Cybersécurité Une étude critique le projet de loi fédéral

(Ottawa) Une étude soutient que le projet de loi sur la cybersécurité est si imparfait qu’il permettrait à des gouvernements autoritaires dans le monde de le citer pour justifier leurs propres lois répressives.

L’étude du professeur Christopher Parsons, du « Citizen Lab » de l’Université de Toronto, formule 29 recommandations pour renforcer la transparence et la responsabilisation des mesures proposées en juin par le gouvernement libéral dans son projet de loi.

Ottawa veut établir un cadre afin de mieux protéger les systèmes qui sont vitaux pour la sécurité nationale, et offrir aux autorités de nouveaux outils pour répondre aux dangers émergents dans le cyberespace.

En vertu du projet de loi C-26, les entreprises clés des secteurs des banques et des télécommunications seraient tenues d’améliorer leur cybersécurité et de signaler les attaques numériques, sous peine de sanctions.

Le projet de loi propose de donner aux autorités la capacité d’appliquer certaines mesures fédérales, par le biais de pouvoirs de vérification et d’amendes, et il y aurait même des sanctions criminelles en cas de non-conformité.

L’étude du professeur Parsons conclut que les pouvoirs recherchés par Ottawa ne sont pas suffisamment circonscrits, sont assortis de clauses de confidentialité trop larges, et limiteraient potentiellement la capacité des entreprises privées à contester les requêtes, les ordonnances ou les règlements émis par le gouvernement.

Le chercheur décrit un scénario dans lequel le régulateur fédéral de la radiodiffusion (le CRTC) pourrait rédiger un ensemble de lois, publiques, par le biais de ses décisions, tandis qu’une « sorte de loi secrète », par le biais d’ordonnances et de réglementations gouvernementales, guiderait en fait le comportement des fournisseurs de télécommunications en matière de cybersécurité.

Le professeur Parsons soutient que les pouvoirs proposés dans le projet de loi C-26 doivent être réduits à certains endroits, que les clauses essentielles et la terminologie doivent être mieux définies, et que les exigences de responsabilité et de transparence doivent être « saupoudrées généreusement » dans une version modifiée.

« Si le gouvernement refuse de modifier de manière significative son projet de loi et de se rendre à la fois plus responsable et transparent envers les fournisseurs de télécommunications et le public, il adoptera une mauvaise loi », conclut le chercheur.

« Des gouvernements autoritaires pourraient citer en exemple ce projet de loi C-26 pour justifier leur propre loi de’sécurité’irresponsable, secrète et répressive. »

Un appel au ministre

Le professeur Parsons, associé de recherche principal au « Citizen Lab », qui se concentre sur les technologies de communication, les droits de la personne et la sécurité mondiale, faisait partie de plusieurs individus et organismes qui ont écrit une lettre ouverte conjointe au ministre de la Sécurité publique, Marco Mendicino, le mois dernier, pour exprimer leur inquiétude au sujet du projet de loi.

M. Parsons soutient que le gouvernement doit aux citoyens et aux entreprises d’expliquer pourquoi il veut s’abroger de nouveaux pouvoirs, et de préciser les justifications sous-jacentes au dépôt de ce projet de loi.

Le chercheur recommande notamment que :

• les décrets et arrêtés ministériels pris pour sécuriser le système de télécommunications soient nécessaires, équilibrés et raisonnables ;
• les arrêtés soient publiés dans la Gazette du Canada dans les 180 jours suivant leur émission ou dans les 90 jours suivant la mise en œuvre d’un arrêté ;
• le ministre soit tenu de déposer un rapport annuel sur les arrêtés émis ;
• le gouvernement explique comment il utilisera les informations des fournisseurs de télécommunications et précise les agences auxquelles les informations peuvent être divulguées ;
• une aide soit offerte si le gouvernement gère mal des informations confidentielles ou personnelles ;
• des périodes soient définies pendant lesquelles le gouvernement peut conserver les données des fournisseurs de télécommunications.

Les coûts associés au respect des ordonnances gouvernementales pourraient par ailleurs affecter considérablement les fournisseurs de télécommunications, jusqu’au risque que certaines entreprises ne soient pas en mesure de continuer à fournir des services à tous leurs clients, prévient aussi le rapport.

Afin d’améliorer la surveillance indépendante, le gouvernement devrait préciser les rôles que joueraient le commissaire fédéral à la protection de la vie privée, le Comité des parlementaires sur la sécurité nationale et le renseignement, et l’Office de surveillance des activités en matière de sécurité nationale et de renseignement, aux différentes étapes du processus d’élaboration d’ordonnances ou de règlements, selon le rapport.

« La sécurité peut et doit être alignée sur les principes démocratiques du Canada, écrit M. Parsons. Il appartient maintenant au gouvernement de modifier son projet de loi en conséquence. »