Document d’information
Cette page Web a été archivée dans le Web
L’information dont il est indiqué qu’elle est archivée est fournie à des fins de référence, de recherche ou de tenue de documents. Elle n’est pas assujettie aux normes Web du gouvernement du Canada et elle n’a pas été modifiée ou mise à jour depuis son archivage. Pour obtenir cette information dans un autre format, veuillez communiquer avec nous.
Questions liées à la sécurité nationale abordées dans le rapport annuel 2016-2017 déposé par le commissaire
OTTAWA, le 21 septembre 2017 – Le Commissariat à la protection de la vie privée du Canada insiste depuis longtemps sur l’importance de trouver le juste équilibre entre la protection de la vie privée et la sécurité afin de s’assurer que les droits des citoyens canadiens respectueux de la loi ne sont pas exposés à un risque inacceptable. Il s’agit de l’une des principales préoccupations soulevées relativement au projet de loi C-51, Loi antiterroriste de 2015, et plus récemment au cours de la consultation du gouvernement fédéral sur le cadre de sécurité nationale du Canada.
Personne ne niera la nécessité de veiller à la sécurité de nos citoyens. Les Canadiens veulent être en sécurité et se sentir protégés, mais pas au détriment de leur vie privée.
Dans le même ordre d’idées, tout le monde conviendra que les services de police et les organismes de sécurité nationale ont besoin d’outils adéquats pour s’acquitter de leur rôle clé consistant à assurer la sécurité des Canadiens, et que ces outils doivent être adaptés au monde numérique. Cependant, les pouvoirs dont ils disposent ont déjà été renforcés de façon appréciable, plus particulièrement avec l’adoption des projets de loi C-51 et C-13 (Loi sur la protection des Canadiens contre la cybercriminalité).
Le travail de vérification, d’examen et d’enquête décrit dans le Rapport annuel au Parlement 2016-2017 déposé par le commissaire à la protection de la vie privée du Canada souligne combien ces questions demeurent un défi de tous les instants.
Les conclusions du Commissariat montrent que la communication d’information par les institutions fédérales se fait généralement de manière responsable. Toutefois, au cours de nos examens et de nos enquêtes, nous avons constaté de graves lacunes dans les procédures. Ces lacunes viennent nous rappeler l’importance des mesures de protection de la vie privée : il faut adopter des garanties juridiques claires pour protéger nos droits et prévenir les abus; les organismes de sécurité nationale doivent faire l’objet d’un contrôle efficace; et l’octroi de nouveaux pouvoirs à l’État doit être justifié par des données probantes.
On trouvera ci-après un résumé de quelques dossiers clés ayant trait à la sécurité nationale traités par le Commissariat au cours de l’exercice écoulé.
Examen de la mise en œuvre et du mode d’application de la LCISC
En 2016-2017, nous avons entrepris la deuxième phase de notre examen de la mise en œuvre et du mode d’application de la Loi sur la communication d’information ayant trait à la sécurité du Canada (LCISC), déposée en janvier 2015 dans le cadre du projet de loi C-51. Cette phase portait principalement sur la nature des échanges d’information et les mécanismes en place pour s’assurer que les renseignements personnels sont traités conformément aux exigences des lois et des politiques.
Constatations
La grande majorité des communications respectaient le seuil prévu par la LCISC. Nous avons cependant constaté de graves lacunes dans les procédures de mise en œuvre et d’application de la Loi.
Il n’y avait en place aucune structure de déclaration officielle pour consigner l’échange d’information, et les pratiques de tenue des documents variaient. En outre, les activités de communication ou de réception d’information en vertu de la LCISC n’étaient pas toujours consignées. Par conséquent, nous n’avons pas reçu de documents complets et n’avons donc pas été en mesure de bien évaluer toutes les communications d’information.
À ce jour, aucune des institutions visées par notre examen n’avait effectué d’évaluation des facteurs relatifs à la vie privée pour leurs activités de communication d’information en vertu de la LCISC, en dépit d’une recommandation du Commissariat en ce sens.
Conclusion
En l’absence d’une tenue de documents et de mécanismes de contrôle interne appropriés, les pouvoirs prévus par la LCISC en matière de communication d’information continueront de poser un risque d’atteinte à la vie privée. Le préambule de la Loi souligne l’importance de protéger la vie privée, mais les institutions qui communiquent des renseignements personnels ne semblent pas toutes avoir examiné en bonne et due forme les répercussions sur la vie privée de leurs pratiques de communication d’information en vertu de la Loi.
Examen du ciblage des voyageurs fondé sur des scénarios de l’ASFC – Sécurité nationale
Notre examen avait pour but de déterminer si l’Agence des services frontaliers du Canada (ASFC) avait mis en place des mécanismes de contrôle adéquats – notamment des politiques et des procédures – pour s’assurer que les pratiques de traitement des renseignements personnels dans le cadre du volet sur la sécurité nationale du Programme de ciblage fondé sur des scénarios (PCFS) sont conformes à la Loi sur la protection des renseignements personnels et aux politiques, directives et orientations connexes du gouvernement du Canada.
En vertu de la loi, les transporteurs aériens commerciaux doivent transmettre à l’ASFC des renseignements détaillés sur chaque personne qui voyage au Canada, notamment son nom, sa date de naissance, sa citoyenneté, ses numéros de téléphone, son numéro de siège et l’information sur le paiement. L’ASFC utilise ces données pour identifier les personnes qui ont commis ou qui sont susceptibles de commettre des actes terroristes, des crimes liés au terrorisme ou d’autres crimes graves de nature transnationale. Le PCFS utilise l’analytique avancée pour évaluer les données ainsi recueillies par rapport à un ensemble de conditions ou de scénarios. Les personnes correspondant à un scénario font l’objet de vérifications supplémentaires et peuvent subir un examen plus approfondi au point d’entrée.
Constatations
L’ASFC a mis en place des politiques et des procédures pour orienter l’élaboration et l’amélioration de scénarios, le processus d’évaluation des risques liés aux personnes et l’évaluation de l’efficacité des scénarios.
L’examen a soulevé une préoccupation du fait que certains scénarios de sécurité nationale utilisés par l’ASFC sont rédigés de manière très générale et fondés sur des caractéristiques personnelles qui s’appliquent à un nombre élevé de citoyens respectueux des lois, dont les renseignements personnels sont utilisés et communiqués sans mécanismes de protection de la vie privée suffisants. Jusqu’à 60 000 personnes par année sont ciblées en vue d’un examen approfondi.
Conclusion
La Cour de justice de l’Union européenne a publié un avis en juillet. Elle a conclu que l’accord envisagé entre le Canada et l’Union européenne sur le transfert et le traitement de données relatives aux passagers ne respectait pas les exigences de nécessité et de proportionnalité prévues par la loi et était incompatible avec les droits fondamentaux.
Cet avis souligne l’importance de s’assurer que des limites strictes sont établies pour la conservation et l’utilisation des données sur les passagers et d’autres renseignements personnels recueillis ultérieurement par l’ASFC aux fins de l’administration du PCFS, particulièrement dans le cas des personnes qui, après évaluation, ne présentent aucune menace pour la sécurité nationale.
Examen des efforts de la GRC pour lutter contre la radicalisation menant à la violence
Notre examen portait principalement sur le Programme de prévention du terrorisme de la GRC et les activités de l’Équipe intégrée de la sécurité nationale de la GRC, qui apporte un soutien aux enquêtes relatives à la sécurité nationale concernant des individus radicalisés devenus violents sans toutefois atteindre le seuil de criminalité voulu pour que la mise en accusation soit approuvée.
L’examen fait suite à la publication du Livre vert du gouvernement sur la sécurité nationale, qui traite des efforts déployés pour lutter contre la « radicalisation menant à la violence ». Nous reconnaissons l’utilité de ces efforts, mais nous craignons que les activités de prévention à cet égard ne puissent comprendre une surveillance généralisée de la navigation dans Internet.
Constatations
La GRC a confirmé qu’elle n’utilisait aucune technique ni aucune technologie de surveillance de masse dans le cadre de ses efforts visant à détecter et à prévenir les menaces pour la sécurité nationale, qu’elle n’exerçait pas de surveillance à grande échelle de la navigation dans Internet et qu’elle n’effectuait aucun ciblage fondé sur des scénarios. Elle ouvre plutôt ses enquêtes sur la sécurité nationale visant à lutter contre la radicalisation sur la base d’information de différentes sources, par exemple les membres de la famille, le grand public ou les partenaires de la GRC chargés de la sécurité et de l’application de la loi.
Conclusion
Nous sommes satisfaits des processus mis en œuvre par la GRC dans le but de lutter contre la radicalisation et continuons de préconiser une approche où les activités de prévention et les efforts de détection sont fondés sur des menaces crédibles révélées par des renseignements fiables.
Examen du Centre d’analyse des données opérationnelles du SCRS
Dans le cadre de l’exécution de mandats délivrés par le tribunal contre des individus qui représentent une menace pour la sécurité, le Service canadien du renseignement de sécurité (SCRS) recueille le contenu de leurs communications ainsi que leurs métadonnées, c’est-à-dire les renseignements au sujet d’une communication. Toutefois, dans une décision rendue en 2016, la Cour fédérale a conclu que le SCRS avait conservé illégalement des métadonnées de tiers non liés à une menace. Les renseignements sur les tiers concernent des individus qui ne sont pas visés par une enquête du SCRS, tandis que les renseignements non liés à une menace sont ceux qui ne se rapportent pas à une « menace envers la sécurité du Canada » au sens de la Loi sur le Service canadien du renseignement de sécurité. Le SCRS stocke ces données au Centre d’analyse des données opérationnelles (CADO).
La décision de la Cour fédérale était manifestement une décision importante pour le droit à la vie privée et l’avancement de la protection des renseignements personnels. Dans sa réponse, le SCRS a indiqué qu’il interdirait l’accès aux métadonnées en question jusqu’à ce qu’il ait examiné la décision de la Cour. Le SCRS a aussi demandé à discuter de la question avec le Commissariat.
Notre examen portait principalement sur les mesures prises par le SCRS à la suite de la décision de la Cour concernant la conservation, par le CADO, des métadonnées sur des tiers non liés à une menace.
Constatations
Nous avons confirmé que les banques de métadonnées historiques du CADO avaient été bloquées et que les analystes du CADO n’y auraient pas accès avant la décision finale relative à la disposition des données. Cela dit, nous avons appris que ces mêmes renseignements étaient stockés ailleurs dans des dossiers de sauvegarde du SCRS. Tous les efforts sont mis en œuvre pour veiller à ce que toutes les données visées soient retirées conformément à la décision de la Cour.
Nous avons aussi examiné les règles imposées par la Cour concernant l’évaluation des données sur des tiers et les mesures prévues par le SCRS pour appliquer ces règles. Nous avons conclu que ces mesures étaient conformes à la décision de la Cour.
Conclusion
Le projet de loi C-59, déposé à la Chambre des communes au mois de juin dernier, renferme des dispositions sur la collecte, la conservation et l’utilisation d’ensembles de données – ce qui comprend les métadonnées – par le SCRS. Il prévoit notamment qu’une autorisation précise du ministre de la Sécurité publique soit exigée pour conserver des ensembles de données auxquels le public n’a pas accès. Il prévoit également un nouveau régime de surveillance faisant appel à un commissaire au renseignement et aux tribunaux, selon la nature des données. Il est trop tôt pour savoir ce qu’il adviendra du projet de loi mais, en attendant, il nous semble que les mesures prévues par le SCRS respectent la décision de la Cour.
Capteurs IMSI
Nous avons fait enquête sur une plainte concernant le refus de la GRC de confirmer ou d’infirmer qu’elle utilisait des simulateurs de sites cellulaires (aussi appelés « dispositifs Stingray » ou « capteurs IMSI ») dans le cadre de ses activités de surveillance.
Le plaignant craignait particulièrement que la GRC se serve de ces appareils pour surveiller de grands groupes d’individus à un endroit donné. Il craignait aussi que les appareils puissent permettre d’intercepter le contenu des communications vocales et des messages textes. De l’avis du plaignant, le public est en droit d’être informé de l’utilisation de ces technologies, le cas échéant, puisque cette utilisation pourrait donner lieu à des atteintes à la vie privée de Canadiens innocents, à leur insu ou sans leur consentement.
Au cours de notre enquête, la GRC a tenu une séance d’information technique à l’intention des médias. Elle a alors confirmé qu’elle possédait et utilisait effectivement des simulateurs de sites cellulaires, appelés « identificateurs d’appareils mobiles ». Elle nous a assurés que son utilisation des appareils était conforme à toutes les lois canadiennes, que les appareils permettaient d’intercepter uniquement des numéros uniques normalisés associés aux abonnés mobiles et à leurs appareils, et qu’ils ne permettaient pas de capter les communications privées.
Ces déclarations concordaient avec les observations formulées par la GRC au cours de notre enquête. Nous avons toutefois procédé en toute indépendance à une vérification des capacités techniques des simulateurs de sites cellulaires de la GRC et demandé des renseignements complémentaires sur les lois en vertu desquelles ils sont exploités et sur les méthodes employées par la GRC pour utiliser, conserver et éliminer les données recueillies au moyen de ces appareils.
Constatations
Nous avons appris que la GRC avait déployé des identificateurs d’appareils mobiles dans le cadre de 125 enquêtes criminelles menées entre 2011 et 2016. Une autorisation judiciaire avait été obtenue dans tous les cas sauf pour 13 déploiements, dont sept dans des circonstances contraignantes – il y a « circonstances contraignantes » lorsqu’il y a des motifs de croire qu’une intervention particulière est nécessaire afin de prévenir la perte ou la destruction imminentes d’un élément de preuve, des lésions corporelles imminentes ou une mort imminente. Un mandat n’est pas nécessaire dans ces circonstances. Dans les six autres cas, nous avons appris que la GRC avait obtenu un avis juridique selon lequel aucun mandat n’était requis.
Après avoir assisté à une démonstration du mode d’utilisation des appareils et procédé à leur inspection, nous avons pu constater que les identificateurs utilisés ne permettaient pas de capter les communications privées, comme les communications vocales, les courriels, les messages textes, les listes de contacts, les images, les clés de chiffrement ou les renseignements de base sur l’abonné.
Dans les cas où la GRC avait obtenu une autorisation judiciaire préalable, nous avons conclu que les renseignements personnels recueillis au moyen des identificateurs d’appareils mobiles respectaient les exigences de la Loi sur la protection des renseignements personnels et qu’ils avaient été isolés, sécurisés, conservés et, finalement, détruits de manière appropriée. Un mandat que nous a fourni la GRC à titre d’exemple corrobore nos conclusions. On y précise que tous les renseignements personnels recueillis au moyen de l’identificateur d’appareils mobiles seront protégés contre toute utilisation ou communication à quelque fin que ce soit, sauf en cas d’ordonnance contraire d’un tribunal compétent. Nous estimons que ces modalités offrent une importante mesure de protection des renseignements personnels recueillis au moyen de ces appareils.
Dans les six dossiers où les agents n’avaient obtenu aucun mandat et où il n’y avait pas de circonstances contraignantes, nous sommes d’avis que la GRC agissait de bonne foi sur la base des avis juridiques obtenus, mais nous estimons que la collecte de renseignements personnels contrevenait à la Loi sur la protection des renseignements personnels.
Conclusion
Nous estimons que la GRC a pris des mesures appropriées pour remédier à la situation. En effet, elle exige dorénavant une autorisation judiciaire préalable pour tout déploiement d’identificateurs d’appareils mobiles, à moins qu’il y ait des circonstances contraignantes.
- Date de modification :