Le projet de loi C-22, Loi concernant l'accès légal, créerait la Loi sur le soutien à l'accès autorisé à l'information et modifierait le Code criminel, la Loi sur le Service canadien du renseignement de sécurité et d'autres lois. Son objectif déclaré est d'aider les fournisseurs de services à faciliter l'accès à des informations que les autorités sont déjà autorisées à obtenir. Ce sont des dispositions proposées ; le matériel fourni ne prouve pas qu'elles sont en vigueur.
La police et d'autres agents publics obtiendraient de nouveaux moyens de demander des informations sur les abonnés et des données de transmission, y compris par mandat, ordonnance du tribunal ou, dans certains cas, une demande de confirmation sur le fait qu'un fournisseur dessert un abonné ou un compte particulier.
Le projet de loi élargirait certains pouvoirs de mandat, y compris les perquisitions de systèmes informatiques, le suivi discret et l'enregistrement de données de transmission, et établirait de nouvelles règles pour examiner et donner avis sur les données saisies.
La nouvelle Loi permettrait au gouvernement fédéral d'exiger que certains fournisseurs construisent des capacités ou conservent des métadonnées spécifiées pendant une durée maximale de six mois. Des ordonnances distinctes pourraient s'appliquer à tout fournisseur de services électroniques pendant une durée maximale de deux ans.
Les fournisseurs devraient aider avec des tests spécifiés et se conformer aux ordonnances applicables. Les inspecteurs pourraient examiner les dossiers et les systèmes ; les manquements à la conformité pourraient entraîner des pénalités administratives ou des amendes criminelles.
Le Commissaire au renseignement examinerait certaines ordonnances spécifiques aux fournisseurs. Le projet de loi prévoit également un rapport annuel et un examen parlementaire après que toutes les dispositions ont été en vigueur pendant une période déterminée.
Fournisseurs de services : Certains pourraient devoir confirmer le service, produire des informations en vertu d'une ordonnance, conserver des métadonnées spécifiées ou construire des capacités si les règlements ou ordonnances l'exigent. Les fournisseurs peuvent contester certaines demandes et ordonnances. Ils ne sont pas tenus d'introduire une vulnérabilité systémique ou d'empêcher sa réparation.
Personnes dont les informations sont recherchées : Le projet de loi élargirait les outils juridiques des autorités, mais il ne rend pas l'accès automatique : les nouveaux pouvoirs nécessitent généralement des motifs spécifiés et, pour de nombreuses demandes de perquisition ou de production, une autorisation judiciaire. Dans certains cas, l'avis concernant un mandat d'examen peut être retardé ou écarté.
Personnes utilisant des services en ligne : Les règlements pourraient exiger la conservation de certaines métadonnées, mais pas du contenu des communications, de l'historique de navigation ou des activités sur les réseaux sociaux. La Loi ne nécessiterait généralement pas que les fournisseurs décryptent les informations chiffrées par l'utilisateur, à moins que le fournisseur n'ait fourni le chiffrement et dispose de ce qu'il faut pour le déchiffrer.
CSIS et organismes d'application de la loi : Ils obtiendraient de nouvelles voies de confirmation et de collecte d'informations, sous réserve de règles et de garanties différentes. Le projet de loi ne crée pas en soi un droit général pour le public d'accéder à l'information ou un nouveau service de première ligne.
Aucune information publique disponible sur le coût total public ou privé du projet de loi.
Le ministre peut indemniser les fournisseurs pour certains ou tous les coûts de conformité à certaines ordonnances spécifiques aux fournisseurs ; le projet de loi ne nécessite pas d'indemnisation dans tous les cas.
Les règlements peuvent établir des frais pour l'assistance des fournisseurs. Aucun montant de frais n'est fixé dans le matériel fourni.
Les fournisseurs peuvent faire face à des coûts pour des capacités, la conservation de données, l'assistance, des audits et la conformité. Le projet de loi ne donne aucune estimation.
Le projet de loi prévoit l'administration gouvernementale, des inspections et l'application, mais le matériel fourni ne donne aucune estimation de personnel ou de budget.
Les pénalités administratives peuvent atteindre 50 000 $ pour un individu et 250 000 $ pour une autre personne en cas de violation. Des infractions distinctes peuvent entraîner des amendes allant jusqu'à 100 000 $ pour un individu et 500 000 $ pour une autre personne.
Le matériel fourni ne montre pas quelles classes de fournisseurs sont énumérées dans l'annexe, ni quelles capacités techniques spécifiques ou catégories de métadonnées les règlements ultérieurs pourraient exiger.
Le projet de loi donne au ministre et au gouverneur en conseil des pouvoirs pour établir des règles, mais le contenu des futurs règlements, y compris les frais et certains détails d'application, n'est pas fourni.
Le matériel fourni ne donne pas de date de commencement pour la nouvelle Loi. La plupart des modifications de la Partie 1 commenceraient 180 jours après la sanction royale ; une règle de coordination distincte s'applique à une modification.
Le matériel ne fournit pas d'estimation globale des coûts ni n'explique combien de fournisseurs, d'ordonnances ou de personnel gouvernemental pourraient être impliqués.
Un argument possible en faveur du projet de loi est que l'accès autorisé peut être difficile si les fournisseurs manquent de la capacité de produire des informations pertinentes. Exiger certaines capacités ou une conservation limitée des métadonnées pourrait aider les autorités à utiliser les pouvoirs juridiques existants.
Le projet de loi inclut des limites : de nombreux outils d'accès nécessitent une autorisation judiciaire, et les ordonnances spécifiques aux fournisseurs nécessitent l'approbation du Commissaire au renseignement.
Le projet de loi interdit les exigences qui créent une vulnérabilité systémique et les règles exigeant la conservation du contenu, de l'historique de navigation ou des activités sur les réseaux sociaux.
Des rapports annuels et un examen parlementaire ultérieur pourraient fournir aux organismes de surveillance des informations sur la manière dont les pouvoirs sont utilisés.
Une préoccupation est que la construction de capacités ou la conservation de métadonnées pourrait imposer des coûts et créer des risques pour la vie privée ou la cybersécurité pour les fournisseurs et les utilisateurs, même avec les limites du projet de loi.
Le ministre pourrait émettre des ordonnances spécifiques aux fournisseurs qui sont confidentielles, et les fournisseurs feraient face à des pouvoirs d'inspection, d'audit et de pénalité. L'équilibre entre le secret, la surveillance et la capacité d'un fournisseur à contester une ordonnance peut avoir de l'importance dans la pratique.
De nombreux détails importants dépendent des futurs règlements, y compris quels fournisseurs sont couverts et quelles capacités ou métadonnées ils doivent conserver. Le projet de loi ne montre pas encore quelles seraient ces exigences.