L’essentiel
- La semaine dernière, le Sénat a débattu du projet de loi C-22, la Loi sur l’accès licite, et la sénatrice Denise Batters a déclaré à la Chambre que des fonctionnaires lui avaient indiqué que les premiers règlements prendraient de 18 mois à deux ans après la sanction royale, et que les autres prendraient peut-être cinq ans. Les fonctionnaires, a-t-elle ajouté, n’en savaient pas plus.
- La partie 1 (nouveaux pouvoirs policiers, dont la demande de confirmation de service et les ordonnances de communication des renseignements sur les abonnés) entre en vigueur 180 jours après la sanction royale. La partie 2, la Loi sur le soutien à l’accès licite à l’information avec ses obligations de capacité, d’équipement et de conservation des métadonnées, n’entre en vigueur que par décret du Cabinet, après des règlements qui définiront qui compte comme « fournisseur principal » et ce qu’il doit conserver.
- L’article 7 de la LSIAI permet au ministre de la Sécurité publique d’imposer ces mêmes obligations à tout fournisseur de services électroniques par décret avant que les règlements existent, sous réserve de l’approbation du commissaire au renseignement, tandis que l’article 15 interdit au fournisseur de divulguer l’existence ou le contenu du décret. Les obligations peuvent arriver par décret secret des années avant que les règles publiques les définissent.
Deux calendriers, un problème
Le projet de loi C-22 est bâti comme deux projets de loi en un seul. La partie 1 modifie le Code criminel : une demande de confirmation de service, une ordonnance de communication des renseignements sur les abonnés et des règles modernisées sur les mandats informatiques. Elle entre en vigueur le 180e jour après la sanction royale, avec ou sans règlements. La partie 2 édicte la Loi sur le soutien à l’accès licite à l’information, la LSIAI, et n’entre en vigueur qu’à la date choisie par le Cabinet.
Michael Geist a signalé le vide la semaine dernière : des fonctionnaires ont dit à la sénatrice Batters que les règlements donnant sa substance à la LSIAI prendraient de 18 mois à deux ans pour la première phase, et peut-être cinq ans pour le reste. On demande donc au Sénat d’approuver des mandats de capacité, des pouvoirs d’installation d’équipement et des règles de conservation des métadonnées sans savoir quels fournisseurs seront visés, ce qu’ils devront construire, quelles métadonnées seront conservées, ni à quel coût. C’est une méthode familière pour les projets de loi numériques, sauf qu’ici le renvoi s’accompagne d’une porte dérobée.
| Partie 1 : Accès opportun | Partie 2 : LSIAI | |
|---|---|---|
| Ce qu’elle fait | Pouvoirs du Code criminel : demande de confirmation de service, ordonnances de communication des renseignements sur les abonnés | Obligations de capacité, d’équipement et de conservation des métadonnées pour les fournisseurs |
| Qui est visé | Fournisseurs recevant des demandes ou des ordonnances | Les « fournisseurs principaux » (catégories définies par de futurs règlements) plus tout fournisseur visé par un décret en vertu de l’article 7 |
| Entrée en vigueur | 180 jours après la sanction royale, sans règlements nécessaires | À la date fixée par décret du Cabinet, après les règlements |
| Inconnues restantes | Limitées : formulaires, délais de révision | Presque tout : catégories de fournisseurs, capacités, catégories de métadonnées, coûts, droits, sanctions |
Le pouvoir de décret, lu honnêtement
Le paragraphe 7(1) est la phrase à relire deux fois. Il permet au ministre de prendre un décret « à l’égard d’un fournisseur de services électroniques » contenant toute disposition pouvant figurer dans un règlement pris en vertu du paragraphe 5(2), « que le fournisseur soit ou non un fournisseur principal ». Avant que tout règlement nomme les fournisseurs principaux, le ministre peut imposer les mêmes obligations à une entreprise donnée. L’article 13 donne préséance au décret sur tout règlement incompatible. L’article 15 interdit au fournisseur de divulguer le contenu du décret, son existence ou le fait qu’il y est assujetti, sauf dans les cas permis par la loi.
Le contrepoids honnête compte aussi. Le décret n’est valide qu’avec l’approbation écrite du commissaire au renseignement, et le ministre doit donner au fournisseur l’occasion de présenter des observations au préalable. Il existe une procédure d’exemption temporaire, une indemnisation discrétionnaire pour les coûts, et une garantie contre la vulnérabilité systémique : aucun fournisseur n’est tenu de se conformer à une disposition qui l’obligerait à introduire une vulnérabilité systémique ou l’empêcherait d’en corriger une. La conservation des métadonnées est plafonnée à un an, et le contenu, l’historique de navigation et les activités sur les médias sociaux sont expressément exclus.
Reste que l’encadrement procédural est mince là où cela compte. La Loi sur les textes réglementaires ne s’applique pas, donc pas de publication automatique dans la Gazette du Canada. L’examen parlementaire obligatoire attend la troisième année après l’entrée en vigueur de toutes les dispositions : si le Cabinet retient la partie 2 jusqu’à ce que les règlements soient prêts, cet examen pourrait n’avoir lieu que sept ou huit ans après la sanction royale.
Ce que la communauté signale
Les professionnels sur Reddit lisent le même texte et arrivent à la même conclusion. Le sentiment dominant : le projet de loi combine les deux traits auxquels les gens font le moins confiance, le pouvoir discrétionnaire de l’exécutif et le secret. La loi australienne de 2018 sur l’assistance et l’accès revient constamment comme le précédent, avec des commentateurs soulignant qu’elle a été appliquée plus largement que promis. L’objection technique qui revient sans cesse : toute capacité obligatoire d’aide à l’accès constitue en pratique une porte dérobée, quel que soit le nom que la loi lui donne.
Le signal commercial n’est pas abstrait. Geist note que des entreprises continuent d’avertir qu’elles pourraient quitter le Canada si le projet de loi est adopté dans sa forme actuelle, et les professionnels sur Reddit rapportent des rumeurs de départ, les services de VPN étant cités nommément en raison des coûts de conservation, bien qu’aucune entreprise n’ait mis un nom sur une menace. Conserver des catégories de métadonnées pendant un an représente un coût de stockage, de sécurité et de notification d’atteintes que quelqu’un devra payer, et le projet de loi renvoie les droits et l’indemnisation à de futurs règlements.
Ce qu’il faut faire pendant que la page est encore blanche
Attendre les règlements est la mauvaise posture. Le pouvoir de décret existe pour combler le vide avant les règlements.
- Déterminez honnêtement votre portée. La définition de « fournisseur de services électroniques » couvre quiconque fournit des services à des personnes au Canada ou y exerce des activités. Partez du principe que vous pourriez être visé par un décret, pas seulement désigné comme fournisseur principal.
- Inventoriez vos données de transmission. Recensez les métadonnées que vous détenez, leur durée de conservation et ce qu’une obligation de conservation d’un an coûterait. Notez les exclusions (contenu, historique de navigation, activités sur les médias sociaux) et concevez vos systèmes autour de ces limites dès maintenant.
- Documentez votre analyse de vulnérabilité. La « protection électronique » s’entend de l’authentification, du chiffrement et de tout autre type prescrit. Où un ordre d’assistance pourrait-il toucher votre architecture ? Consignez pourquoi des capacités imposées créeraient ou non une vulnérabilité systémique. Cela devient votre preuve pour vos observations en vertu de l’article 8.
- Nommez votre avocat et préparez votre dossier. Les fournisseurs ont le droit de présenter des observations avant un décret ministériel. Identifiez votre avocat et préparez les preuves de faisabilité, de coûts et d’incidence sur la vie privée avant l’arrivée de la lettre.
- Suivez le Sénat, pas seulement les règlements. Le projet de loi est à l’étape de la deuxième lecture au Sénat après le débat du 8 octobre. Des amendements au pouvoir de décret, au secret par défaut ou au calendrier d’examen restent possibles.
Prochaine étape : Considérez le délai de 180 jours de la partie 1 comme déjà en marche, car la sanction royale est le déclencheur et aucun règlement ne peut le suspendre. Pour la partie 2, planifiez en fonction du pouvoir de décret, pas des règlements : recensez vos métadonnées, documentez pourquoi votre chiffrement ne peut pas porter de capacités imposées en toute sécurité, et expliquez clairement à votre direction que les obligations les plus lourdes de ce projet de loi peuvent arriver dans une lettre dont la loi vous interdit de divulguer l’existence.