Le projet de loi C-22 du Canada impose une surveillance massive des métadonnées des Canadiens

Le gouvernement libéral canadien a présenté le projet de loi C-22, intitulé « Loi de 2026 sur l’accès légal », un texte de loi sur la surveillance qui oblige les fournisseurs de services électroniques à conserver les métadonnées des Canadiens pendant un an et qui donne à la police et aux services de renseignement de nouveaux outils pour y accéder.

Reclaim The Net a obtenu une copie du projet de loi que vous pouvez consulter ici.

Ce projet de loi fait suite à une première tentative infructueuse, le projet de loi C-2, qui a échoué sous le poids des critiques quasi unanimes des partis d’opposition, des groupes de défense des droits et du secteur des technologies.

Il s’agit d’un régime de conservation obligatoire des données qui oblige les entreprises à conserver les données de localisation, les informations sur les appareils et d’autres métadonnées sensibles concernant tous les Canadiens, et pas seulement ceux soupçonnés d’avoir commis des crimes, afin que les forces de l’ordre puissent les récupérer sur présentation d’un mandat. La logique est bien connue : construire d’abord la botte de foin, la fouiller ensuite.

Le ministre de la Sécurité publique, Gary Anandasangaree, a présenté le projet de loi comme une modernisation nécessaire. « Le Canada est lamentablement à la traîne par rapport à nos alliés les plus importants. La technologie a évolué ; nos lois sont restées bloquées au siècle dernier », a-t-il déclaré jeudi, 19 mars, entouré de chefs de police et du ministre de la Justice, Sean Fraser.

Le sous-commissaire principal de la GRC, Bryan Larkin, a ajouté : « Il s’agit ici d’une série d’outils concrets qui permettront à terme d’obtenir de meilleurs résultats, d’accroître l’efficacité des enquêtes policières, d’améliorer la résolution des crimes et, très franchement, de renforcer la sécurité des Canadiens et, surtout, de répondre aux préoccupations des victimes. »

Le gouvernement affirme qu’il ne s’agit pas d’une surveillance des Canadiens ordinaires. Anandasangaree a été explicite : « Je tiens à préciser ce que le projet de loi C-22 n’est pas. Il ne s’agit pas de surveiller les Canadiens dans leur vie quotidienne. Il s’agit d’assurer la sécurité des Canadiens dans l’espace en ligne. »

Le projet de loi exclut effectivement l’historique de navigation sur le Web et l’activité sur les réseaux de communication virtuels de ses exigences de conservation obligatoire. Mais le projet de loi n’a pas besoin d’inclure tout pour être gravement intrusif.

Les données de localisation à elles seules en disent long. Où vous dormez, où vous pratiquez votre culte, quel médecin vous consultez, à quelles manifestations vous participez. Toutes ces données sont conservées pendant un an, accessibles à la police et au SCRS sur présentation d’un mandat, et intégrées de plein droit dans les systèmes de tous les fournisseurs de services électroniques.

Tamir Israel, directeur du programme sur la vie privée, la surveillance et la technologie de l’Association canadienne des libertés civiles, a mis en avant la distinction la plus importante. « Le fait de pouvoir ordonner catégoriquement aux entreprises de conserver les informations de tout le monde, et pas seulement celles des personnes soupçonnées d’avoir commis des crimes….… est différent de demander à une entreprise de créer une porte dérobée que la police pourrait ensuite franchir pour récupérer des informations », a-t-il déclaré.

« Dans les deux cas, on met en danger la vie privée des gens et on crée des menaces pour la cybersécurité. »

Voilà en une phrase l’architecture du projet de loi C-22. La conservation massive des données traite les données de localisation et d’appareil de chacun comme des preuves pré-collectées, stockées à l’avance au cas où elles deviendraient utiles plus tard.

La section la plus alarmante sur le plan technique du projet de loi autorise le ministre de la Sécurité publique à émettre des ordonnances secrètes obligeant les fournisseurs de services électroniques « essentiels » – une catégorie que le gouvernement n’a pas encore pleinement définie – à mettre en place et à maintenir des capacités de surveillance accessibles aux forces de l’ordre. Les fournisseurs qui reçoivent ces ordonnances sont soumis au secret. Ils ne peuvent pas en discuter.

Le gouvernement a prévu des limites : ces capacités techniques ne peuvent pas obliger les fournisseurs à conserver le contenu des messages, l’historique de navigation ou l’activité sur les réseaux de communication virtuels. Elles ne peuvent pas non plus introduire de « vulnérabilités systémiques » qui affaiblissent le chiffrement ou l’authentification, ni créer « un risque substantiel que des informations sécurisées puissent être consultées par une personne qui n’a aucun droit ni aucune autorité pour le faire ».

Par rapport au projet de loi C-2, le projet de loi C-22 fait un pas en arrière sur un point important. Dans la proposition initiale, la police aurait pu s’adresser à n’importe quel fournisseur de services, y compris ceux liés par le secret professionnel comme les médecins et les avocats, pour demander si une personne était un client, depuis combien de temps, d’où, et si l’entreprise connaissait d’autres fournisseurs ayant eu affaire à cette personne, le tout sans mandat. Le projet de loi C-22 limite les demandes sans mandat aux seules entreprises de télécommunications et restreint la question à un simple oui ou non : cette personne est-elle un client ? Toute information supplémentaire nécessite un mandat.

Le projet de loi crée également un nouveau mécanisme de mandat pour la police canadienne souhaitant obtenir des données détenues par des entreprises technologiques étrangères, presque certainement américaines.

Un juge canadien peut délivrer un mandat de production qui ne lierait pas juridiquement l’entreprise étrangère, mais lui donnerait une couverture juridique pour remettre les données de son plein gré. Il s’agit d’une solution de contournement, et non d’une solution, qui dépend entièrement de la volonté de coopérer de l’entreprise.

Certaines des exigences du projet de loi en matière de mandat prévoient une exception pour les « circonstances urgentes », lorsque la police fait valoir qu’il serait impossible d’obtenir un mandat en raison de l’urgence. Cette exception a tendance à s’étendre avec le temps.

Le projet de loi C-22 reprend plusieurs dispositions de la Loi sur le renforcement des frontières (projet de loi C-2), qui avait suscité une vive opposition avant de rester au point mort, sans aucune avancée, depuis septembre 2025. Anandasangaree a explicitement reconnu ce recul. « Une chose que j’ai apprise, c’est que lorsqu’un projet de loi particulier nécessite davantage de travail, il faut faire marche arrière et revenir à la charge. On revient avec un meilleur consensus, une meilleure consultation et un meilleur soutien de tous les côtés », a-t-il déclaré.

La refonte limite certains des pouvoirs les plus intrusifs du projet de loi C-2. Ce qu’elle ne change pas, c’est le principe central : les fournisseurs de services électroniques devraient être tenus d’organiser et de stocker les données sensibles des Canadiens pour le compte de l’État, en vue d’une utilisation par les forces de l’ordre.

yogaesoteric
7 avril 2026