Psiphon, un outil anti-censure basé à Toronto utilisé par environ 20 millions de personnes dans des régions censurées et à haut risque, affirme que le projet de loi C-22 du Canada pourrait le contraindre à affaiblir ses protections de la vie privée ou à quitter le pays. L'avertissement de Psiphon concernant le projet de loi C-22 au Canada est notable parce qu'il provient d'un outil de défense des droits humains, et non d'un service commercial en concurrence pour des abonnés. Il montre aussi comment les mandats d'accès légal peuvent aller bien au-delà des entreprises qu'ils ciblent.

Ce que le projet de loi C-22 exigerait des VPN et des services de contournement

Le projet de loi C-22 est la Loi sur l'accès légal du Canada. En termes généraux, les lois sur l'accès légal visent à faciliter l'obtention de données par les autorités auprès des services de communication et en ligne. L'inquiétude soulevée par Psiphon est que, telle que rédigée, la loi pourrait affaiblir les protections de la vie privée dont dépendent les outils de contournement.

Les détails de la manière dont la loi s'appliquerait à des services spécifiques sont importants, et les lecteurs devraient considérer le texte final comme faisant autorité une fois qu'il sera arrêté. Des chercheurs du Citizen Lab, basé à l'Université de Toronto, ont déjà examiné le projet de loi. Leur soumission, intitulée « (Un)forced Errors », est couverte dans notre rapport sur la façon dont Citizen Lab a signalé des risques liés au chiffrement dans le projet de loi C-22 du Canada. Le message central est que des exigences conçues pour permettre l'accès peuvent créer des failles dans les systèmes censés protéger les personnes.

Pourquoi Psiphon affirme qu'il pourrait devoir quitter le Canada

Psiphon aide les personnes vivant sous des régimes oppressifs à contourner la censure en ligne. Ses utilisateurs se trouvent souvent dans des endroits où être identifié pourrait avoir de graves conséquences. Selon l'entreprise, si le projet de loi C-22 est adopté dans sa forme actuelle, elle pourrait être poussée soit à affaiblir ces protections, soit à quitter le Canada.

C'est un choix difficile pour un outil conçu à Toronto. Un service conçu pour protéger les utilisateurs contre la surveillance ne peut pas facilement ajouter des mécanismes qui rendent la surveillance possible sans compromettre sa raison d'être. Déplacer ses opérations hors du Canada serait un moyen de préserver ses protections intactes, mais cela signifierait aussi qu'un outil de défense des droits humains conçu au Canada quitte son pays d'origine.

Psiphon n'est pas seul à exprimer des inquiétudes. La couverture de cette affaire note que d'autres services axés sur la vie privée ont également exprimé leur opposition au projet de loi.

Ce qu'un retrait de fournisseur signifie pour les utilisateurs de VPN partout dans le monde

Il est tentant de voir cela comme une question purement canadienne. Ce n'est pas le cas. Plusieurs points ressortent pour les utilisateurs de VPN et de services chiffrés dans le monde entier :

  • La juridiction compte. Le lieu où un fournisseur est légalement établi détermine les demandes auxquelles il peut faire face. Un changement de loi peut forcer un fournisseur à se relocaliser ou à modifier sa conception.
  • Une protection affaiblie affecte tout le monde. Un outil conçu pour des militants dans des pays censurés remplit la même fonction technique qu'un outil utilisé pour la vie privée au quotidien. Si la conception est compromise pour un groupe, elle l'est pour tous.
  • Les retraits sont un signal, pas une garantie. Une entreprise qui dit qu'elle pourrait partir est un avertissement concernant la loi telle que rédigée. Les projets de loi peuvent changer avant d'être adoptés, et l'issue n'est pas fixée.

Pour les personnes qui dépendent d'outils de contournement pour accéder à l'information ou communiquer en toute sécurité, le départ d'un fournisseur d'un pays importe moins que l'incapacité d'un fournisseur à maintenir ses protections solides où que ce soit.

Ce que cela signifie pour vous

Si vous vivez au Canada et utilisez un VPN ou une messagerie chiffrée, rien ne change aujourd'hui. Le projet de loi C-22 est une proposition, et le débat sur son texte se poursuit. Mais l'avertissement est une invitation utile à réfléchir à la façon dont vos outils sont conçus et à l'endroit où leurs opérateurs sont établis.

Si vous ne vivez pas au Canada, cette affaire compte quand même. Les propositions d'accès légal ont tendance à être débattues dans de nombreux pays à la fois, et les arguments avancés dans un endroit sont souvent réutilisés ailleurs. Le point technique selon lequel les mécanismes d'accès peuvent devenir des points faibles s'applique largement.

Aucun outil unique n'est une réponse complète. Choisissez des services qui sont transparents sur leur juridiction légale et sur la façon dont ils traitent les données des utilisateurs, et gardez vos applications à jour.

Comment les Canadiens peuvent suivre et répondre au débat sur l'accès légal

  • Suivez l'avancement du projet de loi. Surveillez les amendements, car le libellé final déterminera comment les services sont affectés.
  • Lisez l'analyse primaire. Les soumissions techniques sont plus informatives que les gros titres.
  • Contactez votre représentant. Les Canadiens peuvent partager leur point de vue avec leur député sur la politique d'accès légal et de chiffrement.
  • Examinez votre propre configuration. Sachez de quels outils de confidentialité vous dépendez et où ils sont établis.

L'essentiel à retenir

L'affaire Psiphon et du projet de loi C-22 au Canada rappelle que la politique de confidentialité et les outils de confidentialité sont étroitement liés. Une loi rédigée dans un but peut changer ce que les développeurs sont en mesure de construire. Pour comprendre ce qui est en jeu, continuez à suivre le débat sur le projet de loi C-22 et lisez l'analyse technique du Citizen Lab sur les risques liés au chiffrement dans la Loi sur l'accès légal dans notre résumé de la soumission du Citizen Lab.