Le 1er mars 2024, la Cour suprême du Canada a rendu sa décision dans l’affaire R. c. Bykovets et conclu que les adresses IP suscitent une attente raisonnable au respect de la vie privée. Par conséquent, les sociétés devraient noter qu’elles n’ont aucune obligation légale de fournir les adresses IP de leurs clients à la police en l’absence d’un mandat en bonne et due forme.
Une adresse IP est un numéro d’identification unique qui identifie la source de toute activité en ligne et relie cette activité à un endroit donné.
Dans cette décision, le Service de police de Calgary enquêtait sur des achats en ligne frauduleux effectués auprès d’un magasin de vins et spiritueux. Au cours de l’enquête, la police a communiqué avec la société tierce de traitement des paiements, Moneris, à qui elle a demandé de lui fournir les adresses IP des abonnés qui avaient effectué ces achats frauduleux. Moneris a fourni les adresses IP demandées et la police a pu retracer Bykovets grâce à une ordonnance de communication obligeant le fournisseur de services de télécommunication à lui révéler les noms et adresses des abonnés.
Le suspect, Bykovets, a déposé une plainte en vertu de l’article 8 de la Charte, qui prévoit un droit à la protection contre les fouilles, les perquisitions et les saisies abusives. Pour revendiquer la protection garantie par l’article 8 de la Charte, le demandeur doit déterminer l’objet de la fouille, avoir un intérêt direct à l’égard de l’objet et démontrer que le demandeur avait une attente subjective et objective raisonnable au respect de sa vie privée relativement à l’objet.
La Cour du Banc de la Reine de l’Alberta et la Cour d’appel de l’Alberta ont toutes deux déterminé que la demande présentée à Moneris par la police ne constituait pas une fouille au sens de l’article 8 de la Charte, car l’adresse IP d’un internaute n’est pas assortie d’une attente raisonnable au respect de la vie privée étant donné que les adresses IP ne peuvent à elles seules révéler des renseignements sur le mode de vie d’une personne ou des renseignements biographiques essentiels. La juge Veldhuis de la Cour d’appel de l’Alberta, dissidente, a fait remarquer que la police ne cherchait pas uniquement à obtenir une adresse IP, mais plutôt des renseignements que l’adresse IP pouvait révéler sur un internaute précis. M. Bykovets a porté sa cause en appel devant la CSC.
Décision de la CSC
La CSC a annulé la décision de première instance et la décision d’appel, et s’est rangée du côté de la juge Veldhuis, dissidente. Ce faisant, la Cour a indiqué qu’une adresse IP est « la clé susceptible de guider l’État dans le labyrinthe de l’activité Internet d’un utilisateur » et le « premier fragment numérique qui peut mener l’État sur la trace de l’activité Internet d’une personne ». Par ailleurs, la Cour a souligné la nécessité d’examiner l’attente de l’utilisateur au respect de sa vie privée « à l’égard de tous les renseignements que cette adresse IP “tend à révéler” ».
Plus particulièrement, la Cour a estimé qu’une adresse IP n’est pas simplement une chaîne abstraite de chiffres servant à obtenir un mandat à l’encontre d’un fournisseur de services Internet; elle permet également de communiquer des renseignements personnels sur l’utilisateur, notamment l’endroit précis où il se trouve, ainsi que sur diverses activités en ligne très personnelles, telles que ses achats, les destinations qu’il visite ou ses préférences politiques. Ces renseignements ne sont pas protégés par un mandat de type Spencer (un mandat que la police doit obtenir avant de demander à un fournisseur de services Internet de révéler l’identité d’un utilisateur précis associé à une adresse IP). Parmi d’autres facteurs, la Cour a également souligné le fait que le fardeau que représente la nécessité d’obtenir un mandat pour accéder à une adresse IP n’est pas lourd. La protection garantie par l’article 8 empêche simplement la police d’accéder aux activités en ligne d’un utilisateur qui ne sont pas liées à l’enquête.
La juge Côté s’est dit en désaccord avec cette décision, déclarant que l’objet de la fouille était l’adresse IP et l’identité du fournisseur de services Internet qui y était associé, et non l’identité de l’internaute lié à l’adresse IP en question. Par ailleurs, la juge Côté a déclaré que les adresses IP n’étaient pas privées et ne révélaient aucun renseignement privé, et qu’elles devaient être combinées à d’autres renseignements pour fournir des renseignements sensibles et personnels. La juge Côté a souligné que l’analyse de l’article 8 était contextuelle et qu’elle n’excluait pas la possibilité qu’une personne puisse avoir une attente raisonnable au respect de sa vie privée à l’égard des adresses IP sur le fondement de faits différents.
Cette décision restreint les pouvoirs de surveillance du gouvernement dans un monde de plus en plus numérique. Il peut être rassurant pour les particuliers d’apprendre que même si leurs activités en ligne sont de plus en plus surveillées à leur insu par des entités privées, la police ne peut pas obtenir ces renseignements sans mandat. Les fournisseurs de services Internet et autres entreprises devraient savoir qu’ils n’ont aucune obligation légale de fournir les adresses IP de leurs clients à la police sans que cette dernière obtienne d’abord un mandat en bonne et due forme.
Si vous avez des questions ou des préoccupations, n’hésitez pas à communiquer avec un membre de l’équipe Protection de la vie privée et cybersécurité de Miller Thomson.
