Des chercheurs de la CCLA et du Citizen Lab publient une analyse détaillée des nombreuses lacunes du projet de loi C-22

L'Association canadienne des libertés civiles, en collaboration avec Kate Robertson et Cynthia Khoo de l' Citizen Lab a publié un analyse conjointe détaillée du projet de loi C-22, le Loi sur l'accès légal, qui instaurerait des obligations et des réformes de grande envergure en matière de surveillance au Canada.

Ce texte législatif a fait l'objet de nombreuses critiques de la part de personnalités éminentes organisations de la société civile et experts (FR), le Coalition mondiale pour le chiffrement, canadien et International technologie, professeurs de droit, fournisseurs d'outils de sécurité essentiels tels que Le VPN de DuckDuckGo, les Projet Tor, et le Application de messagerie Signal, par le Chambre de commerce canadienne, les Association du Barreau canadien, les Barreau du Québec, et même deux commissions du Congrès américain.

Le public canadien rejette également l'approche adoptée dans cette proposition, une large majorité de la population estimant que les protocoles tels que le chiffrement ne peuvent pas être affaiblis pour faciliter le travail des forces de l'ordre — sécurité numérique doit passer en premier.

Comme le souligne l'analyse conjointe, certains éléments du projet de loi sont ce qui serait très certainement contraire à la Constitution. C'est notamment le cas de l'obligation de conservation des métadonnées prévue par la loi SAAIA, qui permet au gouvernement d'exiger de tout service numérique qu'il enregistre et conserve les données sensibles de chacun de ses clients pendant une durée pouvant aller jusqu'à un an. Les obligations de conservation équivaut à un de facto crise et, par conséquent, leur caractère aveugle est contraire à l'article 8 de la chartes.

Cette analyse, intitulée “ Erreurs (non) forcées : analyse de l'extension de la surveillance proposée dans le cadre du projet de loi C-22, Loi relative à l'accès légal“, peut se lire ici. Le résumé de l'analyse est reproduit ci-dessous et peut également être téléchargé ici:

Résumé

1. Le projet de loi C-22, le Loi sur l'accès légal, propose une série de nouvelles autorisations de surveillance destinées aux forces de l'ordre canadiennes et au Service canadien du renseignement de sécurité (“ SCRS ”), et met en place un régime de grande envergure visant à imposer des obligations de surveillance aux fournisseurs de services électroniques, notamment en les obligeant à se doter de capacités techniques dont ils ne disposent peut-être pas encore. Ce projet de loi réintroduit en fait ce qui constituait auparavant les parties 14 et 15 du projet de loi C-2, le Loi sur la solidité des frontières, avec quelques modifications. Bien que le gouvernement se soit efforcé de remédier à certains des aspects problématiques du projet de loi C-2, plusieurs points très préoccupants subsistent, et d’autres préoccupations ont été exacerbées par l’élargissement de certains éléments du projet de loi initial. Plus d’un aspect de ce projet de loi est presque certainement inconstitutionnel.
2. Dans cette contribution, nous présentons une analyse ciblée ainsi que des recommandations portant sur les aspects du projet de loi C-22 qui ont des implications urgentes et de grande portée.^[1] Compte tenu du calendrier très serré imposé à la commission permanente de la Chambre des communes chargée de la sécurité publique et de la sécurité nationale (“ SECU ”) pour l’examen législatif de ce projet de loi, l’analyse présentée dans ce mémoire est loin d’être exhaustive. En effet, certains éléments très problématiques de cette proposition législative ne sont absolument pas abordés dans cette analyse, en raison des contraintes de temps.
3. En réalité, la procédure accélérée extrême à laquelle le gouvernement a soumis ce projet de loi est en soi un sujet de préoccupation et une raison de se demander si le processus en commission est capable de remédier aux nombreuses lacunes de cette proposition législative. À titre de comparaison, le projet de loi C-8, moins complexe, le Loi sur la protection des systèmes informatiques critiques, a bénéficié d'un délai bien plus long en commission pour permettre un examen approfondi et la contribution d'un large éventail d'experts, tandis que l'équivalent australien du régime de surveillance technique proposé dans la deuxième partie de ce projet de loi a fait l'objet de pas moins de 173 amendements avant d'être adopté.^[2] Pourtant, le gouvernement n'a accordé que trois semaines à la commission pour examiner ce projet de loi. Le fait que le gouvernement n'ait pas vérifié au préalable, comme il est tenu de le faire, les interactions entre le projet de loi C-22 et les accords internationaux de partage d'informations en cours de négociation constitue une autre irrégularité de procédure qui a gravement entravé l'examen législatif efficace de cette proposition.
4. Bien que cette contribution propose des amendements susceptibles d’atténuer certaines des conséquences néfastes du projet de loi C-22, notre recommandation principale est que les éléments contestables de ce projet de loi soient retirés. Le gouvernement doit également se conformer à sa propre politique de transparence en matière de mise en œuvre des traités avant que l’une quelconque des dispositions du projet de loi relatives à un accord de partage de données avec des pays étrangers ne soit mise en œuvre.

La SAAIA fait peser un risque inacceptable sur la vie privée et la cybersécurité

5. Dans Partie A Dans le cadre de notre mémoire, nous examinons comment le projet de loi C-22 mettrait en œuvre la Soutien à la loi sur l'accès autorisé à l'information (“ SAAIA ”) en vertu de la partie 2 du projet de loi. Le projet de loi SAAIA créerait un régime de capacités de surveillance permettant au gouvernement d’imposer toute obligation à tout fournisseur de services électroniques (“ ESP ”) dans le but de faciliter l’utilisation légale des autorisations de surveillance. Ces obligations pourraient notamment consister à exiger des ESP qu’ils modifient leur mode de fonctionnement ou qu’ils intègrent des outils de surveillance dans leurs services. Outre ce régime de capacités de surveillance, la SAAIA prévoit également un régime obligatoire de conservation des métadonnées que le gouvernement pourrait potentiellement utiliser pour exiger de tout ESP qu’il accède, enregistre et conserve à sa disposition, pendant une durée maximale d’un an, les métadonnées sensibles concernant toute personne au Canada ou à l’étranger.
6. La possibilité d’imposer un ensemble illimité d’obligations à un large éventail de prestataires de services électroniques (ESP) pose des difficultés directes à toute tentative visant à encadrer efficacement la loi SAAIA, ne laissant pratiquement aucun moyen de garantir qu’elle sera appliquée d’une manière compatible avec le droit à la vie privée et les autres droits de l’homme, tout en respectant l’intégrité de la cybersécurité. Cela sera d’autant plus vrai que les technologies de surveillance continuent d’évoluer. Avec un arsenal croissant de technologies basées sur l“” IA »^[3] Avec l'apparition de nouvelles techniques de surveillance, le potentiel d'intrusion de la SAAIA ne cessera de croître.
7. Le mécanisme de conservation des données prévu par la SAAIA est presque certainement inconstitutionnel. Il permet au gouvernement d’obliger tout fournisseur de services Internet (ESP) à conserver des métadonnées de manière indiscriminée, sans qu’il soit nécessaire de démontrer que la personne concernée est impliquée dans un acte répréhensible. La notion de “ métadonnées ” n’est pas définie, mais elle est susceptible d’inclure, à tout le moins, un relevé des personnes avec lesquelles chaque individu a interagi, un suivi détaillé des déplacements de chaque personne et un aperçu de toutes les applications qu’une personne a utilisées. Les métadonnées peuvent être extrêmement sensibles. Une analyse portant uniquement sur les relevés d’appels téléphoniques a révélé qu“” il existe des répercussions importantes sur la vie privée liées aux métadonnées téléphoniques », lesquelles « donnent facilement lieu à… des déductions sensibles », notamment concernant les opinions politiques, les convictions religieuses et bien d’autres aspects encore.^[4] La législation canadienne en matière de protection de la vie privée impose des restrictions strictes quant aux métadonnées que les entreprises sont autorisées à collecter,^[5] Mais la SAAIA l’emporterait sur ces restrictions, sans imposer aucune limite quant au moment où ces données pourraient être consultées ni à la finalité de cette consultation.
8. Le gouvernement a présenté la loi SAAIA comme une mesure nécessaire pour aligner le Canada sur ses partenaires du groupe “ Five Eyes ”. Or, la moitié des partenaires canadiens au sein du groupe « Five Eyes » ne disposent d’aucune législation comparable à la SAAIA. La Nouvelle-Zélande et les États-Unis (« US ») n’ont aucune obligation de conservation des données, et leurs dispositifs de surveillance se limitent à imposer des obligations d’écoute téléphonique aux fournisseurs d’accès à Internet et aux opérateurs téléphoniques.^[6]
9. Deux des pays membres des « Five Eyes », l’Australie et le Royaume-Uni (RU), disposent effectivement de dispositifs dont la portée se rapproche de celle de la SAAIA. Cependant, la constitutionnalité du dispositif britannique est actuellement remise en cause après la divulgation au grand public d’un ordre secret émanant du ministère de l’Intérieur britannique et adressé à Apple.^[7] À la suite de cette décision, Apple a supprimé une mesure de sécurité essentielle en matière de chiffrement pour les sauvegardes iCloud (“ Protection avancée des données ”) pour tous les appareils Apple se connectant depuis le Royaume-Uni. Bien que les lois australiennes ne puissent pas être contestées devant les tribunaux pour violation des droits de l’homme, la Commission parlementaire mixte des droits de l’homme a estimé, dans son évaluation obligatoire de la proposition législative, que le régime australien en matière de capacités de surveillance était “ incompatible avec les droits [de l’homme] ”, car il était “ peu susceptible de constituer une limitation proportionnée des droits à la vie privée et à la liberté d’expression ”.^[8]
10. Même les régimes de surveillance aux compétences encore plus restreintes, tels que ceux mis en place aux États-Unis et en Nouvelle-Zélande, restent vulnérables aux cyberattaques et ont été pris pour cible à plusieurs reprises, avec succès et en secret, par des services de renseignement étrangers.^[9] Un document de l'Agence nationale de sécurité américaine (NSA) qui a fait l'objet d'une fuite, par exemple, explique en détail comment l'agence cible et exploite activement les dispositifs d“” interception légale » mis en place dans d'autres juridictions afin de faciliter ses activités de collecte de renseignements à l'étranger.^[10] La dernière intrusion en date, attribuée à « Salt Typhoon », un acteur malveillant spécialisé dans les menaces persistantes avancées et lié au gouvernement chinois, a été qualifiée de l'une des violations de la sécurité nationale les plus graves de l'histoire des États-Unis.^[11] Les modifications techniques apportées conformément à ces obligations sont également réputées particulièrement difficiles à mettre en œuvre. Lorsque l'Agence nationale de sécurité américaine (NSA) a testé des équipements conformes à la loi américaine sur les capacités de surveillance (CALEA),^[12] Elle a constaté que “ tous les commutateurs qu'elle a testés présentaient une faille de sécurité ”.^[13] La NSA et d'autres agences de renseignement étrangères ont également reconnu que les systèmes de surveillance constituent des cibles lucratives pour des actes d'exploitation,^[14] ce qui rend ces exigences encore plus difficiles à mettre en œuvre en toute sécurité.
11. Aujourd'hui, les gouvernements reconnaissent généralement l'importance de la cybersécurité et du chiffrement.^[15] Mais à différentes époques au fil des ans, diverses agences gouvernementales ont avancé de nombreuses propositions qui auraient pour effet de compromettre, de contourner, de passer outre ou d'affaiblir le chiffrement.^[16] Lorsqu’elles sont initialement avancées, ces propositions ne sont jamais présentées comme une “ porte dérobée ” ou une tentative de contourner le chiffrement, mais plutôt comme un mécanisme permettant aux services de sécurité publique et à d’autres organismes gouvernementaux d’accéder à des données sécurisées au cas par cas. Bien qu’aucune de ces propositions n’ait résisté à l’examen minutieux du public et qu’il ait été démontré qu’elles représentaient toutes une menace importante pour la cybersécurité, la conviction sous-jacente selon laquelle un accès exceptionnel aux données sécurisées est possible persiste au sein de diverses agences gouvernementales.
12. Dans ce contexte, la SAAIA constitue un cadre préoccupant qui permettra au gouvernement d’imposer ses priorités en constante évolution en matière de surveillance. Compte tenu de la rapidité avec laquelle l’examen du projet de loi C-22 progresse, notre recommandation principale est de retirer entièrement la partie 2 du projet de loi. Telle qu’elle est présentée, la SAAIA présente des défauts fondamentaux difficiles à corriger dans le cadre des travaux en commission. Cela tient à la combinaison d’un champ d’application illimité, de garanties souples et mal définies, et d’un cadre de contrôle conçu pour le renseignement étranger et qui, de ce fait, est largement soustrait à la participation des parties prenantes, au contrôle judiciaire et à la responsabilité publique. Dans l’ensemble, la partie 2 offre au gouvernement une flexibilité maximale, des restrictions minimales et un contrôle judiciaire minimal ; il s’agit là d’une combinaison inacceptable qui rend le projet de loi tout simplement inadapté à son objectif. Les amendements que nous recommandons doivent être considérés comme une mesure de dernier recours, proposée dans un esprit de réduction des risques, et non comme un signe que la partie 2 est acceptable ; d’un point de vue constitutionnel et des droits de l’homme, elle ne l’est pas.

Les dispositions relatives aux informations accessibles au public et à la divulgation volontaire sont incompatibles avec la jurisprudence relative à la Charte canadienne

13. Dans Parties B et D Dans le cadre de la présente prise de position, nous recommandons que les dispositions qui prétendent clarifier la loi, “ par mesure de certitude ”, concernant les “ informations accessibles au public ” et la “ communication volontaire ” d’informations soient toutes deux supprimées du projet de loi. Ces deux dispositions comportent des descriptions trompeuses de l’état actuel du droit et sont inutiles au regard de leurs objectifs respectifs déclarés. Pire encore, si elles étaient adoptées telles quelles, elles contrediraient des décennies de jurisprudence de la Cour suprême du Canada. Au cas où ces dispositions ne seraient pas supprimées, nous proposons à nouveau des amendements, à titre purement palliatif.
14. Le projet de loi C-22 propose d'ajouter une disposition à la Code criminel qui précise, “ pour plus de clarté ”, que les forces de l’ordre n’ont pas besoin d’une ordonnance de production ni d’un mandat pour obtenir des informations accessibles au public. En considérant que le caractère public d’une information est déterminant pour tout intérêt en matière de vie privée protégé par la Constitution, cette disposition instaure un cadre qui va à l’encontre de décennies de jurisprudence canadienne chartes La jurisprudence, qui a toujours reconnu que les informations d'intérêt public ne sont pas systématiquement exclues de la protection prévue à l'article 8.
15. Intégrer ce cadre dans le Code criminel Cela soulève des implications particulièrement préoccupantes compte tenu des innombrables façons dont les données à caractère personnel sont collectées à grande échelle et systématiquement divulguées en raison de la prolifération des technologies numériques et des secteurs d’activité tels que les outils de surveillance basés sur l’IA, les plateformes de réseaux sociaux, les courtiers en données, le profilage algorithmique et les prestataires de services de surveillance commerciale destinés aux forces de l’ordre. Cette approche soulève des problèmes supplémentaires, car elle ne permet pas d’exclure les informations qui ont été initialement collectées ou rendues publiques par des moyens illégaux. Il a été constaté qu’un certain nombre de services de police canadiens avaient utilisé l’application intrusive de reconnaissance faciale de Clearview AI, alors même que la base de données de reconnaissance faciale de cette entreprise avait été créée en violation des lois canadiennes sur la protection de la vie privée.^[17] Alors que de plus en plus de nos informations personnelles deviennent accessibles au public, ce qui constitue une condition préalable à notre participation à la société numérisée d'aujourd'hui, et ce souvent à notre insu et sans notre consentement,^[18] Il est d’autant plus crucial que le projet de loi n’instaurent pas un cadre fondé sur l’idée selon laquelle les informations accessibles au public ne bénéficient d’aucune protection de la vie privée.
16. Une autre disposition du projet de loi C-22 précise, “ à titre de précaution ”, qu’aucune autorisation n’est requise pour que la police reçoive des informations divulguées de manière volontaire ou proactive. Cette disposition est également en contradiction avec la législation existante chartes la jurisprudence, notamment en ce qui concerne le consentement d’un tiers (lorsqu’une personne consent à la perquisition ou à la saisie des renseignements d’une autre personne). La jurisprudence canadienne a systématiquement rejeté le consentement d’un tiers comme moyen de déroger aux protections prévues à l’article 8. Le cadre catégorique mis en place par le projet de loi C-22 fait peser une menace particulièrement grave sur la vie privée si les fournisseurs de services commerciaux sont autorisés à déroger aux droits à la vie privée de leurs utilisateurs et à divulguer de manière proactive leurs informations personnelles à la police.

Le lien entre le projet de loi C-22 et les accords internationaux sur le partage de données doit être rendu public

17. Enfin, dans Partie C Dans le présent mémoire, nous exposons comment le projet de loi C-22 propose d’introduire de nouvelles dispositions qui élargiraient les circonstances dans lesquelles les autorités étrangères chargées de l’application de la loi peuvent obtenir l’accès à des données au Canada. Lorsque le prédécesseur du projet de loi C-22 (le projet de loi C-2, le Loi sur la solidité des frontières) avait déjà été présenté en 2025, les représentants du ministère de la Justice ont reconnu, lors de la séance de questions-réponses d’une réunion d’information technique, que certaines dispositions avaient pour objectif de permettre au Canada de mettre en œuvre un traité international sur le partage de données connu sous le nom de “ deuxième protocole additionnel ” à la Convention de Budapest sur la cybercriminalité (“ 2AP ”). Les responsables présents à la séance d’information ont reconnu que d’autres outils de “ coopération ” transfrontalière étaient envisageables.
18. Cependant, le gouvernement fédéral n’a fourni ni avis ni information au grand public ni au Parlement concernant ces projets. Près d’un an plus tard, le gouvernement fédéral a de nouveau refusé d’apporter des éclaircissements au Parlement, alors même que le projet de loi C-22 introduit une nouvelle fois des réformes relatives aux demandes d’informations “ en vertu d’un accord ou d’un arrangement international auquel le Canada et [un] État étranger sont parties ”.”^[19]
19. Le projet de loi C-22 est également présenté à un moment où l'on sait de source sûre que le gouvernement canadien mène des négociations à huis clos avec les États-Unis au sujet d'un éventuel accord bilatéral de partage de données entre les forces de l'ordre des deux pays.^[20] Cet accord serait conclu en vertu d'une loi américaine intitulée “ Clarifying Lawful Overseas Use of Data Act ” (« CLOUD Act »).
20. Les responsables canadiens avaient auparavant établi un lien entre les réformes proposées en matière de surveillance, telles qu'elles avaient été présentées dans le projet de loi C-2, et les États-Unis.^[21] Toutefois, le gouvernement fédéral n'a fourni aucune explication au public ni au Parlement quant aux raisons pour lesquelles les États-Unis ont fait pression sur le Canada pour qu'il adopte les réformes en matière de surveillance prévues dans le projet de loi C-2, qui ont désormais été réintroduites dans le projet de loi C-22 près d'un an plus tard.
21. En mai 2026, les présidents des commissions de la justice et des affaires étrangères de la Chambre des représentants du Congrès américain ont adressé une lettre au ministre canadien de la Sécurité publique concernant le projet de loi C-22. Dans cette lettre, ils indiquent que les discussions entre le Canada et les États-Unis concernant le CLOUD Act sont toujours “ en cours ” et précisent qu’ils comptent sur la “ collaboration rapide ” du Canada pour parvenir à un accord sur le CLOUD Act.
22. Notre analyse met en évidence de nombreux recoupements entre la partie 1 des dispositions proposées dans le projet de loi C-22 et les domaines de réforme législative prévus, nécessaires pour permettre au Canada de conclure l’un ou l’autre de ces traités, voire les deux. Nous abordons ensuite une multitude de questions constitutionnelles et relatives aux droits de l’homme qui découleraient de l’un ou l’autre de ces accords, ou des deux, ou encore de la perspective générale selon laquelle des prestataires de services canadiens partageraient les données à caractère personnel de personnes se trouvant au Canada avec des autorités étrangères chargées de l’application de la loi, comme le prévoit le projet de loi.
23. Le principal problème réside dans le fait que le droit constitutionnel canadien offre une protection des droits de l’homme plus solide que celle de nombreux signataires du 2AP, y compris les États-Unis. C’est notamment le cas en ce qui concerne la protection du droit à la vie privée, la liberté d’expression, ainsi que le droit à l’égalité et à la non-discrimination, qui sont tous garantis par la chartes. La conclusion d’un accord entre le Canada et les États-Unis dans le cadre du CLOUD Act risquerait d’affaiblir les normes constitutionnelles canadiennes. Adhérer au 2AP reviendrait à contribuer à l’affaiblissement des normes internationales en matière de droits de l’homme, tout en permettant aux forces de l’ordre canadiennes de conclure des accords secrets avec leurs homologues étrangers afin de contourner les rares garanties de protection de la vie privée prévues par le traité. Dans les deux cas, le Canada pourrait se rendre complice de violations des droits de l’homme commises par les États-Unis ou d’autres gouvernements étrangers qui criminalisent des activités légales ou protégées par la Constitution en vertu du droit canadien.
24. De plus, les données à caractère personnel des personnes visées au Canada seraient transmises à des juridictions dont la législation en matière de protection de la vie privée est moins stricte ou qui ne se considèrent pas légalement tenues de protéger ces personnes, leurs droits fondamentaux ou leurs données. Ces traités ne prévoient par ailleurs aucun recours juridique ni aucune réparation pour les personnes dont la vie privée ou d’autres droits constitutionnels sont violés lors du transfert par le Canada de leurs données à caractère personnel à des services répressifs étrangers, ni pour les conséquences préjudiciables résultant de ce transfert.
25. À ce jour, le gouvernement fédéral n'a pas expliqué pourquoi aucun des éléments susmentionnés ne devrait préoccuper la population canadienne, ni comment il compte garantir que les données personnelles des Canadiens — ou les personnes auxquelles ces données se rapportent — resteront protégées, une fois partagées avec des entités étrangères, au niveau garanti par les lois canadiennes relatives à la Constitution, aux droits de l'homme et à la protection de la vie privée. Et ce, malgré le fait que le gouvernement du Canada… Politique relative à la présentation des traités au Parlement exige que le gouvernement fédéral informe le Parlement et publie une explication avant de pouvoir déposer un projet de loi s’inscrivant dans le cadre de la mise en œuvre d’un traité avec un pays étranger. Cette politique renforce le caractère démocratique des processus de conclusion de traités au Canada et permet aux parlementaires d’étudier les dispositions législatives tout en comprenant comment ces dispositions seront effectivement mises en œuvre.
26. Nous recommandons donc à la SECU de suspendre son examen de la partie 1 jusqu’à ce que le gouvernement fédéral se conforme à la Politique relative au dépôt des traités au Parlement. Notre analyse de ce projet de loi a soulevé de sérieuses préoccupations quant aux répercussions que pourrait avoir le projet de loi C-22, qui semble ouvrir la voie à un système de maintien de l’ordre et à un régime juridique plus étroitement liés à ceux des États-Unis. Le gouvernement canadien devrait être tenu de faire preuve d’une transparence totale concernant l’adoption éventuelle par le Canada tant de l’accord 2AP que d’un accord Canada-États-Unis sur le CLOUD Act. Si le gouvernement persiste à vouloir conclure l’un de ces accords, voire les deux, nous recommandons plusieurs garanties indispensables qui doivent être ajoutées sous forme d’amendements au projet de loi C-22, afin de garantir qu’un niveau minimum de protection des droits de l’homme s’applique à tout partage de données avec les autorités répressives étrangères.

Conclusion

27. Le projet de loi C-22 comporte des lacunes importantes et son examen législatif a été entaché de vices de procédure qui ont empêché toute tentative sérieuse de remédier à ces lacunes dans le cadre du processus législatif. Comme le démontre le présent mémoire, bon nombre des dispositions que le projet de loi C-22 vise à adopter auront des implications de grande envergure, avec des répercussions néfastes qui pourraient perdurer pendant des décennies, même si certaines de ces dispositions venaient à être abrogées à la suite de contestations constitutionnelles inévitables. Outre ces préoccupations générales, la présente analyse formule 18 recommandations concernant le projet de loi, que nous considérons comme indispensables pour remédier à la portée considérable du projet de loi proposé, aux risques importants qu’il fait peser sur la Constitution et les droits de l’homme, aux lacunes en matière de transparence et de responsabilité qu’il comporte, ainsi qu’aux dangers qu’il représente pour la cybersécurité et le chiffrement au sein des réseaux d’information et de communication du Canada.

Les références

^[1] La version originale de ce document a été transmise aux membres de la commission permanente de la Chambre des députés chargée de la sécurité publique et de la sécurité nationale (SECU) le 28 mai 2026, pour examen. La présente version a été remaniée en vue de sa publication.

^[2] Parlement australien, Projet de loi de 2018 portant modification de la législation sur les télécommunications et autres textes (aide et accès), n° 45 du Parlement, disponible en ligne : <https://www.aph.gov.au/Parliamentary_Business/Bills_Legislation/Bills_Search_Results/Result?bId=r6195> ; Parlement australien, Chambre des représentants, Projet de loi de 2018 portant modification de la législation sur les télécommunications et autres textes (aide et accès), EK171, disponible en ligne : <https://parlinfo.aph.gov.au/parlInfo/download/legislation/amend/r6195_amend_2ef65c47-7a59-45e1-9427-cf3e7400ef4d/upload_pdf/EK171.pdf>.

^[3] Aux fins du présent document, nous utilisons le terme “ intelligence artificielle ” (“ IA ”) pour désigner de manière générale les catégories de technologies qui, au moment de la rédaction du présent document, sont communément considérées comme relevant du terme générique “ IA ”, qu’elles correspondent ou non strictement à une définition scientifique ou technique donnée associée à l“” IA “, et en sachant que cette expression est le plus souvent utilisée comme un argument marketing ou pour promouvoir un programme politique et économique rétrograde. Les technologies mentionnées peuvent inclure, par exemple, les grands modèles linguistiques (” LLM »), les chatbots basés sur l’IA générative, ou encore les outils algorithmiques de prise de décision, de surveillance ou d’analyse. Pour plus de détails, voir British Columbia Law Institute, Rapport sur l'intelligence artificielle et la responsabilité civile, Rapport BCLI n° 96 (avril 2024), p. 5 à 8 (“ 2. Éléments de définition ”), disponible en ligne (PDF) : <https://www.bcli.org/wp-content/uploads/Report-AI-and-civil-liability-final.pdf> ; Kara Williams et Ben Winters, “ Des termes spécifiques pour des risques spécifiques : la nécessité de définitions précises des systèmes d’IA dans l’élaboration des politiques ” (1er octobre 2025), en ligne : EPIC <https://epic.org/specific-terms-for-specific-risks-the-need-for-accurate-definitions-of-ai-systems-in-policymaking/> ; et Emily Tucker, “ Artifice et intelligence ”, Tech Policy Press (16 mars 2022), en ligne : <https://www.techpolicy.press/artifice-and-intelligence/>.

^[4] Concernant la sensibilité des différents types de métadonnées, voir : Jonathan Mayer, Patrick Mutchler et John C. Mitchell, “ Evaluating the Privacy Properties of Telephone Metadata ”, (2016) 113(20) PNAS 5536 ; Jonathan Mayer et Patrick Mutchler, “ Metaphone : la sensibilité des métadonnées téléphoniques ”, Politique relative au site Web (12 mars 2014), disponible en ligne : <http://webpolicy.org/2014/03/12/metaphone-the-sensitivity-of-telephone-metadata/>; Témoignage écrit d'Ed Felten, Chambre des députés, Sous-commission sur la criminalité et la surveillance exercée par le gouvernement fédéral de la Commission des affaires judiciaires (2 octobre 2013), disponible en ligne : Commission des affaires judiciaires, audition sur le suivi continu de la loi relative à la surveillance des renseignements étrangers <https://www.judiciary.senate.gov/imo/media/doc/10-2-13FeltenTestimony.pdf>.

^[5] Commissariat à la protection de la vie privée du Canada, Enquête conjointe sur la localisation par l'application Tim Hortons, Conclusions de la LPRPDE n° #2022-001 (1er juin 2022), disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2022/pipeda-2022-001>.

^[6] Comité parlementaire du renseignement en matière de sécurité nationale, “ Rapport spécial sur l'accès légal aux communications par les organismes de sécurité et de renseignement ” (septembre 2025), p. 15 (tableau 2.1), disponible en ligne : <https://nsicop-cpsnr.ca/reports/rp-2025-09-15-sr/250915_NSICOP_Lawful_access_report.pdf>.

^[7] Privacy International, “ PI Apple TCN Challenge ”, en ligne : <https://privacyinternational.org/legal-action/pi-apple-tcn-challenge>; Privacy International, “ The Second Order : la nouvelle ordonnance secrète du gouvernement britannique continue de porter atteinte à la sécurité d’Apple ” (1er octobre 2025), en ligne : <https://privacyinternational.org/news-analysis/5685/second-order-uk-governments-new-secret-order-still-strikes-apples-security>; Apple Inc. contre le ministre de l'Intérieur, [2025] UKPITrib 1, disponible en ligne : <https://investigatorypowerstribunal.org.uk/wp-content/uploads/2025/04/IPT-25-68-CH-Judgment.pdf>; Human Rights Watch, “ L'arrêté britannique sur le chiffrement menace le droit à la vie privée dans le monde entier ” (14 février 2025), disponible en ligne : <https://www.hrw.org/news/2025/02/14/uk-encryption-order-threatens-global-privacy-rights> ; Joseph Menn, “ Le Royaume-Uni ordonne à Apple de lui permettre d'espionner les comptes cryptés des utilisateurs ’, Washington Post (7 février 2025), disponible en ligne : <https://www.washingtonpost.com/technology/2025/02/07/apple-encryption-backdoor-uk/>.

^[8] Australie, Commission parlementaire mixte des droits de l'homme, Rapport d'examen sur les droits de l'homme (4 décembre 2018), paragraphe 2.196, disponible en ligne : <https://www.aph.gov.au/-/media/Committees/Senate/committee/humanrights_ctte/reports/2018/Report_13/Report_13_of_2018.pdf>.

^[9] “ La CCLA et la Coalition des coalitions réclament le retrait du projet de loi C-2 ”, (11 juillet 2025), en ligne : Association canadienne des libertés civiles <https://dev.ccla.org/privacy/ccla-joins-calls-for-withdrawal-of-bill-c-2/> ; Ryan Devereux, Glenn Greenwald et Laura Poitras, “ Les pirates des données des Caraïbes ”, Interception (19 mai 2024), en ligne : <https://theintercept.com/2014/05/19/data-pirates-caribbean-nsa-recording-every-cell-phone-call-bahamas/> ; Vassilis Prevelakis et Diomidis Spinellis, “ The Athens Affair ”, (2007) 44(7) IEEE Spectrum, en ligne : <https://spectrum.ieee.org/the-athens-affair> ; Susan Landau, “ La CALEA était un désastre en matière de sécurité nationale qui ne demandait qu’à se produire ”, Guerre juridique (13 novembre 2024), disponible en ligne : <https://www.lawfaremedia.org/article/calea-was-a-national-security-disaster-waiting-to-happen>; Témoignage de Susan Landau, Chambre des députés, Sous-commission sur la criminalité et la surveillance fédérale de la Commission des affaires judiciaires (5 juin 2025), p. 8, disponible en ligne (PDF) : <https://www.congress.gov/119/meeting/house/118335/witnesses/HHRG-119-JU08-Wstate-LandauS-20250605.pdf>.

^[10] États-Unis, Agence nationale de sécurité (NSA), “ Table ronde sur l’exploitation des interceptions légales à l’étranger (LI) ”, TOP SECRET//SI/REL TO USA, FVEY ”, en ligne (PDF) : <https://christopher-parsons.com/wp-content/uploads/2023/01/nsa-exploiting-foreign-lawful-intercept-li-roundtable.pdf>, document publié dans l’ouvrage de James Bamford, “ A Death in Athens ”, Interception (28 septembre 2015), disponible en ligne : <https://theintercept.com/2015/09/28/death-athens-rogue-nsa-operation/>. Pour un résumé, voir Christopher Parsons, “ Exploiting Foreign Lawful Intercept (LI) Roundtable ”, en ligne : Technologie, réflexions et petits objets <https://christopher-parsons.com/resources/the-sigint-summaries/nsa-summaries/#exploiting-foreign-lawful-intercept-li-roundtable>.

^[11] Internet Society, “ Lettre ouverte : Projet de loi C-22, Loi concernant l'accès légal ”, en ligne : <https://www.hilltimes.com/sponsored/open-letter-bill-c-22-an-act-respecting-lawful-access/> ; Susan Landau, “ La CALEA était un désastre en matière de sécurité nationale qui ne demandait qu’à se produire ”, Guerre juridique (13 novembre 2024), disponible en ligne :   <https://www.lawfaremedia.org/article/calea-was-a-national-security-disaster-waiting-to-happen> ; Joe Mullin et Cindy Cohn, “ Le piratage de Salt Typhoon montre qu’il n’existe pas de porte dérobée de sécurité réservée aux ‘bons’ ” (9 octobre 2024), en ligne : Fondation de la frontière électronique <https://www.eff.org/deeplinks/2024/10/salt-typhoon-hack-shows-theres-no-security-backdoor-thats-only-good-guys> ; David E. Singer, Julian E. Barnes, Devlin Barrett et Adam Goldman, “ Les nouveaux détails révélés sur le piratage chinois inquiètent de plus en plus les responsables américains ”, New York Times (22 novembre 2024), disponible en ligne : <https://www.nytimes.com/2024/11/22/us/politics/chinese-hack-telecom-white-house.html> ; Marie Woolf, “ Un projet de loi sur l'accès légal pourrait menacer le chiffrement et dissuader les investissements ”, Globe and Mail (1er mai 2026), disponible en ligne : <https://www.theglobeandmail.com/politics/article-lawful-access-bill-could-threaten-encryption-deter-investment-chamber/>.

^[12] Loi sur l'assistance en matière de communications aux forces de l'ordre (CALEA), 47 USC 1002.

^[13] Témoignage de Susan Landau, Chambre des députés, Sous-commission sur la criminalité et la surveillance fédérale de la Commission des affaires judiciaires (5 juin 2025), page 8, disponible en ligne (PDF) : <https://www.congress.gov/119/meeting/house/118335/witnesses/HHRG-119-JU08-Wstate-LandauS-20250605.pdf>.

^[14] États-Unis, Agence nationale de sécurité (NSA), “ Table ronde sur l’exploitation des interceptions légales à l’étranger (LI) ”, TOP SECRET//SI/REL TO USA, FVEY ”, en ligne (PDF) : <https://christopher-parsons.com/wp-content/uploads/2023/01/nsa-exploiting-foreign-lawful-intercept-li-roundtable.pdf>, document publié dans l’ouvrage de James Bamford, “ A Death in Athens ”, Interception (28 septembre 2015), disponible en ligne : <https://theintercept.com/2015/09/28/death-athens-rogue-nsa-operation/>. Pour un résumé, voir Christopher Parsons, “ Exploiting Foreign Lawful Intercept (LI) Roundtable ”, en ligne : Technologie, réflexions et petits objets <https://christopher-parsons.com/resources/the-sigint-summaries/nsa-summaries/#exploiting-foreign-lawful-intercept-li-roundtable>.

^[15] Mason Boycott-Owen, “ Services de renseignement britanniques : 100 pays disposent de logiciels espions capables de pirater le Royaume-Uni ”, Politico (22 avril 22, 2026), disponible en ligne : <https://www.politico.eu/article/u-k-intelligence-100-nations-have-spyware-that-can-hack-britain/>.

^[16] Lex Gill, Tamir Israel et Christopher Parsons, “ Shining a Light on the Encryption Debate: A Canadian Field Guide ”, publication de recherche conjointe du Citizen Lab et de la Canadian Internet Policy & Public Interest Clinic (mai 2018), p. 21-29 (“ Partie 3 : Vers l’obscurité ? Quatre décennies de débat ”), en ligne : <https://citizenlab.ca/wp-content/uploads/2018/05/Shining-A-Light-Encryption-CitLab-CIPPIC.pdf>.

^[17] Nicole Brockbank, “ La police de Toronto a utilisé le logiciel de reconnaissance faciale Clearview AI dans le cadre de 84 enquêtes ”, Radio-Canada (23 décembre 2021), en ligne : <https://www.cbc.ca/news/canada/toronto/toronto-police-report-clearview-ai-1.6295295>; Commissariat à la protection de la vie privée du Canada, Enquête conjointe sur Clearview AI, Inc., Conclusions de la LPRPDE n° #2021-001 (2 février 2021), disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into- businesses/2021/pipeda-2021-001> ; et Clearview AI Inc. c. Colombie-Britannique (Commissaire à l'information et à la protection de la vie privée), 2026 BCCA 67.

^[18] Voir, par exemple, le Commissariat à la protection de la vie privée du Canada, Enquête conjointe sur TikTok Pte Ltd, Conclusions relatives à la LPRPDE n° #2025-003 (23 septembre 2025), disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2025/pipeda-2025-003>; Commissariat à la protection de la vie privée du Canada, Enquête conjointe sur OpenAI OpCo, LLC, Décision au titre de la LPRPDE n° #2026-002 (6 mai 2026) disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/pipeda-2026-002>; Commissariat à la protection de la vie privée du Canada, Enquête sur le respect de la LPRPDE par Aylo (anciennement MindGeek), Décision #2024-001 relative à la LPRPDE (29 février 2024), disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2024/pipeda-2024-001> ; et le Commissariat à la protection de la vie privée du Canada, Enquête conjointe sur la localisation par l'application Tim Hortons, Décision PIPIEDA n° #2022-001 (1er juin 2022), disponible en ligne : <https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2022/pipeda-2022-001/>.

^[19] Projet de loi C-22, partie 1, clause 7, article 487.0181(4) proposé.

^[20] Ministère américain de la Justice, “ Les États-Unis et le Canada se félicitent de l'ouverture des négociations en vue d'un accord sur le CLOUD Act ” (22 mars 2022), disponible en ligne : <https://www.justice.gov/archives/opa/pr/united-states-and-canada-welcome-negotiations-cloud-act-agreement>.

^[21] En juillet 2025, un responsable du gouvernement canadien dont l’identité n’a pas été révélée — et qui aurait une connaissance directe des négociations commerciales entre les États-Unis et le Canada — a indiqué à Politico que les États-Unis souhaitaient que le Canada adopte le projet de loi C-2 afin de renforcer la coopération en matière d’application de la loi avec les États-Unis. Ce responsable a déclaré que “ [l]e cœur de ce que veulent les États-Unis, c’est d’unir leurs forces avec le Canada en matière de maintien de l’ordre, en utilisant les mêmes outils qu’eux : les interceptions en vertu des mandats FISA, le Patriot Act ”. Mickey Djuric, Mike Blanchfield et Nick Taylor-Vaisey, “ Stars, stripes and side-eye ”, Politico (4 juillet 2025), disponible en ligne : <https://www.politico.com/newsletters/canada-playbook/2025/07/04/stars-stripes-and-side-eye-00439998>.