Métadonnées et vie privée

Un aperçu technique et juridique

Octobre 2014

---

Introduction

Divers événements récents survenus au Canada et dans d'autres pays nous ont amenés à nous demander si certains organismes gouvernementaux recueillent et utilisent des métadonnées dans le cadre de leurs activités et, le cas échéant, comment ils s'y prennent. Les programmes de collecte de métadonnées aux États Unis et au Canada ont récemment suscité de grands débats dans les médias. Même si de telles données peuvent être créées et utilisées de façon légale dans le secteur aussi bien public que privé (sous réserve des restrictions et conditions appropriées), il semble y avoir un débat qui persiste sur la nature des métadonnées, ce qu'elles peuvent révéler, et sur le traitement à leur réserver en l'absence d'une disposition législative expresse. Diverses personnes et organisations reconnues continuent de faire valoir que l'on doit établir une distinction entre les métadonnées et le contenu réel des communications et, par conséquent, que les métadonnées sont moins dignes d'être protégées sous l'angle de la vie privée.

De nombreuses sources se sont penchées sur la nature des « métadonnées » et ce qu'elles peuvent révéler. Le Commissariat à la protection de la vie privée du Canada (le Commissariat) a déjà analysé en juillet 2006 les répercussions des métadonnées en lien avec la protection de la vie privée et il a publié une fiche d'information intitulée Les risques associés aux métadonnées^{Note de bas de page 1}. En mai 2013, nous avons également publié un rapport de recherche intitulé Ce qu'une adresse IP peut révéler à votre sujet^{Note de bas de page 2}, qui montre comment la connaissance d'éléments d'information concernant un abonné, notamment le numéro de téléphone et l'adresse IP, peut constituer un point de départ pour retracer les activités en ligne d'une personne. S'appuyant sur ces travaux effectués auparavant par le Commissariat, le présent document propose une analyse technique de ce que peuvent révéler les métadonnées et donne un aperçu de la façon dont les tribunaux ont interprété la notion de métadonnée.

Qu'est ce qu'une « métadonnée »?

Pour simplifier, disons qu'une métadonnée est une donnée qui fournit de l'information sur une autre donnée. Il s'agit en fait des renseignements qui sont générés lorsqu'on utilise la technologie et qui permettent de situer dans leur contexte (qui, quoi, où, quand et comment) diverses activités. Ces activités peuvent aller de la création d'un document à un appel téléphonique en passant par le clavardage. Dans le contexte des communications, les métadonnées fournissent certaines précisions sur la création, la transmission et la diffusion d'un message. À cet égard, les métadonnées peuvent, par exemple, indiquer la date et l'heure où un appel téléphonique a été fait ou le lieu à partir duquel un courriel a été consulté.

On décrit généralement les métadonnées comme de l'information sur un dossier électronique ou numérique, mais la notion de métadonnée est indéniablement vaste. Étant donné que le débat récent sur la nature et la valeur des métadonnées découle de l'interception de métadonnées associées à des communications, le présent document mettra l'accent sur les métadonnées créées par les communications Internet, filaires et sans fil.

Comme nous le verrons ci après, la distinction entre une « communication » ou un « contenu », d'une part, et l'information générée par cette communication ou son contenu ou s'y rapportant, d'autre part, n'est pas si claire.

Quelques exemples de métadonnées dans le contexte des communications

Chaque fois que nous communiquons, des métadonnées sont produites. Qu'il s'agisse d'une conversation en face à face avec une personne, de l'envoi de messages textes, de clavardage ou de conversations téléphoniques, certains renseignements concernant cette communication – autres que la communication en soi – sont produits.

En ce qui concerne les communications par Internet ou par téléphone, voici quelques exemples de métadonnées que peuvent générer certaines activités courantes :

Ce que peuvent révéler les métadonnées

Selon le contexte, il est parfois difficile de tracer une ligne précise entre une communication et une métadonnée. D'après Michael Morell, ancien haut responsable de la CIA et actuellement membre du groupe de réflexion sur les technologies de communication du président des États-Unis, la distinction entre contenu et métadonnée n'est pas nettement marquée, c'est-à-dire qu'il s'agit plutôt d'un continuum^{Note de bas de page 3}. Comme l'a reconnu en outre l'American Civil Liberties Union, l'information sur le lieu où se trouve une personne obtenue à partir des tours de téléphonie mobile, le nom de l'émetteur ou du récepteur d'un message électronique, ou les achats par Internet, par exemple, [traduction] « ne constituent peut être pas le contenu de nos communications, mais ils peuvent donner une image très détaillée de notre vie »^{Note de bas de page 4}.

La ligne de séparation entre les métadonnées et le contenu réel d'une communication peut dès lors sembler illusoire. La taille, la forme ou la couleur d'une enveloppe sont parfois très révélatrices du message qu'elle renferme. Par exemple, le type d'enveloppe et sa couleur peuvent indiquer s'il s'agit d'un contenu d'ordre personnel ou commercial; l'adresse de l'expéditeur ou le logo figurant sur l'enveloppe peuvent indiquer de qui elle provient; le timbre et le cachet de la poste peuvent révéler la date et le lieu d'expédition; et l'écriture manuscrite, à la différence des adresses produites par ordinateur, peut donner à penser que la correspondance émane d'un particulier plutôt que d'une grande entreprise.

Si l'on transpose cet exemple particulier dans le contexte d'Internet, l'adresse URL représente des instructions de livraison qui précisent l'adresse de la page Web que demande une personne. Autrement dit, il s'agit d'une métadonnée créée lorsque l'utilisateur essaie de consulter un site Web particulier. Toutefois, il peut également s'agir d'un contenu puisque le fait de demander une page Web signifie essentiellement que l'on envoie un message disant « veuillez m'envoyer la page qui se trouve à cette adresse URL ». En outre, une adresse URL révèle exactement quelle page était recherchée et correspond donc exactement au contenu qui a été reçu^{Note de bas de page 5}.

En effet, les métadonnées peuvent parfois en révéler davantage que le contenu lui même. À l'époque du numérique, la quasi-totalité des activités en ligne laissent une trace personnelle de quelque nature^{Note de bas de page 6}. Selon l'informaticien Daniel Weitzner, [traduction] « on peut faire valoir que les métadonnées sont plus révélatrices [que le contenu] parce qu'il est en réalité beaucoup plus facile d'établir des corrélations avec des événements du monde réel en analysant les constantes dans un vaste univers de métadonnées qu'en effectuant une analyse sémantique de tous les courriels et de tous les appels téléphoniques d'un individu »^{Note de bas de page 7}. Même les termes saisis dans les moteurs de recherche peuvent être utilisés pour identifier des individus et révéler des renseignements sensibles les concernant. John Battelle a inventé l'expression « base de données des intentions », qu'il décrit comme [traduction] « les résultats globaux de toutes les recherches jamais effectuées, toutes les listes de résultats jamais soumises et toutes les avenues empruntées en conséquence »^{Note de bas de page 8}. Toujours selon Battelle, [traduction] « cette information représente, sous une forme regroupée, le miroir des intentions du genre humain – une énorme base de données sur les désirs, les besoins, les souhaits et les goûts qui peuvent être dévoilés, archivés, retracés et exploités à toutes sortes de fins et dont la production peut être exigée par un tribunal. Il s'agit d'une entité d'un genre nouveau, inconnue auparavant dans l'histoire de la culture, mais il est pratiquement sûr qu'elle est appelée à croître de façon exponentielle jusqu'à la fin des temps »^{Note de bas de page 9}.

Comme le note aussi un rapport du groupe de réflexion sur le renseignement et les technologies de communication du président des États-Unis, la collecte de métadonnées au fil du temps peut révéler un grand nombre de facettes de la vie privée d'une personne^{Note de bas de page 10}. Le rapport fait observer que [traduction] « la consignation de chaque appel téléphonique fait ou reçu par une personne sur plusieurs années peut être très révélatrice de sa vie privée ». Le rapport recommande au gouvernement des États-Unis de mettre fin à son programme de collecte et de stockage de métadonnées téléphoniques brutes dès que cela est réalisable, notant à cet égard que l'accès par le gouvernement aux dossiers sur les appels téléphoniques peut avoir l'effet d'une douche froide sur les libertés d'association et d'expression, et porter atteinte à la relation entre l'individu et l'État^{Note de bas de page 11}.

Enfin, certains poussent le raisonnement encore plus loin et font valoir que les métadonnées ne constituant pas un contenu peuvent même être « une communication privée » au sens du Code criminel et de la Loi sur la défense nationale. Ces lois renferment d'ailleurs la même définition de l'expression « communication privée^{Note de bas de page 12} » et précisent toutes deux que l'interception d'une communication privée doit respecter certaines conditions pour être légitime. Compte tenu de la jurisprudence de la Cour suprême du Canada, selon laquelle la partie VI du Code criminel (se rapportant à l'interception de communications privées) protège non seulement la communication elle-même, mais aussi toute information connexe à cette communication qui permettrait d'en dégager la substance ou le sens, certains ont fait valoir que les métadonnées peuvent dans de nombreux cas répondre à ce critère^{Note de bas de page 13}.

Ces opinions contrastent avec la position adoptée par certaines institutions gouvernementales. Certains organismes gouvernementaux, en effet, ne considèrent pas que les métadonnées sont apparentées à l'information véhiculée par le contenu ou à une communication. Par exemple, dans un document déposé auprès d'un tribunal juridique en février 2014, le gouvernement a adopté la position selon laquelle l'expression « métadonnées » désigne l'information associée à une télécommunication pour identifier, décrire, gérer ou acheminer cette télécommunication, en tout ou en partie, de même que les moyens par lesquels on l'a transmise, mais elle exclut toute information ou tout élément d'information susceptible de révéler l'objet de cette communication ou la totalité ou une partie de son contenu^{Note de bas de page 14}. De même, dans son témoignage devant un comité parlementaire, le ministre de la Justice a émis l'opinion que les métadonnées relatives à la transmission sont à distinguer du contenu^{Note de bas de page 15}.

Les métadonnées en tant que « renseignements personnels »

Les deux lois fédérales du Canada en matière de protection des renseignements personnels définissent l'expression « renseignements personnels » de façon générale comme des renseignements concernant un individu identifiable. Ainsi, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) définit les renseignements personnels comme étant « tout renseignement concernant un individu identifiable, à l'exclusion du nom et du titre d'un employé d'une organisation et des adresse et numéro de téléphone de son lieu de travail ». Quant à la Loi sur la protection des renseignements personnels, elle définit les renseignements personnels comme « les renseignements, quels que soient leur forme et leur support, concernant un individu identifiable » et propose divers exemples de ce qui constitue au sens de la Loi des renseignements personnels conformes au caractère général de la définition initiale.

La définition de « renseignement personnel » a donné lieu au fil du temps à une interprétation large^{Note de bas de page 16}. Bien que l'on dispose d'exemples clairs de ce qui constitue un renseignement personnel au sens de ces lois, un renseignement qui ne semble pas à première vue concerner un individu en particulier peut également, combiné avec d'autres renseignements et dans certains contextes, se révéler un renseignement personnel.

Par exemple, dans la décision Gordon c. Canada (Ministre de la Santé)^{Note de bas de page 17}, la Cour fédérale a convenu que le champ « province » dans une base de données concernant les réactions aux effets indésirables de médicaments au Canada constitue un renseignement personnel au sens de la Loi sur la protection des renseignements personnels. Selon la Cour, un renseignement concerne un « individu identifiable » lorsqu'il y a une possibilité sérieuse qu'un individu puisse être identifié au moyen du renseignement, que ce renseignement soit pris seul ou en combinaison avec d'autres renseignements disponibles.

Parmi les exemples de renseignements personnels dans le contexte technologique, mentionnons, selon le cas, différents types de renseignements biométriques comme les empreintes digitales et vocales, les renseignements de géolocalisation recueillis grâce au système GPS placé à bord des véhicules des employés et les renseignements recueillis au moyen d'étiquettes d'identification par radiofréquence pour suivre la trace d'objets ou d'individus^{Note de bas de page 18}.

Le Commissariat a aussi déterminé que lorsque des renseignements en apparence anodins sont combinés à d'autres renseignements accessibles, ils peuvent constituer des renseignements personnels et parfois donner une idée assez exacte des activités, des idées, des opinions et du mode de vie de la personne concernée. Par exemple, une adresse IP (adresse de protocole Internet) peut s'avérer un renseignement personnel si associée à un individu identifiable, et peut être assez révélatrice des activités d'une personne sur Internet. À vrai dire, comme le souligne le rapport du Commissariat intitulé Ce qu'une adresse IP peut révéler à votre sujet, une adresse IP, combinée à des renseignements de base sur un abonné de services de télécommunications, peut révéler entre autres ses intérêts, ses penchants, les personnes qu'il fréquente, de même que les voyages qu'il fait.

Si suffisamment de métadonnées permettent de disposer d'une foule de renseignements fort précieux concernant la même personne, l'accumulation de métadonnées dans certains contextes peut parfois permettre également d'identifier l'individu associé à ces données. Par exemple, dans le cadre d'un processus appelé « analyse des réseaux sociaux » ou « établissement de la chaîne de relations sociales » – qui requiert la création d'un diagramme du réseau humain gravitant autour d'un individu en particulier -, les analystes peuvent identifier toutes les personnes qui se trouvent à un ou deux degrés de distance de la personne concernée. Un diagramme illustrant la chaîne de relations sociales peut montrer comment les gens dans le voisinage du réseau sont reliés les uns aux autres. Même le fait que des gens travaillent à une faible distance d'un suspect identifié peut élargir rapidement le réseau de relations jusqu'à inclure certaines personnes n'ayant peut-être pas connaissance de l'existence du suspect. Un exemple de ce genre cité dans l'article intitulé « Connecting the Dots : Tracking Two Terrorist Suspects »^{Note de bas de page 19}, montre qu'il a suffi de surveiller les activités de deux suspects, notamment l'information à propos des appels téléphoniques qu'ils faisaient, des courriels qu'ils envoyaient et des réunions qu'ils organisaient, pour commencer à se faire une idée de leur réseau personnel. Avec suffisamment de renseignements, on a pu identifier la cible et d'autres individus faisant partie du réseau.

Le fait de savoir où se trouve/où se trouvait une personne à un moment donné peut également révéler de l'information sur un individu identifiable, y compris des renseignements que cette personne pourrait préférer garder secrets. Par exemple, une photo prise au moyen d'un appareil équipé d'un GPS intégré peut révéler le lieu et l'heure où le cliché a été pris, de même que l'identifiant unique de l'appareil, qui pourrait être un téléphone intelligent. De nombreux appareils permettent cette collecte par défaut, et souvent les utilisateurs ne sont pas au courant de cette pratique, laquelle pourrait avoir de graves conséquences. Par exemple, un dénonciateur, un journaliste ou un dissident politique comptant sur la protection que lui confère l'anonymat pour dénoncer des malversations perpétrées par une entreprise, un criminel ou un gouvernement pourrait être mis en danger par cette collecte de données par défaut.

Un chercheur a conclu que nos déplacements sont si uniques que quatre points de données de géolocalisation sont suffisants pour identifier 95 % des gens^{Note de bas de page 20} tandis qu'un autre a affirmé que [traduction] « toute série de données livrant assez d'information sur les gens pour retenir l'intérêt des chercheurs en comporte suffisamment pour être dépersonnalisée »^{Note de bas de page 21}. La possibilité d'identifier un individu à partir de métadonnées s'accroît lorsque plusieurs types de métadonnées sont combinés puis associés à d'autres renseignements accessibles. Des entreprises du secteur privé mettent au point des moteurs de recherche qui exploitent de multiples flux de données, y compris des réseaux de médias sociaux et des sources de données ouvertes des gouvernements et du secteur privé. Dans le cadre d'une expérience, à partir d'un seul gazouillis géolocalisé choisi de manière aléatoire, un journaliste a été capable de déterminer où se situait l'école de l'auteure, de savoir qu'il s'agissait d'une école d'immersion française, mais aussi de connaître les lieux où elle rencontrait ses amis et où elle gardait des enfants, et de déterminer qu'il s'agissait d'une joueuse de soccer et qu'elle faisait probablement du ski ou de la planche à neige^{Note de bas de page 22}.

Par conséquent, la nature révélatrice des métadonnées remet de plus en plus en question l'idée que ces renseignements seraient moins dignes de protection sous l'angle de la vie privée du fait qu'il faut les distinguer des renseignements sous forme de contenu et qu'ils seraient en conséquence moins sensibles. Elle remet également en question l'idée voulant que les métadonnées mériteraient moins d'être protégées sous l'angle de la vie privée puisqu'elles sont déjà publiquement accessibles à d'autres sous une forme ou sous une autre. L'interprétation du terme « métadonnées » dans la jurisprudence appuie l'idée que les métadonnées recèlent plus d'information qu'on pourrait le croire à première vue.

Comment les tribunaux considèrent ils les « métadonnées »?

Un examen de l'interprétation du terme « métadonnées » dans la jurisprudence canadienne révèle qu'il y a relativement peu d'interprétation judiciaire de la nature des « métadonnées » en général, et encore moins dans le contexte des communications.

La plus grande partie de cette jurisprudence peu abondante concerne des procédures au civil dans le cadre desquelles une partie a demandé la production de métadonnées intégrées à un support quelconque, notamment un disque dur d'ordinateur, une photographie, un relevé téléphonique ou un document électronique. Ces affaires portent principalement sur la mesure dans laquelle les métadonnées associées aux documents électroniques ou aux relevés devraient être produites conformément à l'obligation d'une partie de produire tous les documents pertinents pour un litige et sur la question de savoir si les métadonnées électroniques peuvent être considérées comme des « renseignements électroniques » au sens des règles de procédures civiles applicables ou si elles sont pertinentes et constituent des éléments de preuve dans le cadre du litige en question^{Note de bas de page 23}.

Toutefois, certaines affaires s'inscrivent dans d'autres contextes, notamment les demandes d'ordonnance concernant la communication publique ou la préservation de documents ou d'information^{Note de bas de page 24}, les demandes de mandat pour permettre à la Couronne d'accéder à certains documents ou renseignements et les contestations de la constitutionnalité de perquisitions et de saisies de renseignements^{Note de bas de page 25}.

Les tribunaux ont inclus parmi les métadonnées le tampon de la date et de l'heure sur une lettre ou l'en tête de télécopies. Certains ont décrit les métadonnées comme étant une sorte de talon de paye. Comme l'a mentionné un tribunal, [traduction] « les talons de paye peuvent renfermer des renseignements à propos du nombre de jours de travail effectués, des jours travaillés et du taux horaire, à l'instar des métadonnées qui renferment, par exemple, des renseignements concernant la date et l'heure où un courriel a été créé et envoyé, ou bien la date et l'heure où une personne a consulté un site Web »^{Note de bas de page 26}.

Dans d'autres affaires, les tribunaux ont poussé plus loin leur analyse et interprété le terme pour inclure :

• des renseignements concernant les numéros de téléphone utilisés pour envoyer et recevoir des messages textes et l'heure des appels ou de la transmission des messages^{Note de bas de page 27};
• des renseignements associés à une télécommunication qui identifient, décrivent, gèrent ou acheminent cette télécommunication en tout ou en partie^{Note de bas de page 28};
• des renseignements qui peuvent fournir de l'information convergente concernant un document, y compris ceux qu'une personne a essayé de supprimer ou de caviarder^{Note de bas de page 29};
• des renseignements comme l'heure à laquelle un dossier a été créé, quel utilisateur était connecté au système au moment de la création d'un dossier et la période pendant laquelle un dossier est demeuré ouvert^{Note de bas de page 30}
• des renseignements concernant l'objet présumé d'un document et les circonstances entourant la création de ce dernier^{Note de bas de page 31}.

Bien que l'interprétation du terme « métadonnées » dans la jurisprudence canadienne semble dépendre du contexte sous jacent, il semble y avoir un consensus selon lequel les métadonnées sont considérées comme des données qui fournissent de l'information sur d'autres données et qui, dans de nombreux cas, peuvent permettre de tirer des conclusions sur la conduite ou les activités d'un individu. Certains tribunaux ont amorcé une analyse plus exhaustive de la notion de métadonnées et des raisons pour lesquelles l'accès à ces métadonnées est devenu une question de plus en plus controversée. Dans l'arrêt Abougoush c. Sauve^{Note de bas de page 32}, la Cour suprême de la Colombie Britannique a reconnu que la collecte de métadonnées peut parfois révéler des détails intimes du mode de vie d'un individu, même si ces métadonnées sont recueillies au moyen d'un appareil photo numérique :

On peut avoir une idée des capacités physiques de l'utilisateur d'un appareil photo sur une base quotidienne ou sur plusieurs jours. Plus particulièrement, les métadonnées peuvent permettre de déterminer que le plaignant a la capacité nécessaire, par exemple, pour être actif tout au long d'une journée donnée et faire ensuite une promenade sur la plage le soir, passer une soirée en boîte de nuit jusqu'à une certaine heure, tout en demeurant capable de nager le lendemain matin.

Mais les tribunaux canadiens ne sont pas les seuls à reconnaître que les métadonnées peuvent être très révélatrices. La jurisprudence américaine révèle quelques exemples où des tribunaux juridiques ont eu l'occasion de formuler certains commentaires sur la nature révélatrice des métadonnées.

La Cour suprême des États-Unis a elle-même récemment noté à quel point les métadonnées sur l'emplacement d'une personne peuvent en dire long à son sujet. Dans United States c. Jones^{Note de bas de page 33}, la Cour a déterminé que l'installation sur un véhicule d'un système de positionnement global (GPS), en vue de surveiller les mouvements de ce véhicule, constitue une recherche protégée par le quatrième amendement de la Constitution américaine. Dans son opinion concordante, la juge Sotomayor note l'ampleur de l'information qui peut être tirée des données sur l'emplacement du GPS : [traduction] « La surveillance par GPS crée un enregistrement précis et complet des mouvements publics d'une personne, qui contient de nombreux renseignements sur ses associations familiales, politiques, professionnelles, religieuses et sexuelles ». La juge Sotomayor cite une décision d'un tribunal de l'État de New York^{Note de bas de page 34} décrivant les conclusions qu'on peut tirer de données GPS :

[traduction]Les données [GPS] divulgueront entre autres… des déplacements dont on imagine sans peine la nature incontestablement privée : déplacement chez le psychiatre, le chirurgien plasticien, la clinique d'avortement, le centre de traitement du SIDA, le club de danseuses nues, l'avocat au pénal, le motel loué à l'heure, la réunion syndicale, la mosquée, la synagogue ou l'église, le bar gai, et ainsi de suite^{Note de bas de page 35}.

Par ailleurs, des décisions anciennement secrètes concernant des programmes de surveillance de la NSA aux États-Unis jettent un éclairage sur les raisons qui poussent la United States Foreign Intelligence Surveillance Court (FISC) à autoriser la surveillance gouvernementale des métadonnées, et fournissent des commentaires sur ce que peuvent révéler les métadonnées^{Note de bas de page 36}. À titre d'exemple, le juge dans une décision lourdement expurgée de la FISC, probablement rendue en juillet 2004, confirme la constitutionnalité d'un programme de collecte de métadonnées brutes sur Internet, mais prend acte toutefois que cela impose [traduction] « une collecte d'un type beaucoup plus vaste que les autres demandes portant sur des enregistreurs des numéros de téléphone composés ou des dispositifs d'interception et de localisation^{Note de bas de page 37} ». Dans une autre décision expurgée, un juge de la FISC voit les métadonnées, dans le contexte des communications, comme [traduction] « de l'information au sujet de la communication, et non la communication en elle-même, y compris les numéros composés, la durée de l'appel, les adresses de protocole Internet, les adresses de courriel et de l'information semblable au sujet de la livraison de la communication, plutôt que le message entre deux parties^{Note de bas de page 38} ».

De plus, dans Klayman c. Obama^{Note de bas de page 39}, où le plaignant contestait la constitutionnalité de la collecte de métadonnées téléphoniques brutes par le gouvernement des États Unis, la Cour de district du district fédéral de Columbia est allée jusqu'à dire que la collecte de métadonnées [traduction] « révèle une foule de détails sur les relations familiales, politiques, professionnelles, religieuses et sexuelles d'un individu ». La Cour a affirmé que :

[traduction] La nature des métadonnées n'a pas changé au fil du temps, mais l'omniprésence du téléphone a modifié de façon spectaculaire la quantité de renseignements qui sont maintenant accessibles et, qui plus est, ce que ces renseignements peuvent divulguer au gouvernement sur la vie des gens. (Les communications par téléphone cellulaire et par messages textes sont si généralisées que certaines personnes peuvent les considérer comme des moyens essentiels ou des instruments nécessaires pour s'exprimer, voire s'identifier.)

Ces cas sont une illustration que les métadonnées contiennent des renseignements qui peuvent révéler énormément d'information au sujet des gens, même si elles ne constituent pas une communication en elles-mêmes.

Les métadonnées et les attentes raisonnables en matière de vie privée

La jurisprudence de la Cour suprême du Canada donne à penser que les individus peuvent avoir des attentes raisonnables en matière de protection de la vie privée pour ce qui concerne les renseignements générés par un ordinateur et l'usage d'Internet qui révèlent des renseignements biographiques de base.

Dans l'arrêt R. c. Vu, la Cour suprême du Canada a reconnu l'ampleur des renseignements personnels que l'on peut déduire à partir des métadonnées en faisant valoir que « les ordinateurs stockent d'immenses quantités de données, dont certaines, dans le cas des ordinateurs personnels, touchent "l'ensemble de renseignements biographiques d'ordre personnel" » puis, comme il est indiqué ci dessus, que les ordinateurs renferment des données qui sont générées automatiquement à partir desquelles des détails personnels sensibles peuvent être tirés. Mais le tribunal a également souligné que les ordinateurs peuvent conserver des fichiers et des données même après que les utilisateurs pensent les avoir détruits et que « les ordinateurs qui sont connectés à Internet servent de portails à une quantité presque infinie de données qui sont partagées entre différents utilisateurs et stockées presque n'importe où dans le monde. De même, un ordinateur connecté à un réseau permettra à la police d'avoir accès à des renseignements se trouvant dans d'autres appareils. »

Dans l'arrêt R. c. Spencer, la Cour suprême du Canada a soutenu que le nom et l'adresse d'une abonnée, combinés à une adresse IP particulière, avaient fourni à la police plus qu'un simple nom et une adresse, puisqu'il s'agissait plutôt de « l'identité d'une abonnée aux services Internet à qui correspondait une utilisation particulière de ces services ». La Cour a reconnu que les individus peuvent avoir des attentes raisonnables en matière de vie privée pour ce qui concerne les renseignements reliant leur identité à une métadonnée, en l'espèce une adresse IP. La Cour a déterminé que le fait que la police avait obtenu auprès du fournisseur de services Internet des renseignements sur l'abonnée correspondant à une adresse IP, et ce, sans mandat, constituait pour une fouille non autorisée par la loi, et violait par conséquent l'article 8 de la Charte.

L'arrêt Spencer ce veut un prolongement logique de la jurisprudence antérieure de la Cour suprême du Canada en matière de vie privée, d'ordinateurs et de renseignements générés par ordinateur. Dans l'arrêt R. c. Morelli, la majorité des juges de la Cour suprême du Canada avaient estimé que les ordinateurs utilisés à des fins personnelles, quel que soit l'endroit où ils se trouvent ou leur propriétaire, « contiennent souvent notre correspondance la plus intime. Ils renferment les détails de notre situation financière, médicale et personnelle. Ils révèlent même nos intérêts particuliers, préférences et propensions, enregistrant dans l'historique et la mémoire cache tout ce que nous recherchons, lisons, regardons et écoutons dans l'Internet ». Dans l'arrêt R. c. Cole, la Cour a ajouté : « Cela est particulièrement vrai lorsque, comme en l'espèce, l'ordinateur sert à naviguer sur le Web. Les appareils connectés à Internet "révèlent nos intérêts particuliers, préférences et propensions, enregistrant dans l'historique et la mémoire cache tout ce que nous recherchons, lisons, regardons et écoutons dans l'Internet". Les renseignements de ce genre se situent au cœur même de "l'ensemble de renseignements biographiques" protégés par l'article 8 de la Charte. »

Ces décisions judiciaires mettent en évidence le fait que l'usage de l'ordinateur par les individus, en particulier lorsqu'il est connecté à Internet, peut constituer un « renseignement biographique de base » auquel sont associées des attentes raisonnables élevées en matière de protection de la vie privée. Que cette jurisprudence fasse également référence aux syntagmes de recherche, aux adresses URL, à l'historique de navigation, à la mémoire cache et à la création non délibérée de dossiers donne également à penser que des intérêts importants en matière de protection de la vie privée sont associés à certains types de métadonnées.

Conclusion

Tout en prenant acte de l'importance du contexte, les tribunaux ont observé à maintes reprises que les métadonnées peuvent être très révélatrices au sujet d'une personne et appellent une protection sous l'angle de la vie privée.

Les institutions gouvernementales qui recueillent ces renseignements, ou envisagent de le faire, ne peuvent sous estimer l'ampleur de l'information que les métadonnées peuvent révéler au sujet d'un individu. Il en va de même pour les organisations du secteur privé auxquelles on demande de divulguer de telles données aux institutions gouvernementales, y compris les organismes d'application de la loi. Compte tenu de l'omniprésence des métadonnées et des conclusions convaincantes qui peuvent en découler concernant des individus en particulier, les institutions gouvernementales et les organisations du secteur privé doivent baliser leurs activités de collecte et de communication en fonction de méthodes et de normes appropriées qui sont adaptées au niveau de sensibilité potentiel des métadonnées dans des circonstances données.

Notes