« Le droit du cyberespace » et les atteintes à la vie privée sur Internet

Étant donné que la section « Learn » de TalkRights propose des contenus rédigés par des bénévoles de l’ACLC ainsi que des entretiens avec des experts qui s’expriment en leur propre nom, les opinions qui y sont exprimées ne reflètent pas nécessairement les politiques ou les positions de l’ACLC. Pour consulter les publications officielles, les rapports clés, les prises de position, la documentation juridique et les dernières actualités concernant le travail de l’ACLC, rendez-vous dans la section « In Focus » de notre site web.

Alors que de nombreuses lois relatives au cyberespace sont adoptées à travers le monde pour faire face à la multiplication constante des nouveaux problèmes rencontrés dans l’univers en ligne, certains des crimes les plus graves commis sur Internet, notamment ceux liés à la vie privée, semblent rester impunis [1]. Par exemple, en 2014, Yahoo a déclaré que plus de 500 millions de ses comptes d’utilisateurs avaient été piratés et que les données personnelles qu’ils contenaient avaient été vendues [2]. Pourtant, bien qu’il soit allégué que Yahoo ait dissimulé sa connaissance de cette violation massive et ne l’ait révélée que deux ans plus tard, en 2016, les conséquences auxquelles le géant des télécommunications a dû faire face pour cette violation massive de la cybersécurité ont été financières et en termes de réputation, et non juridiques [3]. En effet, l’adoption d’une législation appropriée pour réglementer les comportements en ligne ne représente que la moitié du chemin : en effet, si de nouvelles lois sont créées pour faire face aux nouveaux problèmes qui surgissent, l’application du droit du cyberespace est intrinsèquement plus difficile que celle des « lois traditionnelles », pour un certain nombre de raisons énumérées ci-dessous [4]:

Qu’est-ce que le droit de l’Internet ?

Le droit du cyberespace, ou « cyberdroit », est un terme qui désigne l’ensemble des questions juridiques liées à Internet [5]. Le droit du cyberespace régit de nombreux domaines, notamment le commerce électronique (c’est-à-dire la responsabilité des fournisseurs d’accès à Internet et des réseaux sociaux), la cybercriminalité (les crimes commis sur Internet, qui, dans la plupart des cas, ont une incidence sur la confidentialité des données de la victime) et les questions relatives à la vie privée [6].

1. Questions de compétence

La difficulté à poursuivre les comportements en ligne tient avant tout à des questions de compétence[7]. Le terme « compétence » désigne le pouvoir d’un État souverain de réglementer certains comportements[8]. En effet, avant qu’un service répressif puisse enquêter sur une affaire de cybercriminalité, il doit disposer de la compétence nécessaire [9]. Fondamentalement, le défi en matière de compétence réside dans la détermination de l’organisme ou de la juridiction habilité à rendre la justice dans une affaire donnée [10]. Ceci est important car si un tribunal n’est pas compétent ou n’est pas habilité à juger une affaire, la procédure est annulée, quelle que soit la solidité des preuves ou la qualité de la conduite de l’affaire [11].

Les conflits de compétence peuvent reposer sur divers éléments, notamment : la branche du droit (par exemple, le droit pénal par opposition au droit international), le type d’affaire (c’est-à-dire les affaires pénales par opposition aux affaires de droit international), le « degré » (ou la gravité) de l’infraction (c’est-à-dire les infractions punissables par procédure sommaire par opposition aux infractions punissables par mise en accusation), les dommages-intérêts (c’est-à-dire que différents tribunaux traitent les affaires en fonction du montant minimum ou maximum des dommages-intérêts pouvant être obtenus dans le cadre d’un type particulier de procès), et le niveau de gouvernement (c’est-à-dire qu’il existe des lois, des services chargés de l’application de la loi et des systèmes judiciaires distincts pour les différents niveaux de gouvernement, par exemple au niveau fédéral par rapport au niveau provincial. Par conséquent, la difficulté réside ici à déterminer quelles lois s’appliquent à une affaire ou à une infraction particulière en fonction du niveau de gouvernement)[12]. Enfin, la compétence et les questions de compétence reposent en grande partie sur la zone géographique [13].

La compétence territoriale est l’un des principaux facteurs qui compliquent la tâche des autorités chargées de l’application de la loi lorsqu’il s’agit de réglementer les comportements en ligne ; en effet, un service répressif ou une juridiction donné(e) n’est compétent(e) que pour les infractions commises sur le territoire relevant de sa compétence [14]. Cela inclut généralement le lieu où se trouve l’auteur, celui où se trouve la victime ou le lieu où le crime a effectivement été commis [15]. Dans le contexte d’Internet, cela peut souvent s’avérer beaucoup plus difficile à déterminer que dans le monde réel car, comme nous le développerons plus loin, l’anonymat d’Internet et la nature numérique des preuves compliquent considérablement la tâche des autorités pour traduire les contrevenants en justice [16]. Par exemple, déterminer la compétence géographique pour les cybercrimes en matière de droit du cyberespace est plus difficile que pour les crimes « traditionnels » (ou « terrestres ») car, souvent, l’auteur ne se trouve pas dans la même ville ou le même pays que la victime[17].

Pour déterminer si un service de police ou un tribunal est compétent, il faut d’abord établir si un délit a effectivement été commis ; dans certains cas, aucune loi ne s’applique à la situation en question, et dans d’autres, l’acte répréhensible commis relève du droit civil et non du droit pénal [18]. Par exemple, si vous avez confié vos données à une entreprise (par exemple Yahoo ou d’autres plateformes de réseaux sociaux) et que cette entreprise les a perdues, bien que les conséquences puissent être désastreuses pour vous, la victime ne dispose d’aucun recours pénal [19]. Deuxièmement, si une infraction pénale a été commise, l’étape suivante consiste à déterminer quelle loi a été violée [20].

Pourquoi la compétence territoriale pose-t-elle un tel problème en matière législative ?

La compétence territoriale pose un problème majeur lorsqu’il s’agit de réglementer les comportements en ligne, car les lois varient d’un pays à l’autre, voire d’une province à l’autre [21]; par conséquent, un acte illégal dans un endroit peut ne pas l’être dans un autre [22]. Par exemple, si un auteur se trouve dans un endroit où ses actes ne sont pas illégaux, mais constituent un crime là où se trouve la victime, il sera difficile (voire impossible) de le poursuivre [23]. En effet, les forces de l’ordre ne sont habilitées à faire respecter la loi que dans leur propre juridiction [24]. Par exemple, un agent de police de l’Ontario n’a pas le pouvoir d’arrêter quelqu’un au Québec, et la Gendarmerie royale du Canada (GRC) n’a pas le pouvoir d’arrêter quelqu’un aux États-Unis [25].

De plus, le droit international prévoit certaines mesures permettant de poursuivre les personnes qui commettent des crimes dans un autre pays, mais la procédure est difficile, coûteuse et longue à mener à bien[26]. Par exemple, même si le droit international n’oblige pas les pays à remettre un criminel ou un suspect à un autre pays, certains pays ont conclu ce que l’on appelle des « traités d’entraide judiciaire », par lesquels ils s’engagent mutuellement à le faire[27]. Toutefois, ces traités exigent généralement la « double incrimination », ce qui signifie que l’acte commis par l’auteur doit être considéré comme un crime tant dans la juridiction où se trouve l’auteur que dans celle où l’acte a été commis[28]. De plus, déterminer où l’acte a été commis dans le contexte en ligne constitue un défi en soi[29].

2. Anonymat et identité

L’anonymat est également considéré comme l’un des principaux obstacles aux efforts mondiaux visant à réglementer les comportements en ligne [30]. Sur Internet, il est bien plus facile de dissimuler son identité que dans le monde réel, ce qui complique la tâche des autorités chargées de l’application de la loi lorsqu’il s’agit de retrouver les auteurs d’infractions et de révéler leur identité [31]. Sur le plan législatif, cela revêt une importance considérable, car si l’identité des contrevenants ne peut être retracée, toute loi mise en place pour tenir les particuliers ou les entreprises responsables de leurs actes sur Internet, aussi bien conçue ou intentionnelle soit-elle, ne peut fonctionner et est donc totalement inutile [32]. Par ailleurs, l’anonymat constitue une protection essentielle de la vie privée, sur laquelle comptent en particulier les défenseurs des droits de l’homme, les groupes ou individus vulnérables vivant sous des régimes oppressifs, ainsi que les citoyens ordinaires souhaitant communiquer en toute confidentialité.

3. Nature des éléments de preuve (preuves numériques)

La nature numérique des preuves est un autre facteur qui rend les poursuites judiciaires dans le domaine de la cybercriminalité plus difficiles [33]. En effet, les preuves numériques peuvent être facilement perdues ou altérées par rapport aux preuves issues du « monde réel » [34]. Par exemple, les cybercriminels ont davantage de moyens d’effacer les preuves, et les enquêteurs peuvent accidentellement perdre ou détruire les preuves simplement en les examinant ou en essayant d’y accéder [35]. Parallèlement, il est également possible que les preuves numériques puissent être restaurées dans certaines circonstances, et des normes peuvent être élaborées pour établir la valeur probante des preuves numériques au fil du temps.

La branche du droit qui regroupe l’ensemble des règles relatives à la présentation des faits et des preuves dans le cadre d’une procédure judiciaire, y compris les règles qui déterminent quelles preuves sont admissibles ou non, est le droit de la preuve [36]. De plus, le droit de la preuve varie d’un pays à l’autre et d’un système juridique à l’autre, ce qui explique en partie pourquoi la compétence juridictionnelle pose un problème si important lorsqu’il s’agit de poursuivre des comportements répréhensibles en ligne [37].

4. Conception juridique et attente en matière de vie privée

Le fait que certains pays s’appuient sur des conceptions dépassées de la vie privée peut également compliquer la poursuite des cybercrimes[38]. Dans certains pays, la conception juridique de la vie privée repose encore (à certains égards) sur des concepts et des jurisprudences antérieurs à l’ère de l’information, qui ne reflètent pas notre réalité actuelle[39]. Par exemple : dans l’affaire California v. Greenwood, 486 U.S. 35 (1988), les poubelles du défendeur, laissées à l’extérieur sur le trottoir, ont été fouillées sans mandat et le matériel servant à la consommation de drogue qui y a été trouvé a été utilisé comme preuve pour le condamner [40]. La Cour d’appel a confirmé que la fouille n’avait pas porté atteinte à la vie privée de Greenwood car « il n’y avait aucune attente de confidentialité pour les objets laissés [à l’extérieur] auxquels le public pouvait avoir accès, et par conséquent, la vie privée ne s’appliquait pas aux poubelles laissées à la vue du public » [41]. Bien que cette décision ait été rendue en 1988 (c’est-à-dire avant que l’Internet ne commence à être accessible au public en 1991), elle s’applique toujours aux technologies informatiques actuelles et à l’Internet [42]. Certains chercheurs font valoir que cela est important, car cela signifie en substance que les informations personnelles laissées dans le domaine public ou sur Internet, qu’il s’agisse de déchets sur le trottoir ou d’un site web par exemple, sont considérées de la même manière d’un point de vue juridique [43]. Les tribunaux canadiens développent toutefois une vision plus nuancée dans des affaires récentes[44].

Conclusion

Bien que de nombreux pays adoptent des lois sur le cyberespace afin de s’adapter à l’évolution des technologies informatiques et à un environnement en ligne en constante mutation, le droit du cyberespace est un domaine relativement nouveau qui comporte des lacunes pouvant, comme expliqué plus haut, rendre l’application de ces lois assez difficile [45]. De plus, le concept d’« attente raisonnable en matière de vie privée » fait l’objet de débats, est redéfini et remis en question à la lumière de l’évolution des modes de collecte, de partage, de stockage et d’accès aux informations en ligne.

[1] Shinder, Deb. 2011. « Pourquoi les lois sur la cybercriminalité sont-elles si difficiles à appliquer ? ». Publié le 26 janvier 2011 sur TechRepublic.com. Consulté le 4 janvier 2018 : https://www.techrepublic.com/blog/it-security/what-makes-cybercrime-laws-so-difficult-to-enforce/

[2] Fiegerman, Seth. 2016. « Yahoo annonce le vol de 500 millions de comptes ». Publié^{le 23} septembre 2016 sur le site officiel de CNN. Consulté^{le 8} janvier 2017 : http://money.cnn.com/2016/09/22/technology/yahoo-data-breach/index.html

[3] Note 2 ci-dessus

[4] Valiquet, Dominique. 2011. « Cybercriminalité : enjeux ». Publications de recherche de la Bibliothèque du Parlement , document d’information n° 2011-36-E. Publié^{le 5} avril 2011 sur le site Web du Parlement du Canada. Consulté^{le 9} janvier 2018 : https://lop.parl.ca/Content/LOP/ResearchPublications/2011-36-e.htm#a2

[5] LaManche. 2017. « Bibliothèque juridique : Guide du droit de l’Internet ». Publié sur le site officiel de Legal Match. Consulté le 7 janvier 2017 : https://www.legalmatch.com/cyberspace-law-guide.html

[6] Note 1 ci-dessus

[7] Ajayi, E.F.G. 2016. « Les défis liés à l’application de la législation et des politiques en matière de cybercriminalité ». Journal of Internet and Information Systems, vol . 6 (1). DOI : 10.5897/JIIS2015.0089. Publié en août 2016. Consulté le 9 janvier 2018 : http://www.academicjournals.org/journal/JIIS/article-full-text-pdf/930ADF960210. Page 4.

[8] Union internationale des télécommunications (UIT). 2015. « Comprendre la cybercriminalité : phénomènes, défis et réponse juridique ». Publié^{le 28} avril 2015 sur le site web officiel de l’UIT. Consulté^{le 9} janvier 2018 : http://www.itu-ilibrary.org/science-and-technology/understanding-cybercrime_pub/80c0b5e9-en. Page 228.

[9] Note 7 ci-dessus, page 5.

[10] Note 7 ci-dessus, page 5.

[11] Note 7 ci-dessus, page 4.

[12] Note 1 ci-dessus

[13] Note 1 ci-dessus

[14] Note 7 ci-dessus, page 5.

[15] Note 1 ci-dessus

[16] Note 8 ci-dessus, pages 80, 227-228.

[17] Note 1 ci-dessus

[18] Note 1 ci-dessus

[19] Note 2 ci-dessus

[20] Note 1 ci-dessus

[21] Note 1 ci-dessus

[22] Note 1 ci-dessus

[23] Note 8 ci-dessus, page 235.

[24] Note 7 ci-dessus, page 5.

[25] Note 1 ci-dessus

[26] Note 5 ci-dessus

[27] Note 5 ci-dessus

[28] Note 5 ci-dessus

[29] Note 5 ci-dessus

[30] Note 7 ci-dessus, page 4.

[31] Note 7 ci-dessus, page 4.

[32] Note 7 ci-dessus, page 4.

[33] Note 7 ci-dessus, page 7.

[34] Note 7 ci-dessus, page 7.

[35] Voir la note 8 ci-dessus, pages 227 et 228.

[36] Note 7 ci-dessus, page 7.

[37] Debesu, Kahsay et Andualem Eshetu. 2012. « La preuve dans les systèmes juridiques de droit civil et de common law ». Publié^{le 4} septembre 2012 sur le site officiel d’Abyssinia Law. Consulté^{le 9} janvier 2018 : http://www.abyssinialaw.com/study-on-line/item/934-evidence-in-civil-and-common-law-legal-systems

[38] Subramanian, Ramesh et Steven Sedita. 2006. « La législation en matière de cybercriminalité est-elle en phase avec la triple convergence de l’information, de l’innovation et de la technologie ? » Communications de l’IIMA, vol. 6, n° 1, article 4. Consulté^{le 9} janvier 2018 : http://scholarworks.lib.csusb.edu/ciima/vol6/iss1/4/. Page 43.

[39] Note 38 ci-dessus, page 43.

[40] Note 38 ci-dessus, page 43.

[41] Note 38 ci-dessus, page 43.

[42] Note 38 ci-dessus, page 43.

[43] Note 38 ci-dessus, page 43.

[44] Voir par exemple l’affaire R c. Marakah, 2017 CSC 59, ou l’affaire R c. Jones, 2017 CSC 60.

[45] Note 7 ci-dessus, pages 1-2.