Proposé pour la première fois en 2025, et partiellement révisé en raison des critiques acerbes des entreprises technologiques et de la société civile, le projet de loi C-22 du Canada peut imposer de manière générale des exigences aux entreprises technologiques, y compris celles situées à l’extérieur du Canada, pour qu’elles introduisent des « capacités techniques » permettant d’accéder aux données à des fins d’application de la loi. Comme beaucoup de projets de loi similaires, le C-22 stipule que les entreprises ne seront pas tenues d’introduire une « vulnérabilité systémique » dans leurs systèmes. Mais les opposants ont souligné que toute possibilité d’accéder à des données cryptées de bout en bout équivaut à une porte dérobée qui pourrait être découverte et exploitée par n’importe qui. Et ce risque est encore accru par la facilité avec laquelle n’importe qui peut désormais utiliser les outils d’IA pour l’ingénierie inverse et la cartographie des systèmes.
« Il pourrait être demandé aux entreprises d’introduire des vulnérabilités, de créer des portes dérobées, de contourner, d’affaiblir ou de vaincre le chiffrement », ont déclaré des membres du comité judiciaire et des affaires étrangères de la Chambre des représentants des États-Unis dans une lettre adressée en mai aux responsables canadiens.
Outre les impacts potentiels sur le cryptage, le C-22 comprend également des dispositions qui pourraient obliger les entreprises à conserver des métadonnées sur l’activité des utilisateurs, ce que de nombreux services axés sur la confidentialité (y compris les services VPN de Psiphon et DuckDuckGo) évitent intentionnellement. En conséquence, affirment ces entreprises, elles seraient obligées de modifier leurs modèles économiques pour collecter des données dont elles n’ont pas besoin ou ne souhaitent pas collecter sur leurs utilisateurs. Et les chercheurs affirment que de tels changements de produits diminueraient la confiance des utilisateurs tout en augmentant le potentiel d’une surveillance généralisée.
« Si vous demandez et exigez ce changement d’infrastructure – qu’ils conservent les métadonnées par défaut –, vous créez une capacité de surveillance au sein d’un outil qui ne l’avait pas », explique Afsaneh Rigot, fondatrice du De|Center, un organisme de recherche qui vise à réduire le risque de dommages technologiques. “Il y a des contextes comme l’Iran et d’autres contextes mondiaux, sur lesquels tout cela a un effet d’entraînement. Cela ne va pas rester au Canada parce que ce type de lois est toujours copié-collé partout dans le monde.”
Alors que de plus en plus de pays envisagent de telles lois, les développeurs axés sur la protection de la vie privée et les outils anti-censure recherchent de plus en plus de juridictions sûres dans lesquelles opérer. Mais cela ne résout toujours pas le problème d’atteindre les utilisateurs dans tous les pays du monde et pour l’instant, il n’y a pas de valeur sûre.
« Changer de siège social n’est pas vraiment un plan B lorsque la loi suit vos utilisateurs, comme le ferait le C-22 », déclare Joseph Lorenzo-Hall, responsable du portefeuille de sécurité à l’Internet Society. “La protection la plus solide consiste à détenir le moins de données utilisateur possible, mais “nous ne les avons pas” ne constitue pas une défense si les gouvernements peuvent vous forcer à commencer à les collecter. Un refuge a besoin de plus que de vents favorables dans un cryptage fort. Il a besoin de lois qui permettent aux entreprises de tenir leurs promesses en matière de confidentialité et de les défendre contre les menaces étrangères à la confidentialité et à l’intégrité. “
Vous avez repéré quelque chose que nous devrions inclure la semaine prochaine ? Faites-le-nous savoir à [email protected]. Et restez en sécurité là-bas.
