Le cadre créé par la loi PIPEDA permet aux entreprises de partager des informations sensibles avec la police en l’absence de garanties significatives, ce qui soulève de sérieuses préoccupations en matière de protection de la vie privée.
Dans la pratique, il existe peu de mesures de responsabilisation pour garantir la légalité de ces divulgations. La plupart des personnes ne savent jamais que leurs informations personnelles ont été partagées, et ne le sauront pas à moins d’en faire la demande proactive à leur fournisseur de services, et même dans ce cas, le gouvernement peut bloquer la demande.
Dans ce cadre, les compagnies de téléphone et d’Internet (fournisseurs de services de télécommunications ou FST) ont partagé pendant des années d’importants volumes d’informations de base sur les abonnés avec les agences gouvernementales.
Les informations de base sur les abonnés sont des informations qui permettent d’identifier des utilisateurs anonymes d’Internet ou de téléphone. Pendant des années, les services répressifs et les FST ont décidé que ce type d’informations d’identification des clients n’était pas privé, jetant ainsi les bases d’un programme d’échange d’informations à grande échelle.
L’ampleur du programme historique n’est pas connue, mais dans un cas, les FST ont indiqué qu’ils recevaient en moyenne plus d’un million de demandes d’informations de base sur les abonnés chaque année. Seule une fraction de ces demandes a été examinée par les tribunaux.
Puis, en 2015, la Cour suprême du Canada a statué dans l’affaire R. c. Spencer que les informations de base sur les abonnés sont très sensibles car elles révèlent des activités en ligne par ailleurs anonymes. L’anonymat fait partie intégrante du maintien d’un semblant de vie privée à l’ère numérique.
La décision Spencer a empêché certaines demandes du gouvernement concernant les données de base des abonnés. Mais elle n’a pas modifié le cadre sous-jacent qui avait permis le partage de tant de données sensibles avec le gouvernement – un cadre dans lequel les entreprises privées et le gouvernement décident effectivement de ce qui est autorisé et de ce qui ne l’est pas dans la majorité des cas.
Aujourd’hui, les agences gouvernementales continuent de demander des informations sur des dizaines de milliers de clients de FST chaque année, tandis qu’une liste croissante d’autres entreprises sont également soumises à ce régime, y compris les processeurs de paiement, les plateformes de médias sociaux et les fournisseurs de courrier électronique. La législation récemment introduite (projet de loi C-2, la loi sur la solidité des frontières, présentée en juin 2025) pourrait encore élargir les demandes d’information de la police dans le cadre de ce régime, ce qui rend d’autant plus urgente la nécessité d’un cadre approprié.
