L’affaire R. c. Spencer, la protection de la vie privée sur Internet et le Parlement

Dara Lithwick
Division des affaires juridiques et sociales

La présente Note de la Colline est la dernière d’une série de quatre. (Also available in English R. v. Spencer, Internet Privacy and Parliament)

En juin 2014, la Cour suprême du Canada a rendu un arrêt faisant jurisprudence dans l’affaire R. c. Spencer. Elle a affirmé que les internautes peuvent avoir une attente raisonnable en matière de protection de la vie privée dans leurs activités en ligne. Pour la Cour, le fait que la police demande sans mandat à un fournisseur de service Internet (FSI) des renseignements sur un client relativement à des activités en ligne particulières équivaut à une « fouille ou perquisition » au sens de l’article 8 de la Charte canadienne des droits et libertés (la Charte).

La Cour a aussi jugé que le terme « source de l’autorité légitime » utilisé dans la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) doit signifier davantage que la « simple demande » faite par une institution gouvernementale. Ce terme est utilisé dans un article de la LPRPDE qui permet, par exemple, aux FSI de divulguer les renseignements personnels d’un utilisateur, à son insu et sans son consentement, à une institution gouvernementale telle que la police.

La présente Note de la Colline résume la décision de la Cour et aborde des conséquences potentielles pour deux mesures législatives actuellement étudiées par le Parlement, les projets de loi C-13 (Loi sur la protection des Canadiens contre la cybercriminalité) et S-4 (Loi sur la protection des renseignements personnels numériques).

Les faits

L’appelant, Matthew Spencer, a été déclaré coupable de possession de pornographie infantile.

Pendant l’enquête qui a précédé le procès, la police a découvert l’adresse de protocole Internet (IP) d’un ordinateur utilisé pour accéder à de la pornographie infantile et la stocker à l’aide d’un programme de partage de fichiers. La police a demandé au FSI – Shaw Communications – les renseignements relatifs à l’abonné associé à l’adresse IP et les a obtenus, mais sans autorisation judiciaire préalable (p. ex. un mandat). C’est ainsi qu’elle a pu identifier M. Spencer.

Pour obtenir ces renseignements relatifs à l’abonné, la police a invoqué le sous-alinéa 7(3)c.1)(ii) de la LPRPDE. Cette disposition permet la divulgation sans consentement à une institution gouvernementale qui en fait la demande pour le contrôle de l’application du droit et mentionne la « source de l’autorité légitime » étayant sa demande.

La police a aussi invoqué le paragraphe 487.014(1) du Code criminel. Selon cette disposition, l’agent de la paix n’a pas besoin d’une ordonnance de communication pour « demande[r] à une personne de lui fournir volontairement des documents, données ou renseignements qu’aucune règle de droit n’interdit à celle-ci de communiquer ».

M. Spencer a vu sa déclaration de culpabilité confirmée par la Cour d’appel de la Saskatchewan. Il a alors interjeté appel devant la Cour suprême du Canada, faisant valoir que la police avait enfreint le droit « à la protection contre les fouilles, les perquisitions ou les saisies abusives » garanti à l’article 8 de la Charte, compte tenu de la façon dont elle avait obtenu du FSI les renseignements relatifs à l’abonné associé à l’adresse IP.

La décision de la Cour suprême

La Cour suprême a accepté les arguments de M. Spencer et statué sur l’attente raisonnable en matière de respect de la vie privée sur Internet. Elle a néanmoins maintenu la déclaration de culpabilité de M. Spencer, au motif que le rejet de la preuve obtenue par la police – qui croyait raisonnablement utiliser des moyens légitimes pour atteindre un objectif important en matière d’application de la loi (par. 77 de la décision) – déconsidérerait l’administration de la justice.

La Cour avait précédemment établi que l’article 8 de la Charte visait à protéger une attente raisonnable en matière de vie privée. Pour établir qu’il y a attente raisonnable en matière de vie privée dans une affaire, il faut tenir compte de l’objet de la fouille et de la nature de l’intérêt en matière de vie privée en jeu.

La Cour a jugé que la fouille avait pour objet « l’identité de l’abonnée dont la connexion à Internet correspondait à une activité informatique particulière sous surveillance » (par. 33) [souligné par l’auteure]. Autrement dit, cet objet n’était pas simplement les renseignements relatifs à l’abonné, mais de tels renseignements liés à des activités en ligne particulières.

En ce qui concerne le droit à la vie privée en jeu, la Cour a expliqué qu’il englobe trois facettes qui se chevauchent, mais se distinguent : la confidentialité, le contrôle et l’anonymat (par. 38). Dans l’affaire en question, la demande de la police portait sur « l’aspect informationnel du droit à la vie privée relatif à l’anonymat » en cherchant à établir un lien entre le suspect et des activités entreprises en ligne sous le couvert de l’anonymat (par. 50).

La Cour a conclu que « la demande de la police auprès de Shaw – visant à obtenir des renseignements relatifs à l’abonnée qui correspondaient à des activités entreprises sur Internet de façon anonyme et observées en particulier – fait intervenir, dans une grande mesure, l’aspect informationnel du droit à la vie privée » (par. 51), et que M. Spencer avait une attente raisonnable en matière de respect de la vie privée relativement à l’objet de la fouille.

Ensuite, la Cour s’est demandé si la fouille était autorisée par la loi. Elle a déterminé que ni l’une ni l’autre des deux dispositions législatives invoquées par la police ne pouvaient légitimer la fouille.

En premier lieu, la Cour a fait remarquer que le paragraphe 487.014(1) du Code criminel n’est pas utile. En effet, il dit simplement que les policiers peuvent demander à quelqu’un de leur fournir volontairement des renseignements, sans leur donner le droit d’obtenir les renseignements (par. 70).

Ensuite, la Cour s’est penchée sur le sens du terme « source de l’autorité légitime » au sous-alinéa 7(3)c.1)(ii) de la LPRPDE. D’une part, elle a jugé que la « source de l’autorité légitime » doit être plus qu’une simple demande faite par la police.

D’autre part, une disposition voisine de la LPRPDE affirme que la communication des renseignements personnels peut être faite sans le consentement de l’intéressé lorsqu’elle est exigée par assignation, mandat ou ordonnance. Par conséquent, la Cour a conclu que la « source de l’autorité légitime » devait être autre chose qu’une assignation, un mandat ou une ordonnance, et se situer entre la simple demande et le mandat.

La Cour a avancé que la « source de l’autorité légitime » pourrait désigner le pouvoir déjà conféré aux policiers de poser des questions portant sur des éléments qui ne font pas l’objet d’une attente raisonnable en matière de vie privée, ou d’obtenir des renseignements afin de prévenir un danger imminent (p. ex. un meurtre). Elle pourrait encore désigner l’autorité conférée par une autre loi (par. 71). Aucun de ces cas ne s’appliquait à l’affaire.

Cette « source » étant absente, la Cour a conclu que la fouille n’était pas autorisée par la loi (par. 73).

Conséquences pour le Parlement

Ni l’un ni l’autre des projets de loi C-13 et S-4 ne modifie les dispositions législatives étudiées dans l’affaire R. c. Spencer. Cependant, les deux contiennent des articles qui, selon certaines interprétations, élargiraient l’obligation faite aux entités assujetties à la LPRPDE de communiquer des renseignements aux institutions gouvernementales en l’absence de mandat.

Le projet de loi C-13 est actuellement étudié par le Comité sénatorial permanent des affaires juridiques et constitutionnelles. Il contient une disposition confirmant que les fournisseurs de services de télécommunication qui, volontairement, préservent des données et les communiquent aux autorités policières, même en l’absence d’une assignation ou d’un mandat, bénéficient de l’immunité en matière civile ou pénale (nouvel art. 487.0195 du Code criminel).

Le projet de loi S-4, qui ajoute de nouvelles exceptions à l’obligation d’obtenir le consentement avant de divulguer des renseignements personnels, a été renvoyé au Comité permanent de l’industrie, des sciences et de la technologie de la Chambre des communes avant la deuxième lecture à la Chambre. Le renvoi d’un projet de loi à un comité avant la deuxième lecture permet d’y apporter des amendements dépassant sa portée initiale.

Dans la foulée de la décision de la Cour suprême, le commissaire à la protection de la vie privée Daniel Therrien a déclaré que l’arrêt R. c. Spencer confirme que la disposition sur l’immunité du projet de loi C-13 « ne constitue pas en soi une “autorité légitime” pour l’État d’obtenir de tels renseignements en vertu de la loi fédérale sur la protection des renseignements personnels dans le secteur privé » (la LPRPDE).

Il a ajouté : « Nous encourageons les parlementaires à examiner attentivement les répercussions de ce jugement lors de leurs délibérations concernant le projet de loi C-13 ainsi que le projet de loi S-4. »

Il semble donc que la question laissée en suspens par la Cour suprême du Canada dans l’affaire R. c. Spencer porte sur ce qui constitue une « source de l’autorité légitime » au sens du sous-alinéa 7(3)(c.1)ii) de la LPRPDE. Les réunions prochaines en comité sur le projet de loi S-4 donneront peut-être lieu à des discussions à ce sujet.