Dans une décision unique en son genre, R. c. Bykovets, 2024 CSC 6 (Bykovets), la Cour suprême du Canada a adopté une vision large de la protection de la vie privée sur Internet – du moins dans le contexte des autorités criminelles et publiques – en concluant que les adresses de protocole Internet (PI) suscitent une attente raisonnable en matière de vie privée protégée par l’article 8 de la Charte canadienne des droits et libertés (la Charte). L’article 8 garantit aux Canadiens le « droit d’être protégés contre les fouilles, les perquisitions et les saisies abusives ». L’article 8 de la Charte ne s’applique généralement pas aux différends entre particuliers et exige un certain degré de participation du gouvernement ou de l’autorité publique. Jusqu’à présent, seuls les renseignements sur les abonnés associés à une adresse IP particulière avaient suscité une attente raisonnable en matière de vie privée. Bykovets résout maintenant de manière concluante le débat sur la question de savoir s’il existe une attente en matière de vie privée dans l’adresse IP elle-même.
Bykovets a des implications importantes pour les organisations privées qui répondent régulièrement aux demandes de production d’informations des autorités d’application de la loi ou de réglementation. En général, les autorités chargées de l’application de la loi devront demander une autorisation judiciaire préalable avant de demander des adresses IP. Bykovets reflète également une conceptualisation plus large de la protection de la vie privée en ligne qui façonnera l’élaboration des lois canadiennes sur la protection de la vie privée à l’avenir.
In 2017, les services de police de Calgary ont enquêté sur des achats frauduleux en ligne dans un magasin d’alcool. La police a communiqué avec Moneris, l’entreprise de traitement tierce qui gérait les ventes en ligne du magasin. Moneris a volontairement fourni les adresses IP associées aux transactions frauduleuses.
La police a ensuite obtenu une ordonnance de communication obligeant le fournisseur de services Internet des adresses IP à divulguer les renseignements sur les abonnés qui leur sont associés. La police a ensuite utilisé les adresses IP pour obtenir un « mandat Spencer », c’est-à-dire une ordonnance du tribunal, obligeant le fournisseur de services Internet à divulguer les renseignements sur les abonnés (nom et adresse résidentielle) associés aux adresses IP, et a par la suite exécuté un mandat de perquisition pour M. Bykovets et son père.
Au procès, M. Bykovets a soutenu que la demande de la police pour les adresses IP de Moneris violait son droit contre les fouilles, les perquisitions et les saisies abusives en vertu de l’article 8 de la Charte. Le juge de première instance a conclu qu’il n’y avait pas d'« attente raisonnable » en matière de vie privée dans les adresses IP parce que « les adresses IP ne fournissent pas de lien vers un utilisateur d’Internet ou de tout autre renseignement à son sujet ». Les juges majoritaires de la Cour d’appel de l’Alberta étaient d’accord.
Par une majorité de 5 :4, la Cour suprême du Canada a accueilli l’appel. S’exprimant au nom de la majorité, la juge Karakatsanis a conclu que la police était tenue d’obtenir un mandat avant de demander à Moneris de fournir les adresses IP associées aux transactions frauduleuses : Il ne suffisait pas que la police ait obtenu un mandat pour la production des renseignements sous-jacents sur les abonnés après que Moneris eut produit volontairement les adresses IP.
L’objet de l’article 8 est de protéger la vie privée, y compris la confidentialité des informations. Pour établir qu’il y a eu violation de l’article 8, le demandeur d’asile doit démontrer qu’il y a eu perquisition ou saisie et que la fouille, la perquisition ou la saisie était déraisonnable. Seule la première exigence , à savoir si la demande d’adresses IP était une recherche, était en cause.
Une recherche a lieu lorsque l’État envahit une attente raisonnable en matière de vie privée. Bien que les tribunaux tiennent compte de plusieurs facteurs pour déterminer s’il existe une attente raisonnable en matière de vie privée dans certaines circonstances, deux facteurs clés étaient en cause dans l’affaire Bykovets : (1) l’objet de la perquisition ; et (2) si l’attente subjective de M. Bykovets en matière de vie privée était objectivement raisonnable. À l’aide de ce cadre, les juges majoritaires ont conclu qu’en vertu de l’article 8 de la Charte, les Canadiens ont une attente raisonnable en matière de vie privée à l’égard de leur adresse IP.
Dans la définition de l’objet de la perquisition, le juge Karakatsanis a statué que la Cour doit tenir compte non seulement des renseignements eux-mêmes, mais aussi des autres renseignements personnels qui peuvent être obtenus ou déduits en raison des renseignements. Une adresse IP est « le premier fil d’Ariane numérique qui peut conduire l’État sur la piste de l’activité Internet d’un individu ». Ainsi, bien qu’une adresse IP puisse ne pas révéler de renseignements personnels elle-même, elle est la « clé pour obtenir plus d’informations sur un utilisateur d’Internet particulier, y compris son activité en ligne et, en fin de compte, son identité ». La « possibilité de révéler des renseignements personnels ou biographiques de base » suffit à déclencher l’article 8 de la Charte.
Sur la question de savoir si l’attente subjective de M. Bykovets en matière de vie privée était objectivement raisonnable, la Cour suprême a affirmé que l’article 8 de la Charte protège la vie privée des renseignements personnels. Cela comprend « un noyau biographique de renseignements personnels que les personnes dans une société libre et démocratique souhaiteraient conserver et contrôler de la diffusion à l’État ».
Le fait qu’un tiers fournisseur de services détenait les adresses IP — et que M. Bykovets exerçait peu de contrôle, voire aucun, sur l’information — n’a pas diminué l’attente en matière de vie privée. De l’avis de la majorité, Internet peut divulguer des détails plus intimes que les fouilles physiques, ce qui rend l’absence d’intrusion physique moins pertinente pour les attentes en matière de protection de la vie privée.
Les motifs des juges majoritaires reposent sur la reconnaissance que l’article 8 de la Charte et les notions juridiques de vie privée doivent être adaptés pour tenir compte de l’importance accrue des renseignements en ligne regroupés par des tiers privés.
S'exprimant au nom de quatre juges dissidents, le juge Côté aurait rejeté l’appel. De l’avis du juge Cote, les adresses IP en l’espèce n’ont pas suscité d’attente raisonnable en matière de vie privée parce que la recherche n’a révélé rien de plus que les adresses IP et les fournisseurs de services Internet associés. À son avis, l’obligation d’obtenir un mandat avant d’obtenir la production des renseignements sur les abonnés sous-yeux offrait une protection suffisante.
Les entreprises privées répondent aux demandes fréquentes des services répressifs et peuvent signaler toutes les activités associées à l’adresse IP demandée. Les entreprises citoyennes privées peuvent offrir des profils granulaires de l’activité Internet d’un utilisateur individuel pendant des jours, des semaines ou des mois sans jamais passer sous l’égide de la Charte. Ces informations peuvent frapper au cœur du noyau biographique d’un utilisateur et peuvent finalement être liées à l’identité d’un utilisateur, avec ou sans mandat Spencer. Il s’agit d’une atteinte profondément intrusive à la vie privée. [Non souligné dans l’original]
Dans cette optique, Bykovets renforce la sagesse des organisations privées nécessitant une ordonnance du tribunal ou une autre forme d’autorisation judiciaire avant de produire une adresse IP aux responsables de l’application de la loi. Cette décision devrait également inciter les organisations privées à réexaminer la question de savoir si les adresses IP sous leur garde ou leur contrôle devraient être traitées comme des renseignements personnels.
Si vous souhaitez en savoir plus sur la façon dont la décision Bykovets peut affecter votre entreprise, nous vous invitons à contacter les auteurs de cet article de blog, ou les membres de notre Groupe des actions collectives ou Groupe de confidentialité et de protection des données.