Le 25 novembre dernier s’est tenue à Ottawa la Conférence de l’Association des industries canadiennes de défense et de sécurité. Monsieur Bob Paulson, commissaire de la Gendarmerie Royale du Canada, s’est alors prononcé en faveur de l’accès sans mandat à certaines données personnelles des clients de fournisseurs de service Internet.

Lors de son allocution, il a par ailleurs comparé l’obtention des nom et adresse des clients de fournisseurs de service Internet à celle de l’obtention des informations personnelles du propriétaire d’un véhicule à partir d’une plaque d’immatriculation, opération qui peut validement être réalisée sans mandat par les policiers. Il a même précisé que s’il avait dû appeler un juge à chaque fois qu’il avait voulu consulter ces données, il n’aurait pas accompli beaucoup de travail comme policier.

Cadre législatif et jurisprudentiel actuel

En juin 2014, dans R. c. Spencer, [2014] 2 R.C.S. 212, le plus haut tribunal du pays, dans le cadre d’un pourvoi sur une décision de la Cour d’appel de la Saskatchewan au sujet de l’accès sans mandat aux données d’identification d’un internaute, s’est prononcé sur l’article 8 de la Charte canadienne des droits et libertés  qui prévoit que

8. Chacun a droit à la protection contre les fouilles, les perquisitions ou les saisies abusives. »

Dans cette affaire, la police avait découvert l’adresse IP d’un ordinateur utilisé pour consulter et stocker de la pornographie juvénile. Les policiers ont alors obtenu sans mandat et directement du fournisseur de service Internet les données personnelles relatives au détenteur de cette adresse IP.

Les policiers ont basé leur demande d’accès au fournisseur de service Internet sur le paragraphe 7(3)c.1)ii) de la Loi sur la protection des renseignements personnels et les documents numériques.

« Communication à l’insu de l’intéressé et sans son consentement

(3) Pour l’application de l’article 4.3 de l’annexe 1 et malgré la note afférente, l’organisation ne peut communiquer de renseignement personnel à l’insu de l’intéressé et sans son consentement que dans les cas suivants :

c.1) elle est faite à une institution gouvernementale — ou à une subdivision d’une telle institution — qui a demandé à obtenir le renseignement en mentionnant la source de l’autorité légitime étayant son droit de l’obtenir et le fait, selon le cas :

(ii) que la communication est demandée aux fins du contrôle d’application du droit canadien, provincial ou étranger, de la tenue d’enquêtes liées à ce contrôle d’application ou de la collecte de renseignements en matière de sécurité en vue de ce contrôle d’application » (nos soulignés)

En vertu des informations obtenues, les policiers ont pu retrouver l’accusé, qui a ensuite été inculpé et déclaré coupable de possession de pornographie juvénile. Cette décision a été confirmée en appel, puis par la Cour suprême du Canada. La Cour a d’abord assimilé la communication d’information sur les utilisateurs d’Internet à une fouille :

[66]                          À mon avis, compte tenu de l’ensemble des circonstances de la présente affaire, il existe une attente raisonnable en matière de vie privée à l’égard des renseignements relatifs à l’abonnée. La communication de ces renseignements permettra souvent d’identifier l’utilisateur qui mène des activités intimes ou confidentielles en ligne en tenant normalement pour acquis que ces activités demeurent anonymes. La demande faite par un policier visant la communication volontaire par le FSI de renseignements de cette nature constitue donc une fouille. (nos soulignés)

La cour reconnaît ensuite que l’obtention des renseignements personnels de l’abonné violait l’article 8 de la Charte canadienne, mais que l’exclusion des éléments de preuve obtenus serait susceptible de déconsidérer l’administration de la justice en raison de la gravité des actes reprochés (par. 74 et 81).

Par conséquent, depuis cet arrêt, la plupart des fournisseurs de service Internet réclament un mandat pour communiquer des informations de leurs clients, d’où l’intervention du commissaire de la GRC.

Proposition du commissaire de la GRC

Une proposition de la GRC a été présentée aux officiels fédéraux, provinciaux et territoriaux visant à enrayer la cybercriminalité. Elle comprendrait la création d’une base de données à laquelle les policiers pourraient avoir facilement accès comprenant les nom et adresse des clients de fournisseurs de service Internet.

Cette proposition comprend également trois avenues potentielles de réforme du système actuel, accordant ainsi l’accès à la GRC aux données des clients des fournisseurs de service Internet soit par :

• Une structure administrative ne requérant pas l’approbation d’un tribunal;
• Une nouvelle cour de justice ou une modification au système actuel;
• Une nouvelle cour de justice pour entendre les questions requérant une plus grande expectative de vie privée, et un nouvel organe administratif pour les cas moins sensibles.

La proposition de M. Paulson viserait spécifiquement à identifier plus facilement les prédateurs sexuels et les criminels du web par l’accès aux bases de données administratives, le tout, dans le respect des droits prévus à la Charte canadienne des droits et libertés. M. Paulson est toutefois conscient que ce débat sur la cybercriminalité devra également se tenir sur la place publique, d’où sa sortie à Ottawa.

Les États-Unis et le Royaume-Uni se questionnement également sur les mesures à prendre pour contrer la cybercriminalité. Dans le climat actuel caractérisé par une insécurité quant aux possibles attaques terroristes et par une tendance nette axée vers la facilitation de l’accès aux forces de l’ordre aux données personnelles privées des citoyens, il sera intéressant de constater quelle avenue le gouvernement Trudeau préférera adopter.