Points clés
- Le projet de loi C-22 a franchi la troisième lecture à la Chambre le 18 juin 2026 et attend son étude au Sénat cet automne, avec des audiences en comité prévues en octobre et en novembre. Le débat sur le chiffrement sera au centre de l’attention.
- Le compromis de la « petite ouverture » du gouvernement ne satisfait personne : les policiers affirment qu’il ne leur donne rien qu’ils ne possèdent déjà, tandis que près de deux douzaines d’entreprises technologiques soutiennent qu’il met en péril le chiffrement de tous les utilisateurs.
- Les équipes de protection des renseignements personnels devraient profiter de la fenêtre du Sénat pour déterminer quels fournisseurs tombent dans la catégorie incertaine de « fournisseurs de services essentiels » et lesquels pourraient être visés par le mandat de conservation des métadonnées de six mois, car les désignations viendront après l’adoption du projet de loi, et non avant.
La « petite ouverture » du ministre
Le ministre de la Sécurité publique, Gary Anandasangaree, a déclaré au Toronto Star au début du mois que le projet de loi C-22 établit « le juste équilibre » en matière de chiffrement. Briser le chiffrement, a-t-il dit, est « hors de question », sauf dans des « circonstances atténuantes » où il existe une « petite ouverture ». Tout le monde, a-t-il ajouté, a dû « mettre de l’eau dans son vin ».
Le problème, comme Michael Geist l’a expliqué le 30 septembre, c’est que les deux camps affirment qu’il n’existe aucun terrain d’entente viable. Cela fait de la « petite ouverture » moins un compromis qu’une question à laquelle le Sénat devra répondre, puisque la Chambre des communes a tenté d’éviter d’y répondre.
Le parcours du projet de loi jusqu’ici : déposé en mars 2026, il a franchi la troisième lecture à la Chambre le 18 juin et est arrivé au Sénat le même jour. Le gouvernement a passé la majeure partie de l’année à affirmer que le projet de loi était « neutre à l’égard du chiffrement ». Puis il l’a modifié : aucune disposition n’oblige un fournisseur à déchiffrer des renseignements, sauf si le fournisseur a fourni le chiffrement et détient la clé, et la définition de « vulnérabilité systémique » a été rattachée à des « normes techniques internationales reconnues ». Une exception exclut les renseignements concernant des personnes déjà visées par un mandat ou une autre autorisation légale.
Deux camps, un seul verdict
| Camp | Ce qu’il dit | Pourquoi cela vous concerne |
|---|---|---|
| Les forces de l’ordre | Le chef de la Police provinciale de l’Ontario, Thomas Carrique, qualifie le chiffrement de « point d’achoppement important » et affirme que le projet de loi laisse la police « entravée ». La GRC a dit au comité de la Chambre en mai qu’elle voulait accéder aux communications chiffrées. | Si les policiers croient que le projet de loi n’apporte rien de nouveau, la pression en faveur d’une version plus musclée ne disparaîtra pas avec son adoption. |
| Les entreprises technologiques | Près de deux douzaines d’entreprises et de groupes industriels, dans une lettre publique du 24 septembre, affirment que le projet de loi « pourrait encore les obliger à affaiblir le chiffrement ou à créer des capacités d’interception », et qu’« une porte dérobée pour les forces de l’ordre est une porte dérobée pour tout le monde ». | Vos fournisseurs pourraient recevoir l’ordre de créer des capacités qui affaiblissent la sécurité que vous leur achetez. |
| Le gouvernement | Le projet de loi est « neutre à l’égard du chiffrement » et le déchiffrement est « hors de question », sauf pour la « petite ouverture ». | C’est le texte, et non les discours, que le juge lira. |
Apple avait présenté l’argument technique au parlement australien en 2018 : « tout processus qui affaiblit les modèles mathématiques qui protègent les données des utilisateurs pour quiconque affaiblit, par extension, les protections de tout le monde ». Au Royaume-Uni, ce même combat s’est terminé par le retrait par Apple de la Protection avancée des données du marché britannique, et des entreprises canadiennes disent maintenant qu’elles pourraient devoir quitter le marché. Le scénario est le même à chaque fois.
Ce qui touche réellement vos opérations
Le chiffrement fait les manchettes, mais les véritables leviers du projet de loi se trouvent ailleurs :
- Conservation des métadonnées. Le projet de loi permettrait au gouvernement d’exiger des fournisseurs qu’ils conservent des métadonnées pendant jusqu’à six mois (réduit d’un an lors des modifications de juin), y compris des données que les fournisseurs ne recueillent pas actuellement à des fins commerciales. Vos questionnaires de risque fournisseur s’intéressent à la conservation dès la conception; ce mandat fonctionne dans la direction opposée.
- Désignation de « fournisseurs de services essentiels ». Les obligations s’appliquent aux fournisseurs de services essentiels désignés, mais on ignore encore quelles organisations tomberont dans cette catégorie. L’industrie des télécommunications a elle-même signalé cette ambiguïté dans son mémoire au comité.
- Portée extraterritoriale. Comme Access Now l’a averti le 14 septembre, le projet de loi vise les fournisseurs dont les services sont utilisés par des personnes au Canada, les fournisseurs canadiens utilisés à l’étranger, et même les fournisseurs sans aucun utilisateur canadien qui appartiennent à un groupe d’entreprises actif au Canada. Un ministre canadien pourrait ordonner à une entreprise étrangère, en secret, d’affaiblir la sécurité de ses produits ou de conserver des métadonnées.
La fenêtre du Sénat est la dernière encore ouverte
L’étude du comité sénatorial est attendue en octobre et en novembre, avec des audiences qui réuniront le commissaire à la protection de la vie privée, les entreprises de télécommunications, les groupes de libertés civiles et des universitaires. Des amendements du Sénat sont probables. La sanction royale, si elle vient, arriverait au début de 2027, suivie d’une réglementation définissant les catégories de « métadonnées essentielles ».
Mesure concrète : Préparez ce mois-ci une note d’une page sur votre état de préparation face à C-22. Dressez la liste des fournisseurs qui détiennent vos données sensibles, signalez ceux qui pourraient vraisemblablement être désignés fournisseurs de services essentiels, et ajoutez à votre questionnaire de risque fournisseur une question sur la façon dont le fournisseur réagirait à un ordre d’accès légal fondé sur C-22. Si le Sénat renforce les protections du chiffrement, vous aurez fait une diligence utile de toute façon. Sinon, vous saurez exactement où se situe votre exposition avant que la réglementation soit rédigée.