L'accès légal au Canada a longtemps été lié aux entreprises de télécommunications et à Internet : les règles de remise des renseignements sur les abonnés, la conservation des métadonnées et l'installation de capacités de surveillance imposées par le gouvernement. Mais alors que l'audience du Sénat sur le projet de loi C-22 s'ouvrait, des responsables gouvernementaux ont suggéré que la portée pourrait être bien plus large. Selon l'analyse du professeur de droit Michael Geist, les responsables ont indiqué que les pouvoirs d'accès légal au Canada du projet de loi C-22 pourraient s'étendre aux plateformes de jeux, aux garderies et aux services d'IA.

Il s'agit d'un changement notable dans la conversation publique, et cela mérite un examen attentif. Ce billet s'appuie sur le résumé et l'angle des reportages de Geist, et se concentre donc sur ce que les responsables auraient dit plutôt que sur les détails du projet de loi que nous ne pouvons pas confirmer.

Ce que le projet de loi C-22 exigerait des entreprises

Le projet de loi C-22, connu sous le nom de Loi sur l'accès légal, est devant le Sénat. Les descriptions publiques du projet de loi indiquent que son objectif est de veiller à ce que les fournisseurs de services électroniques puissent faciliter l'exercice des autorités pour accéder à l'information. En termes pratiques, les cadres d'accès légal ont traditionnellement couvert trois types d'obligations :

  • Divulguer les renseignements sur les abonnés lorsque la loi l'exige.
  • Conserver les métadonnées, c'est-à-dire les données sur les communications plutôt que leur contenu.
  • Installer ou construire des capacités permettant aux autorités d'effectuer une surveillance.

La description du projet de loi par le gouvernement note qu'il interdit explicitement les règlements exigeant des fournisseurs de services qu'ils conservent l'historique de navigation web d'une personne. Il s'agit d'une limite significative, mais les exigences en matière de conservation des métadonnées et de capacités techniques peuvent encore être importantes, selon qui est couvert et comment les règles sont rédigées.

Quels services pourraient relever de l'accès légal

Le point clé de l'audience concerne la portée. Les responsables auraient déclaré que les pouvoirs pourraient s'appliquer au-delà des télécoms et des FAI aux plateformes de jeux, aux garderies et aux services d'IA. Chacun est un type d'entreprise très différent :

  • Les plateformes de jeux combinent souvent chat, voix, listes d'amis et données de compte, dont une grande partie provient de jeunes utilisateurs.
  • Les garderies ne sont généralement pas considérées comme des fournisseurs de services électroniques, mais beaucoup utilisent des applications et des systèmes pour communiquer avec les parents.
  • Les services d'IA peuvent conserver des enregistrements d'invites, d'activité de compte et de schémas d'utilisation.

La préoccupation concerne moins une catégorie particulière que le principe. Si la définition d'un fournisseur couvert est suffisamment large pour inclure de tels services, de nombreuses organisations qui ne se sont jamais considérées comme faisant partie de l'infrastructure de communications pourraient faire face à des obligations de conservation et de capacité. Les organisations plus petites pourraient avoir du mal à comprendre ce que l'on attend d'elles.

Ce que signifie une conservation plus large des métadonnées pour la vie privée des utilisateurs

Les métadonnées peuvent sembler inoffensives, mais elles peuvent révéler à qui vous parlez, quand, à quelle fréquence et d'où. Collectées sur davantage de services, elles peuvent dresser un tableau détaillé de la vie quotidienne. Les conserver plus longtemps, ou sur un éventail plus large de plateformes, augmente la quantité d'informations sensibles qui existent et pourraient être demandées, divulguées ou utilisées à mauvais escient.

Il existe également une dimension sécuritaire. Tout système conçu pour permettre l'accès gouvernemental est un système de plus qui doit être défendu. Les critiques des propositions d'accès légal, y compris les groupes de défense de la vie privée et les chercheurs qui ont soumis des analyses sur le projet de loi C-22, ont soulevé des préoccupations concernant le chiffrement et la surveillance élargie. Les partisans soutiennent que les enquêteurs ont besoin d'outils modernes pour faire face à la criminalité dans un monde numérique. Les deux positions font partie du débat qui est maintenant examiné par le Sénat.

Cette tension n'est pas propre au Canada. Les débats sur l'identité numérique et la collecte de données se déroulent ailleurs, notamment la question de savoir si le portefeuille d'identité numérique de l'UE est vraiment volontaire ou obligatoire, et les données d'opinion publique montrant que 60 % des Britanniques craignent la surveillance dans le plan d'identité numérique du Royaume-Uni. Le fil conducteur est la confiance : combien de données sont collectées, qui les détient et qui peut y accéder.

Ce que cela signifie pour vous

Si vous vivez au Canada, l'effet pratique dépend du texte final du projet de loi, des règlements qui suivront et des services qui seront finalement couverts. Pour l'instant, rien n'a changé dans la façon dont vous utilisez les jeux, les outils d'IA ou les applications pour enfants. Mais les commentaires des responsables suggèrent que les services que vous utilisez tous les jours pourraient faire partie d'un cadre d'accès légal.

Il vaut également la peine d'être réaliste quant aux limites. Un VPN peut protéger votre trafic de votre réseau local ou de votre fournisseur d'accès Internet, mais il ne peut pas empêcher un service de conserver les données qu'il détient sur votre compte et votre activité. Si une plateforme est tenue de conserver elle-même les métadonnées, cette obligation s'applique indépendamment de la façon dont vous vous connectez.

Ce que les utilisateurs peuvent réalistement faire à ce sujet

  • Lisez les politiques de confidentialité des applications de jeux, d'IA et de garde d'enfants, en prêtant attention aux données conservées et à leur durée.
  • Partagez moins par défaut. Utilisez un minimum d'informations de profil et évitez de mettre des détails sensibles dans les outils d'IA.
  • Utilisez une sécurité de compte robuste, y compris des mots de passe uniques et l'authentification à deux facteurs, car les données conservées ne sont sûres que dans la mesure où le compte qui les protège l'est.
  • Posez des questions. Si votre garderie ou votre club utilise une application, demandez quelles données elle collecte et où elles sont stockées.
  • Suivez le processus. Les audiences du Sénat, les mémoires et les amendements peuvent modifier la portée d'un projet de loi. Les commentaires publics et le contact avec vos représentants sont le moyen le plus direct d'influencer celui-ci.

Suivez le débat

La discussion sur l'accès légal du projet de loi C-22 au Canada est encore en évolution, et la portée décrite par les responsables pourrait être restreinte, clarifiée ou confirmée à mesure que le Sénat avance. Gardez un œil sur les amendements et sur la façon dont « fournisseur de services électroniques » est défini, et comparez-le avec les débats similaires sur la surveillance et l'identité numérique à l'étranger, comme ceux de l'UE et du Royaume-Uni couverts dans les articles ci-dessus. Rester informé est la première étape pour participer à la conversation.