Loi de 2026 sur l'accès légal

Résumé#

Le projet de loi C-22 (« Loi sur l'accès légal, 2026 ») met à jour la manière dont les forces de l'ordre et les agences de sécurité obtiennent des données numériques lors des enquêtes et établit de nouveaux devoirs pour les fournisseurs de services électroniques. Il vise à accélérer l'accès aux données de base des abonnés et aux données de transmission (métadonnées) et à clarifier comment les données informatiques peuvent être recherchées, copiées et examinées. Il crée également une nouvelle loi qui peut exiger des grands fournisseurs de services de maintenir des capacités techniques pour aider à l'accès légal.

Principaux changements :

• Crée une demande de « confirmation de service » afin que la police ou le SCRS puisse exiger des entreprises de télécommunications qu'elles confirment si un numéro de téléphone, un courriel ou un compte leur appartient, sur suspicion raisonnable, avec des périodes de non-divulgation limitées.
• Ajoute un ordre de production pour les « informations sur les abonnés » (identifiants comme le nom, l'adresse, les numéros de compte, les identifiants d'appareil et les dates de service) sur suspicion raisonnable, et rationalise les délais pour examiner et répondre aux ordres.
• Clarifie que les agents peuvent recevoir et agir sur des données qui sont publiquement disponibles ou fournies volontairement par une personne ou une entreprise qui n'est pas interdite par la loi de les partager.
• Élargit les pouvoirs urgents (« circonstances urgentes ») pour obtenir certaines données sans mandat ou ordre lorsque cela est impraticable.
• Permet aux mandats de couvrir les données de suivi ou de transmission provenant de dispositifs ou de moyens de télécommunications « similaires » qui sont inconnus au moment du mandat (par exemple, si une cible change de téléphone).
• Permet aux juges d'autoriser la police à demander des données d'abonnés ou de transmission directement auprès de fournisseurs de services étrangers ; permet aux tribunaux canadiens d'appliquer certaines décisions étrangères pour contraindre des données d'abonnés ou de transmission au Canada.
• Clarifie comment les données informatiques peuvent être recherchées et examinées à l'aide d'équipements sur place, et permet la copie et l'examen à tout moment et en tout lieu au Canada, avec des règles de notification et des exceptions.
• Édicte la Loi sur l'accès autorisé à l'information, permettant des règlements et des ordres ministériels (avec l'approbation du Commissaire au renseignement) qui peuvent exiger des fournisseurs de services électroniques essentiels de maintenir des capacités pour aider à l'accès légal, de conserver certaines métadonnées pendant une durée maximale d'un an, et de garder les informations connexes confidentielles. Elle interdit les exigences qui créent des « vulnérabilités systémiques » (comme des portes dérobées) et interdit la conservation obligatoire de contenu, d'historique de navigation ou d'activités sur les réseaux sociaux.
• Exige un rapport public annuel sur les ordres et l'application de la nouvelle loi et un examen parlementaire trois ans après l'entrée en vigueur de tout.

Calendrier :

• La plupart des changements de la Partie 1 entrent en vigueur 180 jours après la sanction royale.
• La nouvelle loi sur les obligations des fournisseurs (Partie 2) commence à une date fixée par le gouvernement par ordre.

Ce que cela signifie pour vous#

• Fournisseurs de services électroniques (télécommunications, FAI, cloud, courriel, messagerie, plateformes), y compris les entreprises étrangères qui servent des personnes au Canada

  • Vous pourriez être tenus par règlement ou ordre ministériel de construire et de maintenir des capacités techniques pour extraire, organiser et fournir des données aux fonctionnaires autorisés, et de tester des dispositifs ou des outils qui permettent l'accès.
  • Vous pourriez être tenus de conserver des catégories définies de métadonnées (y compris les « données de transmission » du Code criminel) pendant des périodes allant jusqu'à un an. Vous ne pouvez pas être tenus de conserver du contenu, de l'historique de navigation ou des activités sur les réseaux sociaux.
  • Vous pourriez recevoir des demandes de « confirmation de service » de la part de la police ou du SCRS pour confirmer si un compte ou un identifiant vous appartient ; les entreprises de télécommunications doivent répondre aux demandes du SCRS, sauf si elles sont modifiées ou révoquées par un juge.
  • Vous pouvez demander à un tribunal de modifier ou de révoquer des demandes ou des ordres de production dans des délais courts ; vous n'avez généralement pas besoin de vous conformer tant qu'une décision finale n'est pas prise.
  • Vous devez garder les ordres, les demandes et les communications connexes confidentiels, sous réserve des règles et de tout ordre du tribunal.
  • Les inspecteurs désignés par le ministre peuvent entrer dans les locaux d'une entreprise (pas dans les domiciles sans mandat) pour vérifier la conformité, ordonner des audits internes et émettre des ordres de conformité. Le non-respect peut entraîner des pénalités administratives ou des infractions.
  • Les ordres ministériels nécessitent l'approbation du Commissaire au renseignement et peuvent inclure une compensation discrétionnaire pour vos coûts. Vous n'êtes pas tenu de vous conformer si cela introduit une « vulnérabilité systémique ».
  • Des règlements peuvent établir des frais à vous payer pour l'assistance que vous fournissez.

• Forces de l'ordre et SCRS

  • Vous pouvez exiger une confirmation rapide des entreprises de télécommunications concernant un compte et demander la production d'informations sur les abonnés sur suspicion raisonnable.
  • Vous pouvez agir sur des informations qui sont publiques ou qu'une personne ou une entreprise fournit légalement sans ordre ; les fournisseurs sont protégés contre la responsabilité pour la fourniture volontaire lorsque la loi le permet.
  • Dans des cas urgents, vous pouvez obtenir certaines données sans mandat ou ordre lorsque cela est impraticable et que les conditions sous-jacentes existent.
  • Les mandats pour des données de suivi ou de transmission peuvent couvrir des dispositifs ou des moyens « similaires » inconnus qu'une cible est susceptible d'utiliser plus tard.
  • Avec une autorisation judiciaire, vous pouvez demander des données d'abonnés ou de transmission directement auprès de fournisseurs de services étrangers.
  • Pour le SCRS, les délais et les processus pour contraindre la confirmation sont clarifiés, avec des voies de révision judiciaire.

• Personnes au Canada qui utilisent des services numériques

  • La police et le SCRS pourraient obtenir des informations sur les abonnés et des métadonnées de transmission plus rapidement. Cela n'inclut pas le contenu des messages dans ces outils, mais cela peut inclure des identifiants, des périodes de service, des identifiants d'appareil et des données de transmission non liées au contenu.
  • Certains fournisseurs pourraient être tenus de conserver des catégories limitées de métadonnées pendant jusqu'à un an. La loi n'autorise pas la conservation obligatoire de contenu, d'historique de navigation ou d'activités sur les réseaux sociaux.
  • Des ordres de non-divulgation peuvent empêcher les fournisseurs de vous informer de certaines demandes ou ordres pendant une période de temps.
  • Dans des situations urgentes, certaines données peuvent être obtenues sans mandat ou ordre préalable.

• Personnes sous enquête

  • Les mandats et ordres peuvent être plus larges pour les données de suivi et de transmission, y compris les futurs dispositifs « similaires ».
  • Les tribunaux peuvent autoriser des demandes auprès de fournisseurs étrangers pour des données d'abonnés ou de transmission. Les décisions étrangères pour contraindre de telles données au Canada peuvent être appliquées par les tribunaux canadiens si les conditions statutaires sont remplies.

• Tribunaux et organismes de surveillance

  • Les juges verront de nouvelles demandes (par exemple, pour autoriser des demandes de production étrangères, pour appliquer des décisions étrangères et pour un examen élargi des données informatiques).
  • Le Commissaire au renseignement doit examiner et approuver les ordres ministériels aux fournisseurs en vertu de la nouvelle loi.
  • Le Parlement et les organismes de révision de la sécurité nationale recevront des rapports annuels et un examen complet après trois ans.

• Ce qui n'est pas clair

  • Quels types de fournisseurs seront désignés comme « fournisseurs essentiels », quelles capacités seront requises et quelles catégories de métadonnées doivent être conservées seront fixés ultérieurement par règlement.
  • Le montant et la disponibilité de la compensation pour les fournisseurs, ainsi que les frais à payer pour l'assistance, seront fixés ultérieurement.
  • La date de début exacte de la nouvelle loi sur les obligations des fournisseurs dépend d'un ordre futur.

Dépenses#

Aucune information disponible publiquement.

Coûts et revenus publics possibles :

• Nouvelle administration pour le ministre de la Sécurité publique (inspections, audits, ordres de conformité) et pour le Commissaire au renseignement pour examiner les ordres ministériels.
• Temps de tribunal pour de nouvelles demandes et examens.
• Compensation gouvernementale potentielle aux fournisseurs pour les coûts imposés par les ordres ministériels (discrétionnaire).
• Paiements de frais possibles aux fournisseurs pour assistance, si fixés par règlement.
• Devoirs de rapport et d'examen parlementaire.

Coûts possibles pour le secteur privé :

• Les fournisseurs peuvent faire face à des coûts pour construire, tester et maintenir des capacités d'accès légal ; conserver des métadonnées spécifiées ; répondre à des audits et inspections ; et maintenir des systèmes de confidentialité.
• Risque de pénalités administratives (jusqu'à 50 000 $ pour les particuliers et 250 000 $ pour les autres par violation) ou d'amendes pour infractions (jusqu'à 100 000 $ pour les particuliers et 500 000 $ pour les autres) pour non-conformité.
• La conformité peut être facilitée par des exemptions, des voies de révision judiciaire et une compensation potentielle ou des frais réglementés.

Point de vue des partisans#

• Le projet de loi semble destiné à accélérer l'accès aux données de base nécessaires tôt dans les enquêtes (par exemple, confirmer qui fournit le service à un compte), ce qui pourrait aider à identifier des suspects et à préserver des preuves.
• Il clarifie comment les données informatiques peuvent être recherchées, copiées et examinées, ce qui pourrait réduire les litiges et les retards.
• Permettre aux juges d'autoriser des demandes directes auprès de fournisseurs de services étrangers pourrait réduire les retards transfrontaliers pour des données de base sur les abonnés ou de transmission.
• La nouvelle loi de soutien aux fournisseurs pourrait garantir que les principaux fournisseurs de services maintiennent des capacités pratiques pour aider à l'accès légal, avec une surveillance par le Commissaire au renseignement et un rapport public annuel.
• Des garde-fous en matière de confidentialité et de sécurité sont inclus : pas de conservation obligatoire de contenu, d'historique de navigation ou d'activités sur les réseaux sociaux ; interdiction des exigences qui créent des vulnérabilités systémiques ; droits de révision judiciaire ; et ordres de non-divulgation limités dans le temps basés sur le besoin d'enquête.
• Un examen parlementaire après trois ans pourrait évaluer les impacts dans le monde réel et recommander des ajustements.

Point de vue des opposants#

• Une préoccupation est la confidentialité : l'utilisation élargie des demandes et des ordres de production sur une norme de « suspicion raisonnable », des mandats de suivi/transmission plus larges qui couvrent des dispositifs futurs inconnus, et des périodes de non-divulgation plus longues pourraient augmenter l'accès aux données sans que les utilisateurs en aient connaissance.
• Le projet de loi permet aux agents de recevoir et d'agir sur des informations fournies volontairement sans ordonnance du tribunal si le fournisseur n'est pas interdit par la loi, ce qui peut soulever des questions sur les garanties et la cohérence.
• Les pouvoirs en cas de circonstances urgentes pour obtenir certaines données sans autorisation judiciaire préalable peuvent être considérés comme trop larges s'ils ne sont pas strictement contrôlés dans la pratique.
• Les nouvelles obligations imposées aux fournisseurs (capacités, soutien aux tests, conservation des métadonnées jusqu'à un an) pourraient entraîner des coûts de conformité significatifs, en particulier pour les petites entreprises ou les entreprises étrangères servant des Canadiens. L'étendue de la compensation ou du recouvrement des frais n'est pas encore définie.
• Les règles de confidentialité et les pouvoirs d'inspection/audit peuvent être perçus comme intrusifs et pourraient limiter la transparence des rapports des fournisseurs.
• L'application de certaines décisions étrangères pour contraindre des données au Canada et la possibilité de demandes directes auprès de fournisseurs étrangers peuvent soulever des préoccupations concernant le respect des droits et les différences dans les protections juridiques étrangères.
• Les détails clés seront fixés par des règlements futurs (qui est un « fournisseur essentiel », quelles capacités sont requises, quelles métadonnées doivent être conservées), rendant difficile une évaluation complète des impacts maintenant.