Points clés
- Le 29 octobre 2026, l’OSSNR a publié l’examen 24-10 sur le renseignement de source ouverte du ministère de la Défense nationale et des Forces armées canadiennes sur internet. L’examen a conclu que la collecte est légale, mais a relevé des lacunes en matière de documentation, de gestion des risques, de protection de la vie privée et de surveillance.
- Quinze fournisseurs tiers spécialisés dans la collecte de renseignements sur des personnes n’avaient pas été évalués, et les évaluations des risques n’étaient pas mises à jour régulièrement et ne couvraient pas tous les risques pertinents.
- La collecte n’était pas systématiquement liée à des opérations de défense approuvées, et les politiques et les dossiers ne démontraient pas adéquatement que la collecte visant des Canadiens était nécessaire. L’OSSNR a formulé cinq recommandations, et les mêmes tests s’appliquent à toute équipe qui fait du RSO dans le secteur privé.
Les militaires peuvent lire l’internet public. Personne ne conteste cela. Le 29 octobre, l’Office de surveillance des activités en matière de sécurité nationale et de renseignement a publié son examen de la façon dont le ministère de la Défense nationale et les Forces armées canadiennes recueillent des renseignements accessibles au public en ligne à des fins de renseignement. Le verdict se divise en deux : la collecte est légale, mais la gouvernance qui l’entoure ne tient pas.
L’examen remonte à des reportages de presse sur les activités des Forces canadiennes pendant la pandémie. Le travail de l’OSSNR consistait à vérifier si la collecte était légale, nécessaire et assortie de garanties appropriées, surtout lorsqu’elle touchait des Canadiens. Légale, oui. Nécessaire et encadrée, pas démontrée.
Ce que l’examen a constaté
Quatre lacunes, selon les termes mêmes de l’examen :
- Documentation. Les activités de collecte ne sont pas systématiquement liées à des opérations ou activités de défense approuvées.
- Gestion des risques. Les évaluations des risques ne sont pas mises à jour régulièrement et ne couvrent pas tous les risques pertinents.
- Fournisseurs tiers. Quinze fournisseurs spécialisés dans la collecte de renseignements sur des personnes n’avaient pas été évalués.
- Vie privée et surveillance. Les politiques et la tenue des dossiers ne traitent pas adéquatement de tous les risques pour la vie privée et ne démontrent pas que la collecte visant des Canadiens est nécessaire.
Relisez la liste et arrêtez-vous à la troisième ligne. Quinze. Quinze fournisseurs dont l’activité consiste à recueillir des renseignements sur des personnes, sans aucune évaluation au dossier. C’est le chiffre qui devrait arrêter tout praticien qui survole ce texte. Votre version à vous, c’est le fournisseur de recherche de personnes, l’outil d’écoute des médias sociaux, le courtier en données dont le dossier aboutit dans votre fichier d’enquête. La question est la même que celle de l’OSSNR : quelqu’un les a-t-il évalués avant que les noms commencent à circuler?
| Le constat de l’OSSNR | Le test pour votre organisation |
|---|---|
| Collecte non liée à une opération approuvée | Pouvez-vous nommer le motif de votre dernière recherche de source ouverte? |
| Évaluations des risques périmées et incomplètes | Quand avez-vous mis à jour la vôtre, et couvre-t-elle vos outils actuels? |
| Quinze fournisseurs de données sur des personnes non évalués | Chaque fournisseur qui recueille des renseignements sur des personnes est-il évalué et au dossier? |
| Les dossiers ne démontrent pas la nécessité | Pourriez-vous prouver demain à un organisme de réglementation que la collecte était nécessaire? |
La phrase qui porte l’examen
« Les renseignements accessibles au public en ligne peuvent quand même soulever des préoccupations en matière de vie privée lorsqu’ils sont recueillis et analysés par des organisations gouvernementales. » C’est la phrase de l’OSSNR, et c’est celle que la plupart des organisations comprennent mal. L’idée confortable, c’est que public veut dire gratuit : une publication, un profil, une annonce, tout est permis une fois visible. L’examen dit non. Le pouvoir de recueillir n’est pas un laissez-passer. La collecte doit quand même être nécessaire, documentée et surveillée. La Loi 25 du Québec dit la même chose dans la loi, avec une liste étroite de ce qui compte comme renseignement accessible au public, et tout ce qu’on peut trouver en ligne n’y figure pas.
Il y a un compromis gênant que l’examen ne résout pas. La collecte de source ouverte est bon marché, rapide, et souvent le seul moyen de répondre à une vraie question. La resserrer coûte du temps et parfois la réponse. La position de l’OSSNR, c’est que ce coût est le prix de la légitimité. Le dossier est ce qui rend la collecte défendable. Si votre équipe traite le RSO comme gratuit parce qu’il est public, vous avez la même lacune à plus petite échelle.
Votre bureau cette semaine
- Liez chaque recherche de source ouverte à un motif nommé. Si une recherche n’a ni motif écrit ni opération ou dossier approuvé derrière elle, elle n’a pas lieu.
- Ouvrez le dossier de chaque fournisseur de données sur des personnes. Un fournisseur qui recueille des renseignements sur des personnes sans évaluation au dossier, c’est le constat, mot pour mot. Corrigez-le avant qu’un organisme de réglementation vous le relise.
- Datez votre évaluation des risques. Si elle précède les outils que vous utilisez maintenant, elle est périmée, et périmé, c’est ce que l’OSSNR a signalé.
Mesure concrète : Reprenez la dernière recherche de source ouverte de votre équipe et demandez trois choses : le motif qu’elle a servi, l’évaluation derrière l’outil qui l’a exécutée, et l’évaluation des risques qui la couvre. Un élément manquant, c’est une lacune. Deux, c’est une tendance. Le document d’information ne publie aucune réponse ni aucun calendrier du ministère, alors ce que le MDN fera des cinq recommandations reste la question ouverte.