Chiffrement : le projet de loi C-22 du Canada sous un feu nourri de critiques

Le projet de loi C-22 est une proposition législative canadienne déposée le 12 mars 2026 par le gouvernement. Il s'agit d'une version détaillée des parties 14 et 15 du projet C-2, une loi sur la sécurité des frontières adoptée en juin 2025. Ce texte, surnommé loi de 2026 sur l’accès légal, se compose de deux volets principaux. Le premier modifie le Code criminel et plusieurs lois connexes pour encadrer l’accès des forces de l’ordre aux données détenues par les fournisseurs de services numériques. Le second volet les oblige à faciliter les demandes d’accès à ces données. L’examen du projet est en phase finale et doit passer devant le Sénat canadien avant un éventuel retour à la Chambre des communes pour un vote définitif.

Avant son premier vote à la Chambre des communes en juin 2026, le gouvernement a modifié le texte pour ajouter une protection explicite du chiffrement de bout en bout et réduire la durée de conservation des données de 12 à 6 mois. Ces ajustements visaient à répondre aux critiques initiales, mais elles persistent. Les opposants, dont la fondation Signal et Mozilla, estiment que les termes restent trop vagues et pourraient permettre des interprétations abusives. Ils craignent notamment l’obligation de créer des portes dérobées (mécanismes permettant un accès secret aux données chiffrées) ou de collecter des métadonnées (informations comme les numéros de téléphone, les dates de connexion ou les contacts, sans le contenu des messages). Signal menace de quitter le Canada si le texte est adopté en l’état.

Le chiffrement de bout en bout est une technologie qui protège les communications en les rendant illisibles pour toute personne sauf l’expéditeur et le destinataire. Les critiques, comme celles de Signal et Mozilla, soulignent que le projet C-22 pourrait forcer les entreprises à affaiblir cette protection. Par exemple, elles pourraient être contraintes de conserver des métadonnées ou de contourner le chiffrement pour donner accès aux autorités. Les défenseurs de la vie privée rappellent qu’il n’existe aucun moyen sûr de créer un accès exceptionnel sans risquer des fuites ou des abus. Un mécanisme conçu pour les forces de l’ordre pourrait être exploité par des pirates ou des régimes autoritaires.

Bien que le projet C-22 soit une loi canadienne, il pourrait avoir des répercussions mondiales. Des applications comme Signal utilisent le même protocole de chiffrement dans tous les pays. Si le Canada impose des obligations locales, ces services devraient soit s’y conformer pour tous leurs utilisateurs, soit quitter le marché canadien. Cette situation rappelle des conflits similaires au Royaume-Uni ou aux États-Unis, où des gouvernements ont tenté d’obliger des entreprises comme Apple à affaiblir leur chiffrement. Jusqu’à présent, ces tentatives ont échoué ou été édulcorées, souvent sous la pression des acteurs technologiques ou des partenaires internationaux.

Le Canada se trouve dans une position complexe sur le plan géopolitique. Le pays entretient des tensions avec les États-Unis tout en cherchant à se rapprocher de l’Union européenne. Il négocie également un accord CLOUD Act avec Washington, qui permettrait d’obtenir des données d’entreprises américaines sans passer par la coopération judiciaire. Cependant, le sénateur américain Ron Wyden a demandé en juillet 2026 au gouvernement américain de protéger les entreprises et citoyens des États-Unis contre le projet C-22. Cette demande illustre les divisions au sein des Five Eyes (alliance de renseignement incluant les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande), où certains pays poussent pour un accès accru aux données chiffrées, tandis que d’autres résistent.