Comment aborder la question des divulgations de données numériques par le Canada aux États-Unis

En bref

La Section du droit de la vie privée et de l’accès à l’information de l’ABC donne son avis (mémoire disponible uniquement en anglais; les citations qui en sont tirées sont des traductions) sur les cas où l’actuel cadre d’assistance juridique mutuelle devrait être remplacé par un processus plus rapide permettant aux sociétés de technologie de transmettre des données à des entités étrangères aux fins d’enquête ou de poursuite relativement à un crime grave.

Contexte et principes généraux

La Clarifying Lawful Overseas Use of Data Act, ou CLOUD Act, promulgué en 2018 permet aux sociétés de technologie américaines de transmettre les données des utilisateurs directement à certaines administrations étrangères quand celles-ci le demandent pour enquêter sur des crimes graves. Ce processus nécessite des accords exécutifs entre les États-Unis et des pays de confiance. De tels accords sont actuellement en vigueur avec le Royaume-Uni et l’Australie. Le Canada et les États-Unis sont en négociations depuis le printemps 2022.

Si un tel accord est conclu, l’accès par les autorités canadiennes aux données détenues par des sociétés américaines, comme Google, serait bien plus rapide qu’avec l’actuel cadre d’assistance juridique mutuelle et son système de requêtes. L’inverse est également vrai pour les autorités américaines accédant à des données détenues par des sociétés canadiennes.

Si elle appuie l’idée que les sociétés canadiennes accordent « leur pleine et entière confiance aux ordonnances étrangères relativement à une enquête sur un non-Canadien quand sont respectées les normes de droits de la personne et de primauté du droit, et selon des prémisses de réciprocité », la section recommande de conserver le cadre d’assistance juridique mutuelle quand l’enquête concerne une personne canadienne afin que chaque requête soit examinée par l’autorité canadienne compétente.

Exemptions nécessaires

Les institutions gouvernementales et les organismes publics des paliers fédéral et provincial devraient être « exemptés de la fourniture directe de données en réponse à une ordonnance étrangère », peut-on lire dans la lettre, où l’on ajoute que cette exemption devrait aussi s’appliquer aux fournisseurs privés traitant des données pour le compte d’un organisme public ou gouvernemental.

La section fait observer que d’autres pays peuvent conclure des accords bilatéraux dans le cadre de la CLOUD Act. Elle recommande de modifier le Code criminel pour ajouter une catégorie spéciale d’ordonnances de communication extraterritoriales. Ces ordonnances ne s’appliqueraient qu’aux requêtes émanant de pays signataires d’un accord bilatéral, pourvu qu’un tribunal canadien juge que les critères sont respectés.

Mise à jour des lois sur la protection de la vie privée

Au Canada, beaucoup de régimes de protection de la vie privée autorisent la divulgation de renseignements personnels « quand la loi l’exige ». L’ABC recommande de modifier ces lois pour que cela ne s’applique qu’aux mandats étrangers relevant d’un accord bilatéral avec le Canada. « Si elle n’est pas spécifiquement encadrée par un accord bilatéral, cette exception risque de permettre la divulgation accidentelle de données à des pays dont les antécédents sont problématiques au chapitre des droits de la personne », déclare-t-on dans la lettre. Les mesures législatives actuelles ne devraient autoriser les divulgations entre pays que dans les cas où la loi canadienne le permet.

Examen

Enfin, les lois habilitantes du Canada devraient prévoir un mécanisme d’examen des ordonnances étrangères par les autorités canadiennes pour en vérifier la conformité à l’accord bilatéral. De plus, les fournisseurs de services canadiens devraient conserver le droit de faire examiner une requête par une instance canadienne, comme c’est le cas sous l’actuel régime d’assistance juridique mutuelle.

Lire le mémoire (en anglais seulement).