Projet de loi C-22 : les Communes adoptent l’accès légal au pas de course

Depuis plus de 20 ans, les gouvernements canadiens tentent d’élargir l’« accès légal », c’est-à-dire l’accès de la police et du Service canadien du renseignement de sécurité (SCRS) aux données détenues par les entreprises. Le projet de loi C-22, la Loi de 2026 sur l’accès légal, est la tentative la plus ambitieuse à ce jour. Le 18 juin 2026, la Chambre des communes l’a adopté après avoir limité le débat. Le Canada n’est pas seul : de nombreux gouvernements réclament le même genre d’accès, souvent aux dépens du chiffrement.

D’où vient C-22

En juin 2025, le projet de loi C-2 sur la sécurité des frontières contenait déjà des mesures d’accès légal, dont une « demande de renseignements » sans mandat que la police pouvait adresser à presque n’importe quel fournisseur de services. Devant le tollé, le gouvernement a déplacé les mesures frontalières dans un autre projet de loi, et les mesures d’accès légal sont restées bloquées.

Elles sont revenues le 12 mars 2026 dans C-22, avec des corrections. Le 18 juin, le comité, l’étape du rapport et la troisième lecture ont eu lieu le même jour. Le comité a siégé jusqu’à environ une heure du matin, et les députés libéraux ont bloqué une motion pour réentendre le commissaire à la protection de la vie privée.

Ce que contient le projet de loi

La première partie donne de nouveaux pouvoirs à la police et au SCRS :

Une demande sans mandat : la police pourrait demander à un fournisseur de télécommunications s’il sert une personne, un compte ou un identifiant donné, sur de simples « motifs raisonnables de soupçonner ».
Une nouvelle ordonnance pour obtenir les renseignements d’un abonné auprès de toute « personne qui fournit des services au public ». Le seuil est bas, et la définition des renseignements visés, qui inclut l’adresse courriel, le pseudonyme et les identifiants d’appareils, dépasse celle que la Cour suprême a reconnue dans ses arrêts Spencer (2014) et Bykovets (2024).

La deuxième partie impose des obligations aux « fournisseurs de services électroniques », une définition si large qu’elle englobe les plateformes, les messageries, les VPN et les fabricants d’appareils. Elle ne prévoit aucune exemption pour les petits organismes ou les OBNL. Le gouvernement pourrait :

désigner des « fournisseurs principaux » et les obliger à préparer leurs systèmes à l’interception ;
les obliger à conserver les métadonnées de tout le monde jusqu’à six mois, une durée réduite de moitié en comité. Le contenu des communications, l’historique de navigation et les activités sur les réseaux sociaux sont exclus ;
imposer des ordres ministériels secrets : une entreprise n’aurait même pas le droit de révéler qu’elle en a reçu un ;
imposer des amendes allant jusqu’à 250 000 dollars par jour à une entreprise.

Le texte s’est amélioré en cours de route. Les ordres ministériels devront être approuvés par le commissaire au renseignement. Un ajout en comité précise qu’un fournisseur ne peut pas être forcé à déchiffrer des communications chiffrées de bout en bout dont il ne détient pas les clés. Le commissaire à la protection de la vie privée, Philippe Dufresne, reconnaît que C-22 améliore C-2 à plusieurs égards, mais il a formulé huit recommandations, dont celle de limiter la liste des renseignements d’abonné.

Pourquoi c’est un recul

La conservation des métadonnées, c’est surveiller tout le monde, sans soupçon. Savoir qui parle à qui, quand et d’où suffit à dresser un portrait précis d’une vie. Avant la réduction à six mois, le professeur de droit Michael Geist parlait d’une « carte de surveillance complète de pratiquement chaque Canadien ». Le principe n’a pas changé.

Les accès prévus pour la police finissent par servir à d’autres. À l’automne 2024, on a appris que des pirates liés à l’État chinois, le groupe Salt Typhoon, avaient pénétré les systèmes que les opérateurs américains utilisent pour les écoutes légales. En février 2025, selon le Centre canadien pour la cybersécurité, ce groupe a probablement compromis des équipements d’une entreprise de télécommunications canadienne. Comme le résume une lettre signée en septembre 2026 par une vingtaine d’entreprises, dont des fournisseurs de VPN et de DNS : « Une porte dérobée pour la police est une porte dérobée pour tout le monde. »

Des services pourraient quitter le Canada. Signal a déclaré qu’il préférerait quitter le pays plutôt que de renoncer aux promesses de confidentialité faites à ses utilisateurs. Apple affirme que la loi pourrait forcer l’insertion de portes dérobées, ce qu’Apple ne fera jamais. Le fournisseur canadien de VPN Windscribe annonce qu’il déménagera son siège social si la loi est adoptée. Le gouvernement, lui, affirme ne pas vouloir obliger ces entreprises à installer des capacités de surveillance.

Comme organisme qui fait tourner des serveurs au service du public, nous suivons ce projet de près.

Une tendance mondiale

C-22 n’est qu’un exemple parmi d’autres.

Royaume-Uni : l’Investigatory Powers Act 2016 permet d’imposer des « avis de capacité technique » secrets. Après un ordre de ce type rapporté par la presse, Apple a retiré en février 2025 la Protection avancée des données, son option de chiffrement de bout en bout pour iCloud, aux nouveaux utilisateurs britanniques. L’entreprise conteste toujours cette exigence en justice.
Union européenne : le projet de règlement « Chat Control » aurait permis d’ordonner l’analyse des messages privés, y compris chiffrés. Les États membres ont renoncé à l’analyse obligatoire en novembre 2025, mais en septembre 2026, la question bloquait toujours un accord avec le Parlement européen.
Australie : depuis 2018, l’Assistance and Access Act permet de contraindre des entreprises à modifier leurs logiciels et leurs services pour donner accès aux autorités.

Plus les pays exigent de tels accès, plus il devient difficile pour un service de protéger ses utilisateurs, où qu’ils vivent.

Il est encore temps

Au 20 octobre 2026, le Sénat débat de C-22 en deuxième lecture. Les sénatrices et sénateurs peuvent l’étudier en comité, entendre des experts et l’amender.

Ce que vous pouvez faire

Dites à vos élus que vous vous opposez à la conservation obligatoire des métadonnées, aux ordres secrets et aux portes dérobées. Au Canada, ce sont les sénatrices et sénateurs qui étudient C-22.
Utilisez des services qui respectent votre vie privée, idéalement chiffrés de bout en bout. Ce qu’une entreprise ne peut pas lire, elle ne peut pas le remettre.
Pour savoir lesquelles de vos données un gouvernement pourrait obtenir, et comment les protéger, suivez notre guide Construire votre modèle de menace.
Suivez Michael Geist et le Citizen Lab sur C-22, et l’EFF, EDRi et la Global Encryption Coalition à l’échelle mondiale.