)d) du projet de loi permet au gouvernement d’exiger la conservation de certaines catégories de données « pour des périodes raisonnables d’au plus six mois ».

Le fait qu’au départ, on parlait non pas de 6 mois, mais de 12, a été vanté comme une victoire. Peut-être, mais qu’une entreprise doive conserver des métadonnées de nature délicate pendant six mois, dont certaines n’ont aucune utilité commerciale, contrevient directement au principe de l’architecture numérique accordant la priorité absolue à la protection des données. La plupart des entreprises de cybersécurité devront ainsi se doter de protocoles de conservation, de contrôle d’accès, de vérification et de cybersécurité encore inédits pour conserver de l’information qu’ils n’ont aucune raison de vouloir conserver. Ces entreprises risquent de perdre des clients et des capitaux et de compromettre leur croissance parce que les mécanismes de protection des données privées sont plus rigoureux ailleurs dans le monde.

Le fait que le projet de loi définisse mal des notions comme les métadonnées, l’historique de navigation et les activités sur les réseaux sociaux constitue un problème de taille, tout comme le fait que ce sera au Cabinet de décider quelles catégories sont essentielles et que celles-ci pourront changer au fil du temps.

Les métadonnées ne sont pas inoffensives, surtout dans un monde propulsé par l’intelligence artificielle. Christian Sadilek, premier ingénieur principal en logiciels à Mozilla, a prévenu que les métadonnées peuvent révéler notre emplacement, nos passe-temps et même notre religion ou nos maladies. Notre collègue la sénatrice Simons a dit que, grâce à l’intelligence artificielle, il pourrait être possible de reconstituer un tout à partir de données éparses, de miettes numériques, et elle n’a pas tort. Les entreprises responsables créent des modèles d’affaires axés sur la protection de la vie privée qui recueillent et conservent un minimum de métadonnées sur leurs utilisateurs pour cette raison.

Signal a conçu le protocole étalon utilisé partout dans le monde. Il est exploité sous licence par de nombreux fournisseurs, dont WhatsApp, qui compte environ 3 milliards d’utilisateurs. En raison des dispositions du projet de loi sur les métadonnées, Signal et d’autres seraient probablement forcés de quitter le Canada, car le projet de loi C-22 les empêcherait d’offrir la protection de la vie privée qui est au cœur de leur proposition de valeur.

Si le Canada veut s’appuyer sur sa réputation mondiale de confiance et devenir un chef de file en matière de technologie numérique, comment pouvons-nous nous permettre une telle incertitude en matière de protection de la vie privée?

Pour autant que je sache, en dehors des infractions au code de la route, la police accuse généralement quelques centaines de milliers de personnes par année d’une infraction au Code criminel, et environ 60 % d’entre elles finissent par être inculpées. Sur une population d’environ 41 millions d’habitants, cela signifie que plus de 99 % des Canadiens seraient assujettis aux mesures de protection de la vie privée affaiblies par le projet de loi C-22 pour possiblement participer à des enquêtes concernant moins de 1 % de la population.

Passons maintenant à mon deuxième grand thème. Le premier portait seulement sur l’incertitude et le manque de clarté. Le deuxième concerne les mesures de protection techniques. Les exigences du projet de loi sont-elles faisables d’un point de vue technique sans entraîner de nouveaux risques pour la cybersécurité?

La principale mesure de protection prévue dans le projet de loi contre l’affaiblissement de la cybersécurité est l’interdiction de créer une vulnérabilité systémique. C’est un amendement très judicieux de la part de la Chambre des communes, mais une vraie incertitude demeure puisque la définition permet une exemption cruciale, soit le fait que les risques pour la sécurité et la protection des renseignements personnels se rapportant à une personne visée par un mandat peuvent être ignorés.

Voici quelle est la définition de « vulnérabilité systémique » au paragraphe 2(1) :

Toute vulnérabilité dans les protections électroniques d’un service électronique qui crée, selon des normes techniques internationales reconnues, un risque crédible qu’une personne puisse accéder à de l’information sécurisée sans en avoir le droit ou l’autorisation [...]

Je fais une petite pause ici. Ce que je viens de lire décrit n’importe quelle vulnérabilité : un risque crédible qu’une personne non autorisée puisse accéder à de l’information sécurisée. Rien jusque-là n’explique ce qui rend une vulnérabilité systémique.

Cette définition de « vulnérabilité systémique » dépend d’un risque crédible « selon des normes techniques internationales reconnues ». C’est une bonne pratique qui pourrait être une mesure tout à fait positive, mais il faut clarifier et mieux expliquer comment ces risques vont être réévalués au fil du temps.

J’en arrive à l’exemption. La définition exclut toute information « se rapportant à une personne à l’égard de laquelle s’applique un mandat [...] ou tout autre pouvoir similaire ».

Une fois qu’un mandat est délivré, toute vulnérabilité qui en découle peut être ignorée. La définition de « vulnérabilité systémique » ajoute encore plus d’incertitude et de risques, car elle ne dit pas à quel point nous sommes tous dépendants du chiffrement dans notre quotidien.

Il y a aussi une question de réactivité. Si une capacité est jugée sécuritaire aujourd’hui, qui vérifiera qu’elle le sera demain, la semaine prochaine, le mois prochain ou l’année prochaine?

Lorsque le Cabinet prend un règlement ou que le ministre prend un arrêté, les alinéas 5(3)e) et 7(3)e) exigent qu’ils tiennent uniquement compte des répercussions sur la vie privée et la cybersécurité. Plus loin, les paragraphes 5(5) et 7(5) autorisent le fournisseur à refuser, à ses risques, de respecter un arrêté si, à son avis, celui-ci créait une vulnérabilité systémique. N’oubliez pas que le fournisseur s’expose à une amende qui peut s’élever jusqu’à 250 000 $ par jour, et chaque jour entraîne une nouvelle amende.

L’organisation peut ensuite demander une exemption au ministre, qui a jusqu’à 90 jours pour prendre une décision. Encore une fois, cela crée de l’incertitude. Si la demande est rejetée, le ministre détermine la date à laquelle l’accès doit être rétabli. Selon le paragraphe 7(1), les arrêtés peuvent durer jusqu’à deux ans. Cependant, les menaces à la cybersécurité changent constamment, et la plupart d’entre elles exigent une intervention en quelques minutes ou quelques heures, et non en quelques jours, semaines ou mois. Le cadre et les échéanciers proposés ne tiennent pas compte des réalités de ceux qui gèrent les systèmes numériques.

Enfin, penchons-nous sur le chiffrement lui-même. Le chiffrement nous protège tous chaque jour. Il assure la sécurité de notre système bancaire, de nos dossiers médicaux, de nos entreprises et de nos infrastructures essentielles. Il protège également les personnes les plus vulnérables du monde, qu’il s’agisse de personnes qui fuient un partenaire violent, de journalistes ou de défenseurs des droits de la personne, dont la sécurité et même la vie dépendent de communications sécurisées. Le chiffrement crypte les données de sorte que seule une personne détenant la clé peut les lire, et il se divise en deux grandes catégories.

La première est le chiffrement de bout en bout utilisé par des applications comme Signal, largement considérée comme l’une des plateformes de messagerie les plus sécurisées au monde. Les clés sont créées et conservées sur les appareils des utilisateurs. L’organisation propriétaire de Signal n’y a jamais accès. Seules les personnes qui participent à la conversation peuvent la lire. Voilà pourquoi les personnes les plus vulnérables du monde — et, sans aucun doute, certaines des personnes les moins dignes de confiance au monde — lui font si confiance.

Dans la deuxième catégorie, le chiffrement est contrôlé par le fournisseur de services lui-même. Les données sont chiffrées lorsqu’elles circulent entre un utilisateur et un service, ou entre les services, puis elles sont déchiffrées à leur arrivée. Elles sont souvent cryptées de nouveau lorsqu’elles sont stockées.

En pareil cas, c’est le fournisseur, et non l’utilisateur, qui détient les clés et qui peut déverrouiller les données. Les effets d’une faille dans le système ne peuvent se limiter aux personnes visées par un mandat. La définition de la vulnérabilité systémique ne peut donc pas prévoir des risques qui ne concerneraient que ces personnes. Affaiblir le chiffrement pour attraper des criminels présumés revient, dans tous les cas, à l’affaiblir pour tout le monde. Le chiffrement de bout en bout, qui constitue la norme de référence, ne peut tout simplement pas permettre un déchiffrement ponctuel sans accéder aux clés propres à chaque utilisateur.

Le paragraphe 2(4) du projet de loi semble tenir compte de cela :

Les obligations prévues sous le régime de la présente loi n’ont pas pour effet de contraindre le fournisseur de services électroniques à déchiffrer [...] sauf si le chiffrement a été fourni par lui et qu’il dispose...

... de la clé. Or, la définition de la vulnérabilité systémique prévue au paragraphe 2(1) du projet de loi contredit le passage que je viens de lire, au paragraphe 2(4). On y trouve une garantie qui est essentielle pour mettre en pratique la recommandation R6 contenue dans le rapport de septembre 2025 du Comité des parlementaires sur la sécurité nationale et le renseignement concernant l’accès légal. Il y est clairement indiqué que les fournisseurs ne devraient pas être obligés de déchiffrer les données.

Le Comité fait la recommandation suivante :

Le gouvernement dépose une loi obligeant les fournisseurs de services de communication (FSC) à maintenir une capacité d’interception. La législation doit être neutre sur le plan du chiffrement et ne doit pas comporter d’exigence de déchiffrement.

Chers collègues, j’ai commencé mon discours en posant deux questions. Premièrement, le projet de loi C-22 est-il clair et proportionné? Deuxièmement, est-il possible d’un point de vue technique de mettre le projet de loi en œuvre sans créer d’autres risques pour la cybersécurité?

Manifestement, je ne peux répondre par l’affirmative à aucune de ces deux questions. Quand on parle d’un service ou d’une fonctionnalité d’un service, on englobe pratiquement toutes les organisations du secteur de l’économie numérique. Bien que Sécurité publique Canada veuille nous donner l’assurance que les hôpitaux et d’autres organisations ne seront pas visés par les nouvelles dispositions, le projet de loi laisse planer de l’incertitude à ce sujet.

Combien les nouvelles dispositions coûteront-elles? Chaque fournisseur de services électroniques doit se préparer à créer une « porte d’accès légale », voire la créer tout de suite. Il devra par la suite l’entretenir, la mettre à jour et la protéger quotidiennement contre les ingérences étrangères, les attaques provenant des systèmes d’intelligence artificielle et les acteurs malveillants. Même les petites organisations pourraient se voir infliger des amendes ruineuses, perdre la confiance de leurs clients et risquer constamment d’être poursuivies en justice.

Pour les services de sécurité et la police, chaque porte représente théoriquement un outil d’enquête. Pour les cybercriminels, c’est une cible. Pour les entrepreneurs, ce n’est qu’un risque.

La nature des données concernées constitue une autre source d’incertitude. Les métadonnées, l’historique de navigation et l’activité sur les réseaux sociaux ne sont pas définis. Le gouvernement détermine ce qui est essentiel et peut en modifier la liste à sa guise.

La période de conservation des données de six mois constitue encore un risque pour les entreprises privilégiant la protection de la vie privée et pour leurs clients. Actuellement, ces entreprises ne conservent pas les données.

Qu’en est-il de la sécurité? La mesure de protection principale, contre la « vulnérabilité systémique », ne tient pas compte des risques pouvant survenir lorsque l’on cible des personnes faisant l’objet d’un mandat. Elle n’implique aucune obligation de réévaluer les risques à mesure qu’ils évoluent.

Pourquoi faisons-nous figure d’exception? Les États-Unis et la Nouvelle-Zélande n’ont prévu aucun mécanisme général visant à obliger les fournisseurs à conserver les métadonnées. Le Royaume-Uni et l’Australie ont prévu des pouvoirs plus étendus, mais les ont assortis d’un contrôle indépendant, d’une participation aux coûts et d’une interdiction de toute faille systémique. Le Canada, lui, veut accorder des pouvoirs, mais sans prévoir des garanties.

Où sont les experts? Je ne vois rien qui indique la participation d’experts en cybersécurité ou d’architectes de systèmes numériques axés sur la protection de la vie privée à la rédaction de ce projet de loi. C’est un problème récurrent à Ottawa : les politiques sont conçues par des experts en politiques, tandis que les personnes qui comprennent les systèmes et qui doivent les déployer sont parfois consultées, mais rarement incluses. Mettez des enquêteurs de police et des experts en cybersécurité dans une pièce pendant quelques jours, sans que des experts en politiques leur mettent de bâtons dans les roues, et je ne doute pas qu’ils en arriveront à un cadre viable. Ce n’est cependant pas ce qui s’est produit.

Ensuite, il y a l’absence de consultation auprès des PME. Au cours de ses 10 réunions, le Comité permanent de la sécurité publique et nationale de la Chambre des communes a entendu 106 témoins, mais pas un seul représentant d’une entreprise de technologie ou d’une PME canadienne.

Il y a aussi la surveillance. Le ministre pourrait reconnaître et appliquer certaines ordonnances de communication de données à une entité étrangère, mais le projet de loi lui-même ne fixe aucun critère de primauté du droit pour ce faire.

Compte tenu de l’incertitude créée, j’espère que notre comité se demandera pourquoi le projet de loi ne tient pas compte de ces protections, des nombreuses définitions et contradictions que j’ai soulignées et des différences avec les systèmes existants du Groupe des cinq et du G7. J’espère que de nombreuses contradictions dans le projet de loi, ainsi qu’entre le projet de loi et les déclarations et intentions du gouvernement, seront clarifiées et amendées.

Comme je l’ai dit, je n’ai pas encore les réponses. J’attends avec impatience l’étude du comité et l’obtention de points de vue plus éclairés une fois que nous aurons entendu les témoins et que les amendements auront été déposés.

Le projet de loi C-22 trouve-t-il le juste équilibre entre les nouveaux outils d’enquête et la protection des renseignements personnels à laquelle les Canadiens s’attendent? Jusqu’à maintenant, pas grand-chose ne m’a convaincu que c’est le cas. Cela dit, je ne doute pas un instant que le Canada soit capable de protéger la sécurité et la vie privée de ses citoyens et qu’il soit un endroit où les innovateurs choisissent de bâtir et où les investisseurs choisissent d’investir. Nous ne devrions pas nous contenter de moins que cela. Merci, chers collègues.

Sénateur C. Deacon, accepteriez-vous de répondre à une question?

Certainement.

Merci, sénateur C. Deacon. Vos conversations avec les propriétaires de petite entreprise sont importantes, et leur voix doit être reflétée dans ce projet de loi. Nous devons nous pencher sur ce qui les préoccupe.

J’ai fait partie du comité consultatif sur l’extorsion en Colombie-Britannique qui visait les petites et moyennes entreprises, et je me demande si ces mêmes propriétaires d’entreprise vous ont parlé pour proposer des solutions. Ils cherchaient des moyens de se défendre contre les cyberattaques, les tentatives d’extorsion et les demandes de rançon. Sans ce projet de loi sur l’accès légal, ils n’avaient aucun moyen de faire quoi que ce soit. Avez-vous eu ces conversations? Dans l’affirmative, comment ont-ils réagi?

Je n’ai parlé à personne qui a fait l’objet d’une tentative d’extorsion. J’ai parlé à des organisations qui craignent de devoir mettre en place ce genre de système sans avoir les ressources ni les capacités nécessaires et qui, en raison du libellé du projet de loi, redoutent que cela nuise aux atouts de base de leur entreprise.

Absolument, je pense que nous devons examiner cette question sous tous ses angles.

Ce qui me préoccupe, c’est que je ne pense pas que l’angle des petites entreprises et des entreprises technologiques canadiennes... Le Canada va devoir les soutenir plus efficacement qu’il l’a fait jusqu’à maintenant, comme nous l’avons constaté au Comité sénatorial permanent des banques, du commerce et de l’économie. Ces entreprises sont essentielles pour notre économie future. Nous ne pouvons pas laisser ce projet de loi miner leurs atouts et les inciter à choisir en plus grand nombre encore de s’établir à l’extérieur du Canada. À l’heure actuelle, environ 70 % des fondateurs d’entreprises canadiens choisissent de s’installer à l’étranger et 30 % restent au Canada.

Nous avons un défi à relever. C’est là-dessus que je me concentre en ce moment. Je suis absolument convaincu que nous pouvons combler cette lacune, comme vous l’avez décrit, en aidant les petites entreprises qui sont victimes d’extorsion et d’activités criminelles sans nuire aux activités essentielles de nombreuses autres organisations. À l’heure actuelle, la plupart d’entre elles pourraient être visées par des obligations assez alarmantes. C’est ce qui me préoccupe le plus.

Accepteriez-vous de répondre à une question complémentaire, sénateur Deacon? Merci.

L’équilibre dont vous parlez est essentiel. À mon sens, nous devons effectivement faire pencher la balance quelque peu du côté des citoyens de notre pays et du côté de leur protection.

Lorsque vous avez eu des discussions avec des PME, que vous ont-elles dit à propos de leur expérience ou de leurs échanges avec leurs partenaires ou avec des entreprises qui partagent des vues semblables et qui exercent encore leurs activités dans des pays du Groupe des cinq ou dans d’autres pays dotés d’une législation sur l’accès légal non pas identique, mais similaire?

Il a été directement question des États-Unis et du fait qu’il n’y a pas de risque là-bas, puisqu’ils ont la loi sur la collecte de renseignements dont ils ont besoin pour atteindre cet objectif.

On parle aussi de la Nouvelle-Zélande et du Royaume-Uni. Le fait est que nous n’avons pas besoin d’être en marge. Nous pouvons atteindre cet objectif en adoptant une approche comparable à celle d’autres pays du Groupe des cinq sans que le projet de loi soit rédigé comme il l’est actuellement.

Je ne vois aucune justification. Il n’y a aucune raison pour que nous fassions les choses autrement. Je n’ai pas été en mesure d’en trouver une. Le ministre a peut-être présenté une très bonne raison, mais je ne l’ai pas entendue.

Selon moi, nous pouvons régler la situation. Les modèles existent déjà. En fait, ils existent depuis un bon moment, et les entreprises ont pu s’y adapter en toute sécurité.

Signal, par exemple, continue de mener ses activités dans ces pays, mais l’entreprise serait obligée de quitter le Canada.

Le sénateur Deacon accepterait-il de répondre à une question?

Certainement.

Sénateur Deacon, l’an dernier, j’ai fait un discours dans lequel je parlais des difficultés économiques associées aux entreprises qui mettent sur pied ces immenses programmes de rétention des données, mais je n’avais pas pensé à leur responsabilité. Y a-t-il dans ce projet de loi des mesures de protection pour les entreprises qui fournissent un accès légal et qui sont victimes de pirates informatiques qui exploitent cette vulnérabilité systémique — si on a le droit de l’appeler ainsi — pour accéder aux données et éventuellement porter atteinte à la vie privée des clients?

Les gens à qui vous avez parlé craignent-ils d’être poursuivis et de devoir verser des indemnités pour des vulnérabilités qu’ils ont été forcés d’inclure dans leurs systèmes?

Je vous remercie de votre question, sénatrice Simons.

Le gouvernement ne s’est pas engagé à payer les coûts associés à ces travaux. La question de la responsabilité n’est assurément pas mentionnée.

C’est extrêmement préoccupant. Vous parlez de petites entreprises où tout est déjà en jeu. Les entreprises de technologie réinvestissent chaque dollar dans l’amélioration de leur service à la clientèle, et certaines de ces exigences, dans leur forme actuelle, vont à l’encontre de la proposition de valeur que les entreprises vendent. Dans une telle situation, la responsabilité est illimitée.

Signal dit qu’elle devra quitter le Canada parce que la valeur qu’elle offre ailleurs sera illégale au Canada si le projet de loi est adopté tel quel. Le libellé du projet de loi va à l’encontre des recommandations du Comité des parlementaires sur la sécurité nationale et le renseignement.

À mon avis, la question de la responsabilité est énorme. Je ne pense pas que nous puissions nous attendre à ce que les entreprises en tirent profit, mais il faut à tout le moins établir de manière tout à fait équitable et claire de quelle façon tous les coûts seront couverts. Ne les laissez pas faire des profits, mais ne les laissez pas assumer les coûts. À mon avis, ce qui leur coûtera le plus cher, c’est de ne pas se préoccuper de l’activité des clients parce qu’ils se concentrent strictement sur le bien public et qu’ils essaient de le faire d’une manière qui ne crée pas de responsabilité.

Je peux vous dire que ceux qui dirigent une entreprise en croissance n’ont pas l’espace mental, le temps ou les ressources humaines et financières pour faire ce changement.

Je pense que certains choix devront être faits pour que ce projet de loi soit adopté et éviter qu’il ne cause de sérieux dégâts économiques en raison de l’incertitude qui entoure les obligations, quelles qu’elles soient, pas seulement financières.

Bien sûr.

Je vous remercie de votre question, sénatrice Batters.

Je partage tout à fait cette préoccupation. Elle découle de la réunion que nous avons eue avec le Service de police de Toronto. Les enquêteurs ont besoin de réponses dès maintenant. Aujourd’hui, les Canadiens font face à des risques bien réels. Nous devons donner plus de pouvoir aux services de police et de sécurité à l’ère numérique.

Il existe des exemples de pays qui ont déjà adopté des lois là‑dessus : l’Australie, la Nouvelle-Zélande, le Royaume-Uni et les États-Unis. Ce sont nos partenaires du Groupe des cinq. Ils ont déjà adopté des lois et ils disposent déjà de règlements. Ils ont peut-être déjà un système clé en main qui nous permettrait d’aller de l’avant. Je ne comprends pas pourquoi nous avons opté pour une voie différente, une voie que nous devons débroussailler d’un bout à l’autre, ni pourquoi nous créons autant d’incertitude.

Je crois fermement en l’importance de ce projet de loi, mais je ne comprends vraiment pas pourquoi nous procédons de la sorte.

J’ajouterai une autre chose : j’aime beaucoup le fait qu’ils aient parlé de normes techniques en ce qui concerne la vulnérabilité systémique. Ils ont parlé d’utiliser des normes techniques internationales. Cela serait très utile comme base pour la réglementation. J’en fais la promotion depuis le projet de loi S-6, même si c’était il y a de nombreuses années. C’est un outil très pertinent que l’on pourrait employer plus fréquemment.

J’aimerais que des organismes de normalisation de la gouvernance numérique comparaissent devant le comité. Nous devons utiliser tous les outils dont nous disposons déjà pour accélérer la mise en œuvre de ce projet de loi. Je le répète, les gens qui s’efforcent de nous protéger ont besoin que cette mesure soit en place dès maintenant, et non dans trois ou quatre ans. Merci.

Sénateur Deacon, accepteriez-vous de répondre à une question?

Bien sûr.

C’est une discussion très intéressante, surtout quand on compare notre situation à celle d’autres pays.

Comme on l’a dit, nous devons étudier ce projet de loi. Je comprends cela. Nous sommes très préoccupés par la protection de la vie privée et les coûts, entre autres. Les autres pays dont vous avez parlé ont-ils une Charte des droits et libertés comme la nôtre?

Je crois me souvenir de quelque chose à cet égard. Cela a-t-il fait partie de vos discussions et, le cas échéant, qu’avez-vous appris?

Vous avez toujours deux ou trois longueurs d’avance sur moi; vous êtes dans cette situation. Non, je n’ai pas posé la question, et je ne sais pas, mais merci encore de m’avoir montré la voie.

Honorables sénateurs, le projet de loi C-22 comprend deux parties distinctes. La première vise à modifier le Code criminel et des dispositions législatives connexes pour moderniser le cadre juridique régissant les enquêtes sur les crimes commis au moyen d’Internet.

La deuxième partie édicterait une nouvelle loi intitulée la « Loi sur le soutien en matière d’accès autorisé à de l’information », qui exigerait de certains fournisseurs de services qu’ils se dotent de systèmes facilitant l’accès à certaines informations par les autorités chargées de l’application de la loi, ce qui pourrait nécessiter la conservation des métadonnées pendant une période pouvant atteindre six mois.

Je tiens à remercier mes collègues qui sont intervenus jusqu’à présent. Le sénateur Dhillon, auteur du projet de loi, a passé en revue les objectifs et le contenu des deux parties. Le sénateur Woo, la sénatrice Simons et, aujourd’hui, le sénateur Colin Deacon se sont principalement concentrés sur la partie 2. Ils ont soulevé diverses préoccupations qui, je l’espère, seront abordées lors de l’étude en comité.

Je vais me concentrer sur les dispositions modifiant le Code criminel, soit la partie 1 du projet de loi, et sur la protection du droit à la confidentialité dans l’univers numérique qui est garanti par la Charte et qui est prévu dans ces dispositions. Je répondrai peut-être ainsi à la question de la sénatrice Patterson.

Comme nous le savons tous, les ordinateurs peuvent contenir une multitude de renseignements sur nos activités, nos intérêts, nos habitudes et nos relations. Ils permettent aussi, par Internet, un accès à tout genre de données stockées à travers le monde.

Depuis une quinzaine d’années, la Cour suprême du Canada s’intéresse à la protection de la vie privée des utilisateurs d’ordinateurs et d’Internet. En 2013, la Cour réitère dans l’arrêt Vu que, et je cite :

Il est difficile d’imaginer une atteinte plus grave à la vie privée d’une personne que la fouille de son ordinateur personnel.

Pour cette raison, la Cour énonce que les ordinateurs doivent être considérés comme un lieu distinct de l’endroit où ils sont situés et, par conséquent, qu’une autorisation judiciaire distincte est requise afin de concilier le droit au respect de la vie privée et l’intérêt de l’État à enquêter sur les activités criminelles. Autrement dit, un mandat de perquisition pour entrer dans une maison n’était pas suffisant pour accéder à un ordinateur situé dans la maison.

L’année suivante, dans l’arrêt Spencer, la Cour suprême se prononce sur la légalité pour la police de demander à un fournisseur de services Internet des informations relatives à une adresse IP utilisée pour l’accès à du matériel d’abus pédosexuel. La police obtient ainsi des informations, notamment l’adresse de l’abonné, puis demande un mandat de perquisition qui confirmera, à cette adresse, la possession du matériel interdit. Puisque l’anonymat est propre à beaucoup d’activités menées sur Internet, la Cour suprême conclut que, dans certaines circonstances, le droit à la vie privée est en jeu et, par conséquent, qu’il y a lieu de protéger contre des fouilles, des perquisitions ou des saisies abusives — c’est-à-dire sans autorisation préalable d’un juge.

Dans cette affaire, puisque la police, par sa demande au fournisseur, avait obtenu sans mandat des informations qui permettaient d’établir un lien entre une personne précise et des activités en ligne qui étaient interdites, la Cour a conclu qu’elle constituait une perquisition illégale, faute d’une autorisation judiciaire au préalable. Après cette décision, les policiers se sont mis à utiliser des ordonnances générales de communication, préalablement autorisées par des juges, afin d’obtenir des fournisseurs des détails sur leurs abonnés.

Le dernier jugement que je vais citer est Bykovets, rendu en 2024. Pendant une enquête sur une fraude en ligne, la police a demandé à une entreprise de traitement de carte de crédit de lui fournir certaines adresses IP en lien avec la fraude. Par la suite, la police a obtenu d’un juge une ordonnance de production obligeant le fournisseur de service à communiquer les noms et les adresses associés à chaque adresse IP.

Une majorité de cinq juges — une courte majorité, donc — a soutenu que les utilisateurs avaient une attente raisonnable quant au respect de leur vie privée à l’égard des adresses IP puisque celles-ci constituent « le lien crucial entre un internaute et son activité en ligne » et « sont plutôt susceptibles de révéler des renseignements très personnels — y compris l’identité de l’utilisateur de l’appareil ». Les juges majoritaires ont décrit l’adresse IP comme étant « la clé susceptible de guider l’État dans le labyrinthe de l’activité Internet d’un utilisateur » et « le premier “fragment numérique” [...] du parcours d’un internaute dans le cyberespace ». C’est pour cette raison que la police doit avoir l’autorisation d’un juge pour obtenir une adresse IP d’une tierce partie.

Dans leur opinion dissidente, les quatre autres juges ont écrit qu’il n’y avait pas d’attente liée à la vie privée associée à l’adresse IP elle-même. C’est lorsqu’elle s’inscrit dans un contexte plus large qu’elle peut révéler davantage d’information.

Enfin, je conclus ce résumé de la loi en ajoutant qu’une autorisation judiciaire ne peut être accordée que si un juge est convaincu, par une dénonciation sous serment, que la norme juridique applicable a été respectée, c’est-à-dire qu’il existe un motif raisonnable de soupçonner ou de croire qu’une activité criminelle a été perpétrée. La norme habituelle est la plus élevée, c’est-à-dire celle de la croyance raisonnable en fonction des renseignements fournis. Ainsi, une ordonnance générale de communication exige qu’il y ait un motif raisonnable de croire que les renseignements demandés fourniront la preuve d’une infraction.

Cependant, dans le Code criminel, le seuil inférieur — celui du motif raisonnable de soupçonner — est maintenant utilisé pour diverses autorisations judiciaires. Je vais en citer quelques-uns : une ordonnance de communication en vue de retracer une communication donnée, une ordonnance de communication pour des données de transmission, une ordonnance de communication pour des données de localisation, une ordonnance de communication pour des données financières, un mandat pour un dispositif de localisation pour une opération ou une chose, et un mandat pour un enregistreur de données de transmission.

En ce qui concerne les données de localisation, la Cour suprême a déclaré qu’il s’agit là « d’un moyen de surveillance moins envahissant que la surveillance audio ou magnétoscopique ».

En 2022, la Cour d’appel de l’Ontario, dans l’affaire Dosanjh, a déclaré, au sujet d’une ordonnance de communication de données de localisation, que même si les données GPS peuvent révéler où se trouvait un véhicule et, par conséquent, où se trouvait son conducteur pendant une période donnée, elles ne sont en réalité qu’une forme de données de localisation.

En conclusion, comme la Cour suprême l’a clairement indiqué en 2013 dans l’affaire Chehil, l’incidence sur le droit à la vie privée et l’importance de l’objectif d’application de la loi jouent toutes deux quand il s’agit de déterminer le degré de justification nécessaire à l’empiétement par l’État sur ce droit.

Cela signifie que le Parlement peut autoriser une ordonnance ou un mandat sur la base d’un motif raisonnable de soupçonner, c’est-à-dire en fonction de la norme la moins élevée, lorsque l’importance du droit à la vie privée est moins élevée ou lorsque des objectifs d’importance publique prédominent.

Voilà donc un bon portrait du paysage juridique dans lequel il faut examiner les modifications au Code criminel qui sont proposées.

Tout d’abord, il y a l’ordre de confirmer la fourniture de services, qui l’oblige à répondre oui ou non à la question suivante : « Fournissez-vous des services à l’adresse IP suivante? »

La réponse, oui ou non, ne me semble pas porter atteinte aux attentes en matière de vie privée, car elle ne révèle aucun détail au sujet d’une personne ou de ses activités. De plus, le projet de loi énonce qu’avant de pouvoir poser cette question, le policier doit avoir des motifs raisonnables de soupçonner qu’une infraction a été ou sera commise, et que la confirmation demandée au fournisseur sera utile à l’enquête relative à cette infraction. L’existence de cette exigence au moment de la demande au fournisseur pourra bien sûr être vérifiée lors du procès, advenant des accusations.

Une fois que le fournisseur de services a été identifié, le projet de loi propose d’autoriser la police à demander une autorisation judiciaire pour une nouvelle ordonnance, désignée comme étant une ordonnance de communication de renseignements relatifs à l’abonné.

Cette nouvelle ordonnance se limite aux renseignements susceptibles d’identifier l’abonné, à la divulgation des identifiants qui lui ont été attribués, tels qu’un numéro de compte, et à la description des services fournis.

Pour obtenir cette autorisation judiciaire, la police devra convaincre un juge qu’il existe des motifs raisonnables de soupçonner qu’une infraction a été commise ou est sur le point de l’être, que le fournisseur de services identifié détient les renseignements sur l’abonné et que ceux-ci aideront la police dans le cadre de l’enquête sur cette infraction. Il est important de rappeler que rien n’autorise la police à obtenir des détails concernant l’utilisation des services.

En outre, les juges peuvent limiter ou assortir de conditions les renseignements que le fournisseur doit divulguer, en tenant compte des intérêts liés à la protection de la vie privée qui sont en jeu et des lignes directrices de la Cour suprême à ce sujet. L’intérêt de l’autorisation judiciaire préalable réside dans le fait que le Parlement n’a pas besoin de préciser explicitement à l’avance chaque limitation. Ces limites peuvent en effet être imposées par un juge au cas par cas.

Pour anticiper une question légitime que la sénatrice Simons pourrait me poser, je tiens à ajouter que le critère moins strict utilisé ici est probablement suffisant au regard de l’article 8 de la Charte.

Premièrement, le nom, l’adresse et le numéro de téléphone d’un abonné ne peuvent être considérés comme des renseignements pour lesquels il existe une forte attente de confidentialité. À l’époque des lignes terrestres, ces renseignements étaient, pour la plupart des abonnés de Bell Canada, facilement accessibles dans les annuaires téléphoniques. Pourquoi la suppression de ces annuaires renforcerait-elle l’attente de confidentialité?

Deuxièmement, la nouvelle ordonnance de communication autorise une description des services fournis à l’abonné, mais pas une description de l’utilisation faite de ces services.

Troisièmement, guidé par l’article 8, le juge qui donne l’autorisation doit interpréter la définition de « renseignements relatifs à l’abonné » de manière raisonnable et ne peut autoriser plus que ce qui est expressément mentionné. De plus, le juge peut imposer des conditions et des restrictions aux renseignements relatifs à l’abonné demandés par la police.

Quatrièmement, le projet de loi donne aux fournisseurs le droit de contester, devant les tribunaux, les ordonnances de communication qui semblent déraisonnables.

Cinquièmement, si une accusation est portée, l’accusé aura le droit de contester la légalité de toute ordonnance dépassant la portée de la nouvelle disposition.

Pour ces raisons, je crois que la nouvelle ordonnance assure un équilibre satisfaisant entre les intérêts en jeu en matière de protection de la vie privée et l’importance de l’application de la loi en cas de crimes commis sur Internet.

Une fois que les renseignements relatifs à l’abonné ont été obtenus, l’étape suivante consiste souvent à obtenir un mandat de perquisition. Il peut s’agir d’un mandat de perquisition pour un bâtiment, une maison, une voiture, un conteneur ou un ordinateur personnel. La partie 1 du projet de loi C-22 ne modifie pas le seuil légal requis pour obtenir un tel mandat. Le juge doit être convaincu qu’il existe des motifs raisonnables de croire qu’il y a — dans le bâtiment, le lieu ou l’ordinateur — quelque chose qui fournira la preuve d’une infraction. La seule modification apportée ici est de permettre à un juge d’autoriser à la fois la saisie de l’appareil et l’examen de son contenu en vertu d’un seul mandat, plutôt que d’exiger deux autorisations judiciaires distinctes, comme le veut l’usage depuis les jugements de la Cour suprême, tout en continuant d’exiger une autorisation spécifique pour les données informatiques. Le même mandat pourrait viser la maison et l’ordinateur, mais il doit y avoir deux autorisations précises dans l’ordonnance.

Cela devrait simplifier le processus d’autorisation pour la police tout en forçant les policiers et les juges à se pencher précisément sur les questions de protection de la vie privée liées à un mandat de perquisition, surtout s’il vise un ordinateur.

En conclusion, mon examen du projet de loi C-22 m’amène à penser que la partie 2 mérite davantage d’attention que la partie 1. Soit dit en passant, les nombreux courriels que nous avons reçus et les discours prononcés jusqu’à présent ont tous, pour l’essentiel, porté sur la partie 2. Une tâche aussi importante devrait être confiée sans tarder au Comité de la sécurité nationale, de la défense et des anciens combattants.

Merci de votre attention.

Oui, avec plaisir.

Je suis désolé de vous interrompre, mais le temps de parole est écoulé.

Sénateur Dalphond, demandez-vous cinq minutes supplémentaires pour répondre aux questions?

Bien sûr. Si la Chambre y consent, cela me fera plaisir.

Le consentement est-il accordé, honorables sénateurs?

Je vous remercie de votre question. Elle est intéressante. J’ai peut-être parlé un peu vite sur ce point. En substance, je dis que, pour obtenir les informations relatives à un abonné, il faut une autorisation judiciaire. La question qui se pose alors est la suivante : quel doit être le degré de protection de la vie privée applicable? Quel doit être le seuil à partir duquel le policier doit informer le juge? Doit-il convaincre le juge qu’il dispose de motifs raisonnables de soupçonner ou de croire?

Selon moi, dans sa version actuelle, cette nouvelle ordonnance — c’est-à-dire l’ordonnance de communication des renseignements relatifs à la personne abonnée — exige des policiers qu’ils démontrent au juge l’existence de motifs raisonnables de soupçon. Je crois que c’est suffisant, car les intérêts liés à la vie privée en jeu sont limités. Par le passé, le nom, l’adresse et le numéro de téléphone de quelqu’un, par exemple, n’étaient pas considérés comme essentiels à la confidentialité d’une personne. Ainsi, je ne crois pas que ces informations aient gagné en importance simplement parce que les annuaires sont en voie de disparition.

L’autre problème concerne les services fournis. Bien sûr, à l’époque où nous avions des annuaires téléphoniques, je savais que les gens avaient une ligne téléphonique. Le service fourni se limitait généralement à cela. Aujourd’hui, il y a aussi les services Internet. On peut souscrire à de nombreux services auprès de son fournisseur. Cela relève, en quelque sorte, des renseignements personnels. Voilà pourquoi je me réjouis de voir qu’une autorisation judiciaire est requise, mais les attentes concernant cette partie de la confidentialité restent néanmoins très limitées.

Donc, pour moi, l’existence de « motifs raisonnables de soupçonner » suffit pour demander ce type de renseignements et les obtenir d’un fournisseur, d’autant plus que le contenu ne peut pas être révélé. Les seuls renseignements révélés sont que, oui, la personne a une connexion rapide ou lente à Internet, ou qu’elle paie pour 20 minutes par mois ou pour un accès illimité à Internet. Ce genre de renseignements ne révèle pas grand-chose sur vous ni sur ce que vous faites avec votre ordinateur.

Le sénateur Dalphond accepterait-il de répondre à une question?

Bien sûr.

Je suis désolée de vous décevoir, sénateur Dalphond, mais la sénatrice Batters a posé la question que vous souhaitiez sans doute que je pose. Je vais donc en poser une autre à propos des ordonnances de communication à l’étranger.

L’article 1 proposé dans le projet de loi C-22 obligerait en substance les fournisseurs de services de télécommunications canadiens à fournir des renseignements en réponse à des ordonnances de communication émanant de pays dont les règles et les attentes en matière de protection de la vie privée peuvent être très différentes des nôtres. Dans quelle mesure estimez-vous que les garanties prévues par le projet de loi C-22 sont suffisantes en ce qui concerne la communication des données personnelles des Canadiens à des pays étrangers et à des services de renseignement étrangers?

C’est une très bonne question. L’information demandée concerne des Canadiens vivant au Canada. Par conséquent, la Charte s’applique bel et bien. Que l’information soit demandée par la police locale, la CIA ou le FBI, cela ne change rien : la personne se trouve au Canada et elle devrait bénéficier du même niveau de protection. Une autorisation judiciaire devrait être requise si, au Canada, une telle autorisation est exigée.

Dans ce cas, je suppose que la question est la suivante : pensez-vous que le projet de loi C-22 précise bien cela?

Penser le contraire reviendrait à dire que, lorsque c’est le FBI qui demande des renseignements, la GRC dispose de pouvoirs plus étendus pour les obtenir que si c’était la police locale qui sollicitait son aide. Cela ne peut pas être le cas. Une autorisation judiciaire est nécessaire. Si le fournisseur communique ces renseignements sans autorisation judiciaire, j’espère qu’il va…

Sénateur Dalphond, votre temps de parole est écoulé.