De l’IP à l’ID : le danger de faire le lien
Le récent jugement de la Cour suprême du Canada dans l’affaire R c. Spencer aborde la question précise de savoir si la découverte par la police de fichiers de pornographie infantile sur l’ordinateur d’un particulier suivant la divulgation par son fournisseur de services Internet des renseignements relatifs à son adresse IP, plus particulièrement le nom et l’adresse de l’abonné, constituait une fouille sans mandat.
Faits
La conclusion à elle seule selon laquelle la fouille effectuée par suite de la divulgation par Shaw du nom et de l’adresse d’abonné associés à l’adresse IP de M. Spencer était inconstitutionnelle peut sembler découler d’une question précise visant surtout l’application de la loi à l’ère numérique. Le jugement soulève certes des questions de politique pour le gouvernement. À cet égard, le blogue de Michael Geist est une excellente ressource pour approfondir les recherches.
Jugement
La Cour conclut en l’existence d’une attente raisonnable quant au caractère privé des renseignements relatifs à un abonné – le lien entre l’adresse IP et l’abonné à qui elle appartient. La Cour fait remarquer que, bien que les renseignements fournis puissent sembler sans conséquence, une adresse IP, qui peut ensuite être associée à une personne, pourrait servir à découvrir de plus amples renseignements concernant la personne et ses activités en ligne :
La communication de ces renseignements permettra souvent d’identifier l’utilisateur qui mène des activités intimes ou confidentielles en ligne, en tenant normalement pour acquis que ces activités demeurent anonymes. [au paragraphe 66]
Leçons
Du point de vue des entreprises qui n’ont pas l’habitude de recevoir ce genre de demandes de la part des autorités policières, le point le plus pertinent qui ressort de l’arrêt est la portée de la protection des renseignements personnels concernant l’identité d’une personne. La Cour fait observer dans l’arrêt que « [l]a collecte, l’utilisation et la divulgation » de renseignements personnels concernant un abonné sont assujettis à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et que ces renseignements ne peuvent être communiqués qu’à la demande d’une institution gouvernementale qui précise « la source de l’autorité légitime » étayant sa demande. La demande formulée sans mandat ne représentait pas la source d’une telle autorité.
La Cour traite abondamment de l’anonymat en tant qu’élément de la vie privée, aussi les entreprises qui œuvrent en ligne seraient-elles bien avisées de tenir compte de cette conclusion. Des mesures de contrôle, tant physiques que numériques, pourraient être nécessaires afin d’empêcher l’accès à ce genre de renseignements (en plus d’éviter qu’ils soient communiqués volontairement), peu importe où sont stockés les renseignements qui permettent d’établir le lien entre l’empreinte numérique laissée par un visiteur en ligne et sa véritable identité.
Cliquez sur le lien ci-après pour voir le jugement en entier :
R. c. Spencer, 2014 CSC 43 (CanLII)