Le cadre créé par la PIPEDA permet aux entreprises de partager des informations sensibles avec la police en l’absence de garanties significatives, soulevant de sérieuses préoccupations en matière de vie privée.
En pratique, il existe peu de mesures de responsabilité pour garantir que ces divulgations sont légales. La plupart des gens ne savent jamais que leurs renseignements personnels ont été partagés, et ne le seront pas à moins de demander de manière proactive à leur fournisseur de services, et même dans ce cas, le gouvernement peut bloquer la demande.
Dans ce cadre, les compagnies de téléphonie et d’Internet (fournisseurs de services de télécommunications ou TSP) ont partagé de grands volumes d’informations de base sur les abonnés avec des agences gouvernementales pendant des années.
Les informations de base pour les abonnés sont celles qui aident à identifier les utilisateurs anonymes d’Internet ou de téléphone. Pendant des années, les agences d’application de la loi et les TSP avaient décidé que ce type d’information d’identification client n’était pas privée, ce qui a jeté les bases d’un vaste programme de partage d’informations.
La portée complète du programme historique n’est pas connue, mais dans un cas, les TSP ont rapporté qu’en moyenne, ils recevaient plus d’un million de demandes d’informations de base sur les abonnés chaque année. Seule une fraction de ces demandes a jamais été examinée en justice.
Puis, en 2015, la Cour suprême du Canada a statué dans l’affaire R c Spencer que les informations de base des abonnés sont hautement sensibles parce qu’elles révèlent une activité en ligne autrement anonyme. L’anonymat est essentiel pour préserver toute semblance de vie privée à l’ère numérique.
La décision Spencer a empêché certaines demandes gouvernementales de données de base sur les abonnés. Mais cela n’a pas résolu le cadre sous-jacent qui avait permis au gouvernement de partager autant de données sensibles — un cadre où les entreprises privées et le gouvernement décident effectivement ce qui est permis ou non dans la majorité des cas.
Aujourd’hui, les agences gouvernementales continuent de demander des informations sur des dizaines de milliers de clients TSP chaque année, tandis qu’une liste croissante d’autres entreprises sont également soumises à ce régime, y compris les processeurs de paiement, les plateformes de médias sociaux et les fournisseurs de courriel. Une nouvelle législation introduite (projet de loi C-2, Loi sur les frontières fortes, introduite en juin 2025) pourrait encore élargir les demandes d’information policières dans le cadre de ce régime, rendant d’autant plus urgent la nécessité d’un cadre approprié.
