Il existe une attente raisonnable au respect de la vie privée à l’égard d’une adresse IP; une demande d’adresse IP faite par l’État constitue donc une fouille

R. c. Bykovets, 2024 CSC 6

Lien vers la décision

[1]                             Internet a grandement modifié l’expérience humaine, qui est passée des espaces physiques au cyberespace. Il en est venu à englober des places publiques, des bibliothèques, des marchés, des banques, des cinémas et des salles de concert, étant devenu l’objet culturel le plus vaste créé par notre espèce. Tout comme notre centre commercial et notre hôtel de ville, Internet est devenu pour bon nombre d’entre nous un fidèle compagnon, par l’entremise duquel nous confions nos espoirs, nos aspirations et nos craintes. Les gens utilisent Internet non pas seulement pour trouver des recettes, payer des factures ou se faire indiquer le chemin à prendre, mais aussi pour explorer leur sexualité, planifier leur avenir et trouver l’amour.

[2]                             Ces nouvelles réalités ont forcé les tribunaux à se colleter avec « une multitude de questions inédites et épineuses à l’égard de la protection de la vie privée » (R. c. Spencer, 2014 CSC 43, [2014] 2 R.C.S. 212, par. 1). Dans Spencer, notre Cour a jugé qu’une attente raisonnable au respect de la vie privée s’applique aux renseignements relatifs à l’abonné — les nom, adresse et coordonnées — associés à l’adresse de protocole Internet (IP) d’une personne. Une demande de l’État en vue d’obtenir ces renseignements constitue une « fouille » ou « perquisition » au sens de l’art. 8 de la Charte canadienne des droits et libertés.

[3]                             Le présent pourvoi porte sur la question de savoir si une adresse IP elle‑même suscite une attente raisonnable au respect de la vie privée. La réponse doit être affirmative.

[4]                             Une adresse IP est un numéro d’identification unique. De telles adresses identifient une activité connectée à Internet et permettent le transfert d’information d’une source à une autre. Elles sont nécessaires pour accéder à Internet. Une adresse IP identifie la source de toute activité en ligne et relie cette activité (au moyen d’un modem) à un endroit donné. De plus, le fournisseur de services Internet (FSI) conserve les renseignements relatifs à l’abonné qui se rattachent à chaque adresse IP.

[5]                             Cependant, comme les adresses IP sont composées de chiffres que le FSI peut habituellement changer sans préavis, la Couronne fait valoir — et les juges majoritaires de la Cour d’appel sont aussi de cet avis — qu’une adresse IP ne suscite pas une attente raisonnable au respect de la vie privée. En l’espèce, la Couronne soutient que la police ne recherchait rien de plus que l’ensemble de chiffres qui lui permettrait ultimement d’obtenir l’ordonnance de communication envisagée par l’arrêt Spencer. Par conséquent, la Couronne estime que l’État n’a pas porté atteinte au droit de l’appelant au respect de sa vie privée parce que l’arrêt Spencer protégeait suffisamment ses renseignements personnels.

[6]                             Soit dit en tout respect, je ne suis pas d’accord. Cette analyse est contraire à la jurisprudence de notre Cour concernant l’art. 8 de la Charte. Nous n’avons jamais abordé la question du respect de la vie privée fragment par fragment, en fonction de l’intention déclarée de la police d’utiliser d’une seule façon les renseignements qu’elle recueille. Le droit à la protection contre les fouilles, les perquisitions et les saisies abusives, comme tous les droits garantis par la Charte, doit recevoir une interprétation large et téléologique, qui reflète son origine constitutionnelle. Depuis l’arrêt Hunter c. Southam Inc., 1984 CanLII 33 (CSC), [1984] 2 R.C.S. 145, nous avons conclu que l’art. 8 vise à empêcher les violations de la vie privée, plutôt qu’à condamner ou à admettre des violations eu égard à l’utilisation que fait ultimement l’État de ces renseignements. Le droit à la vie privée, une fois qu’il y a été porté atteinte, ne peut pas être rétabli.

[7]                             À cette fin, notre Cour a appliqué un critère normatif aux attentes raisonnables au respect de la vie privée. Nous avons défini l’art. 8 sous l’angle de ce que devrait être le droit à la vie privée — dans une société libre, démocratique et ouverte — en mettant en balance le droit d’une personne de ne pas être importunée et l’insistance que met la collectivité sur la protection. Ce critère normatif exige que nous appliquions une approche large et fonctionnelle à l’objet de la fouille, et que nous nous concentrions sur le risque qu’elle révèle des renseignements d’ordre personnel ou biographique (R. c. Marakah, 2017 CSC 59, [2017] 2 R.C.S. 608, par. 32).

[8]                             L’intimité informationnelle est une question particulièrement cruciale — et particulièrement difficile. Notre jurisprudence reconnaît que les ordinateurs sont uniques et présentent des risques en matière de vie privée qui diffèrent des risques traditionnellement visés par l’art. 8. La Cour a donc jugé que l’art. 8 empêche généralement la police de saisir un ordinateur sans mandat — même si l’appareil lui‑même ne fournit aucun renseignement en l’absence d’une autorisation judiciaire de fouiller son contenu — parce que la saisie de l’ordinateur donne à l’État le moyen d’obtenir accès à son contenu (R. c. Reeves, 2018 CSC 56, [2018] 3 R.C.S. 531, par. 34).

[9]                             Considérer l’objet de la présente fouille comme une chaîne abstraite de chiffres utilisée uniquement pour obtenir un mandat de type Spencer va à l’encontre de ces précédents. Les adresses IP ne sont pas simplement des numéros dénués de sens. En tant que lien qui relie une activité Internet à un endroit donné, les adresses IP sont plutôt susceptibles de révéler des renseignements très personnels — y compris l’identité de l’utilisateur de l’appareil — sans jamais faire naître l’obligation d’un mandat. L’activité en ligne précise associée à la fouille effectuée par l’État peut elle‑même tendre à révéler des renseignements très privés. Lorsqu’elle est mise en corrélation avec d’autres renseignements en ligne qui y sont associés, comme ceux que fournissent de leur plein gré des sociétés privées ou que recueille autrement l’État, une adresse IP peut révéler un éventail d’activités en ligne très personnelles. De plus, lorsqu’elle est associée aux profils créés et conservés par des tiers du secteur privé, les risques en matière de vie privée liés aux adresses IP augmentent de façon exponentielle. L’information que recueillent, agrègent et analysent ces tiers leur permet de répertorier nos renseignements biographiques les plus intimes. Considérée de manière normative et dans son contexte, une adresse IP est le premier fragment numérique qui peut mener l’État sur la trace de l’activité Internet d’une personne. Elle est susceptible de révéler des renseignements personnels bien avant qu’un mandat de type Spencer ne soit sollicité.

[10]                        De plus, Internet a concentré cette masse d’information auprès de tiers du secteur privé dont les activités ne tombent pas sous le coup de la Charte. Ainsi, Internet a fondamentalement modifié la topographie de l’intimité informationnelle sous le régime de la Charte en introduisant des tiers médiateurs entre la personne et l’État — des médiateurs qui ne sont pas eux‑mêmes assujettis à la Charte. Des sociétés privées répondent à des demandes fréquentes des forces de l’ordre et peuvent fournir de leur plein gré toute l’activité associée à l’adresse IP demandée. Des entreprises citoyennes privées peuvent fournir de leur plein gré des profils granulaires de l’activité Internet d’un utilisateur individuel pendant des jours, des semaines ou des mois sans jamais tomber sous le coup de la Charte. Cette information peut toucher au cœur de l’ensemble des renseignements biographique d’un utilisateur et peut ultimement être reliée à l’identité d’un utilisateur, avec ou sans un mandat de type Spencer. Il s’agit d’une atteinte très grave à la vie privée.

[11]                        L’intérêt légitime de la société au respect de la vie privée entre en balance avec son intérêt légitime dans « [l]a répression du crime et la sécurité » (R. c. Tessling, 2004 CSC 67, [2004] 3 R.C.S. 432, par. 17). Bien que le droit de ne pas être importuné doive suivre l’évolution technologique, la manière de commettre un crime et d’enquêter sur celui‑ci évolue également. La facilité d’accès à Internet et l’anonymat de l’utilisateur se conjuguent pour faciliter la perpétration d’un crime et mettent à rude épreuve l’application efficace de la loi. Il est clair que la nature particulièrement insidieuse d’un grand nombre de cybercrimes, y compris la pornographie juvénile et le leurre d’enfant, pose un préjudice social grave et urgent. La police doit disposer des outils nécessaires pour enquêter sur ces crimes. De plus, lorsqu’une adresse IP (ou l’information relative à l’abonné) est clairement liée à un crime — comme elle peut manifestement l’être dans le cas de la pornographie juvénile ou du leurre d’enfant —, une autorisation judiciaire préalable est facile à obtenir. Une ordonnance de communication d’une adresse IP exigerait peu de renseignements de plus que ce que la police doit déjà fournir pour obtenir un mandat de type Spencer. Tant l’intérêt de la société à l’application efficace de la loi que son intérêt à la protection des droits à l’intimité informationnelle de tous les Canadiens et les Canadiennes doivent être respectés et mis en balance.

[12]                        Tout bien pesé, le fardeau qu’impose à l’État le fait de reconnaître une attente raisonnable au respect de la vie privée à l’égard des adresses IP n’est pas lourd. Cette reconnaissance ajoute une autre étape aux enquêtes criminelles en exigeant que l’État démontre l’existence de motifs pour porter atteinte à la vie privée en ligne. Cependant, à l’ère des télémandats, cet obstacle est facilement surmonté lorsque la police recherche l’adresse IP dans le cadre de l’enquête sur une infraction criminelle. La protection conférée par l’art. 8 laisserait la police suivre une activité Internet liée à ses objectifs d’application de la loi tout en l’empêchant de demander librement l’adresse IP associée à une activité en ligne non liée à l’enquête. La surveillance judiciaire enlèverait également aux sociétés privées le pouvoir de décider s’il convient de révéler des renseignements — et en quelle quantité — et renverrait la question au champ d’application de la Charte.

[13]                        En tant qu’élément inhérent crucial dans la structure d’Internet, une adresse IP est la clé susceptible de guider l’État dans le labyrinthe de l’activité Internet d’un utilisateur ainsi que le lien par lequel des intermédiaires peuvent fournir de leur plein gré à l’État des renseignements relatifs à cet utilisateur. Par conséquent, l’art. 8 devrait protéger les adresses IP. Cela aurait pour effet de préserver le premier « fragment numérique » et d’obscurcir la trace du parcours d’un internaute dans le cyberespace; cela aurait également pour effet de favoriser la réalisation de l’objectif de l’art. 8 consistant à empêcher les possibles atteintes à la vie privée plutôt que de circonscrire sa portée suivant les intentions déclarées de l’État quant à la manière dont il utilisera cette clé.

[14]                        Je suis d’avis d’accueillir le pourvoi. Il existe une attente raisonnable au respect de la vie privée à l’égard d’une adresse IP. Une demande d’adresse IP faite par l’État constitue une fouille.