Points clés
- Le 2 novembre 2026, le commissaire à la protection de la vie privée Philippe Dufresne a demandé au Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants de modifier de façon ciblée la nouvelle ordonnance de communication de renseignements sur l’abonné du projet de loi C-22 : restreindre la définition de « renseignements sur l’abonné » à une liste fermée d’identifiants distincts, et limiter les personnes visées aux « fournisseurs de services de télécommunication ».
- La définition du projet de loi C-22 va plus loin que ce que la Cour suprême a reconnu dans R. c. Spencer (2014) et R. c. Bykovets (2024). Au-delà du nom, de l’adresse, du numéro de téléphone et des coordonnées liés à une adresse IP, le projet de loi ajoute le courriel, les pseudonymes, les identifiants attribués comme les numéros de compte, ainsi que des renseignements sur les services, la durée de l’abonnement et les appareils. Et « toute personne qui fournit des services au public », une expression que le projet de loi ne définit pas, englobe les fournisseurs d’accès, les plateformes sociales, les sites de commerce électronique et les fournisseurs infonuagiques.
- Si le gouvernement refuse de restreindre la définition ou les personnes visées, Dufresne demande d’exclure les renseignements médicaux et ceux protégés par un privilège juridique de l’ordonnance. Le Sénat a commencé l’étude détaillée du projet de loi après l’adoption en deuxième lecture le 22 octobre 2026, et la réponse du ministre, lundi, a été que la consultation des critiques « n’a pas affaibli le projet de loi. Elle l’a plutôt renforcé ».
Lundi, à Ottawa, le commissaire à la protection de la vie privée est entré au comité sénatorial de la sécurité nationale avec une courte liste. Philippe Dufresne n’a pas demandé au Sénat de tuer le projet de loi C-22, la Loi sur l’accès licite de 2026. Il a demandé quelque chose de plus ciblé et, d’une certaine façon, plus difficile à rejeter : trois modifications ciblées à la nouvelle ordonnance de communication de renseignements sur l’abonné. Le compte rendu de l’audience par La Presse canadienne résume sa position en une phrase : la définition proposée de « renseignements sur l’abonné » et l’éventail des personnes visées sont larges par rapport au seuil du soupçon raisonnable requis pour y accéder.
Cette phrase nomme l’échange exact que le projet de loi propose.
Ce que dit vraiment l’ordonnance
Aujourd’hui, la police obtient les données d’abonné au moyen d’une ordonnance de communication générale. L’article 6 du projet de loi C-22 en crée une sur mesure, le nouvel article 487.0142 du Code criminel, réservée aux renseignements sur l’abonné. Un agent de la paix demande à un juge, sans en aviser la personne visée, et le juge accorde l’ordonnance s’il y a des motifs raisonnables de soupçonner qu’une infraction a été ou sera commise et que les renseignements aideront l’enquête. C’est une barre délibérément plus basse que le critère des motifs raisonnables de croire exigé pour une ordonnance de communication générale.
Puis vient la définition, à l’article 4, là où Dufresne a mis son crayon. Dans R. c. Spencer (2014), la Cour suprême a statué que les Canadiens ont une attente raisonnable de vie privée à l’égard des renseignements sur l’abonné (nom, adresse, numéro de téléphone liés à une adresse IP), ce qui fait d’une demande policière une « fouille » au sens de l’article 8 de la Charte. R. c. Bykovets (2024) a conclu la même chose pour les adresses IP. Le projet de loi part de là et continue : nom, adresse, numéro de téléphone et courriel liés à une adresse IP, plus le pseudonyme de l’abonné, les « identifiants attribués » comme les numéros de compte, et les « renseignements relatifs aux services fournis », y compris les types de services, la durée de l’abonnement et les identifiants des appareils et de l’équipement.
Qui peut être visé? « Toute personne qui fournit des services au public », une expression que le projet de loi ne définit pas. Le résumé législatif de la Bibliothèque du Parlement le dit sans détour : au sens large, cela pourrait viser les fournisseurs d’accès internet en plus des plateformes de médias sociaux, des sites de commerce électronique, des fournisseurs infonuagiques et d’autres entreprises détenant des données que la police convoite. Comparez avec la demande de confirmation de service de l’article 5 du même projet de loi, qui ne vise que les fournisseurs de services de télécommunication.
Où le commissaire voit la faille
L’argument de Dufresne est arithmétique : un seuil bas, une définition large et une catégorie de personnes visées large donnent un outil qui dépasse sa justification. Il a nommé les fournisseurs de soins de santé, les avocats, les institutions financières et les applications de rencontre comme les services dont les renseignements attirent « une attente accrue de vie privée en raison de leur nature délicate ».
Les trois demandes, par ordre de préférence :
- Resserrer la définition des renseignements sur l’abonné pour la ramener à une liste fermée d’identifiants distincts. Une liste fermée, pas une catégorie ouverte.
- Resserrer les personnes visées aux « fournisseurs de services de télécommunication », comme le fait déjà la demande de confirmation de service de l’article 5.
- À défaut, exclure le noyau sensible. Si le gouvernement refuse de restreindre la définition ou les personnes visées, exclure de la nouvelle ordonnance les renseignements médicaux ou protégés par un privilège juridique.
Son bureau a déjà défendu cette position dans son mémoire de mai 2026 au comité de la sécurité publique de la Chambre. Lundi, c’est le même bureau qui a martelé le même point à l’étape du Sénat.
| La définition du projet de loi C-22 | La définition de la Cour suprême |
|---|---|
| Nom, adresse, téléphone, courriel liés à une adresse IP | Nom, adresse, téléphone et coordonnées liés à une adresse IP |
| Pseudonymes et identifiants attribués (p. ex. numéros de compte) | Non inclus |
| Types de services, durée d’abonnement, identifiants d’appareils | Non inclus |
| Exigible de « toute personne qui fournit des services au public » | s.o. |
L’autre côté de la salle
Le gouvernement ne voit pas un outil défectueux. Le ministre de la Sécurité publique Gary Anandasangaree a dit au même comité, lundi, que le projet de loi existe pour que les forces de l’ordre puissent exécuter l’autorisation qu’un juge leur a donnée. « Le projet de loi dont vous êtes saisis est le fruit d’une consultation approfondie des parties prenantes et des parlementaires », a-t-il déclaré, « et cette collaboration n’a pas affaibli le projet de loi. Elle l’a plutôt renforcé. » Sa position officielle : la mesure n’est pas particulièrement sensible, puisqu’elle se limite aux renseignements qui identifient les clients et les services, sans toucher au contenu des communications.
Lundi n’était pas le débat sur la porte dérobée. Ce combat-là, le mémoire des cryptographes qui met en garde contre un affaiblissement du chiffrement, suit sa propre voie au même comité. Lundi portait sur une ordonnance de communication à seuil bas et à large portée, et le point du commissaire tient sur ses propres mathématiques : plus le seuil est bas, plus la définition doit être serrée.
Votre bureau cette semaine
Que le Sénat adopte ou non les modifications de Dufresne, trois éléments appartiennent à votre liste dès maintenant :
- Cartographiez votre empreinte de « personne qui fournit des services au public ». Si vous exploitez un produit SaaS, une place de marché, une application de santé ou tout service détenant des identifiants d’abonnés, vous êtes dans la catégorie visée telle que rédigée. Sachez quelles bases de données contiennent des renseignements sur l’abonné avant qu’une ordonnance ne vous demande de les produire.
- Mettez à jour votre procédure de traitement des demandes policières pour le seuil abaissé. Attendez-vous à plus d’ordonnances, plus tôt dans les enquêtes. Votre procédure d’accueil doit distinguer la nouvelle ordonnance de l’article 487.0142 de l’ordonnance de communication générale, et vérifier que chaque ordonnance reste dans les catégories de la définition légale.
- Inventoriez les catégories sensibles que vous détenez. Si vos données d’abonnés comprennent des renseignements médicaux, protégés par un privilège juridique ou autrement très sensibles, l’exclusion demandée par le commissaire n’existe pas encore. Préparez-vous comme si elle n’arrivait jamais.
Mesure concrète : Sortez votre carte de données cette semaine et cochez chaque système détenant des identifiants d’abonnés par rapport aux trois demandes : la définition est encore large, la catégorie de personnes visées encore universelle, et l’exclusion encore une demande, pas une disposition. L’étude du Sénat est l’endroit où ces lignes se traceront, et elle vient de commencer.