Droit de l'information :

Votre fournisseur Internet est-il discret ?

Sébastien Lapointe, avocat

---

Les récents sondages révèlent que près des deux tiers des Canadiens accèdent au réseau Internet de façon plus ou moins régulière. Que ce soit à la maison ou au travail, il y a fort à parier que vous interagissez directement chaque jour avec au moins un fournisseur de services Internet (ou « FSI »).

Malgré l'omniprésence des FSI dans nos vies, nous connaissons encore mal les standards auxquels ils sont tenus, notamment quant à la discrétion dont ils devraient (ou non) faire preuve.

Qu'est-ce qu'un FSI?

À la base, un FSI est une entreprise qui possède au moins un serveur branché « directement » au réseau Internet, dont elle peut choisir de faire bénéficier des usagers-clients. Dès lors, lorsque l'usager désire interagir avec Internet, son ordinateur entre en communication avec le serveur du FSI qui agit comme intermédiaire. Le FSI est donc parfaitement bien placé pour connaître ce que font ses usagers sur Internet.

En un sens, le FSI demeure un simple fournisseur de services par l'entremise duquel on transige afin d'obtenir une prestation. Lorsque vous expédiez un courriel, vous remettez en fait celui-ci au serveur de votre FSI, qui achemine la missive vers le serveur de courriel du destinataire, via Internet. Le FSI agit ainsi en tant qu'intermédiaire technologique.

D'un autre côté, le FSI se démarque des autres types de fournisseurs de par la nature très particulière des services offerts. Après tout, ne croyez-vous pas que votre FSI doive faire preuve d'une certaine discrétion quant à ce qu'il connaît de votre utilisation de l'Internet?

Précisons que la catégorie des FSI inclut en fait toute une gamme d'entreprises : des multinationales en télécommunications aux petits entrepreneurs spécialistes, en passant par des entreprises de TI offrant accessoirement des services Internet.

La protection de l'usager

Considérant la grande quantité d'informations à laquelle a accès le FSI quant à ses usagers, il apparaît pertinent de se demander dans quelle mesure celui-ci doit se montrer discret, d'autant plus que de nombreux utilisateurs de la toile font aujourd'hui transiter plus d'information par leur FSI que par Poste Canada, leur fournisseur de service téléphonique et leur banque réunis!

La source première d'obligation du FSI se situera le plus souvent dans le contrat (habituellement d'adhésion) le liant à chaque client. Mais quelles sont les sources d'obligations additionnelles du FSI lorsque l'entente s'avère muette quant à la question de la discrétion dont il devrait faire preuve? D'ailleurs, précisons que le contrat du FSI lui permettra souvent expressément de divulguer les renseignements nécessaires pour se protéger ou protéger des tiers.

Le C.c.Q. et la Charte des droits et libertés de la personne confèrent à tous le droit au respect de leur vie privée, ce qui s'applique, en théorie, au FSI, pour peu que l'on s'entende sur ce qu'englobe, en pratique, le concept de vie privée. Cette question s'avère particulièrement problématique, étant donné le degré relativement faible d'anonymat et de sécurité généralement offert par Internet.

Avant, la jurisprudence permettait la divulgation de renseignements qui ne révélaient pas de détails quant au mode de vie et aux choix personnels des usagers d'entreprises privées (R. c. Plant, (1993) 3 R.C.S. 281).

Depuis, les législations provinciale et fédérale interdisant généralement la divulgation des « renseignements personnels », à moins, par exemple, d'une preuve que l'agence gouvernementale qui demande l'accès aux renseignements possède le droit d'obtenir ces renseignements.

Il n'est cependant pas clair quels renseignements détenus par les FSI sont réellement visés par cette législation. Si votre nom et vos coordonnées « physiques » le sont habituellement, votre adresse de courriel, votre adresse I.P. ou les sites que vous visitez le sont-ils pour autant? Et qu'en est-il des renseignements sur l'utilisation de l'Internet des employés d'entreprises clientes du FSI?

Le Code criminel canadien fournit lui aussi certaines balises, interdisant notamment l'interception des communications privées d'autrui. Néanmoins, l'application de ces dispositions aux communications électroniques s'avère problématique. À titre d'exemple, l'émetteur d'un courriel peut-il raisonnablement s'attendre à ce que celui-ci ne soit pas intercepté par un tiers malgré le fait que l'envoi implique l'utilisation des serveurs d'un nombre incalculable de FSI?

Bien que la Loi concernant le cadre juridique des technologies de l'information vise à assurer la sécurité juridique des communications, cette loi de 2001 contient peu de dispositions touchant la responsabilité du FSI face à ses propres clients. Le FSI, en tant qu'intermédiaire technologique, possède l'obligation de protéger les documents confidentiels de ses usagers, mais devra les communiquer aux forces de l'ordre si une infraction est commise. La question demeure quant à la possibilité pour un FSI de révéler, par exemple, l'identité d'un usager à un tiers, sur simple demande ou sur présentation d'un subpœna.

Cette question se pose d'ailleurs de plus en plus souvent, notamment dans le cadre de litiges où l'on tente d'obtenir (par subpœna) qu'un FSI révèle l'identité réelle d'un usager dont l'on ne connaît que le pseudonyme. À défaut d'un mandat de perquisition, il demeure pour l'instant difficile de cerner les types de renseignements qu'un FSI pourra volontairement révéler; question particulièrement difficile lorsque l'on constate la faible sensibilité de certains renseignements en sa possession.

D'ailleurs, il semble qu'en pratique, de nombreux FSI préfèrent obtempérer plutôt que de combattre un subpœna, même d'une validité douteuse.

La jurisprudence

Étant donné la nouveauté relative de l'Internet et de la législation en fait de renseignements personnels, il existe encore peu de jurisprudence délimitant l'obligation de discrétion du FSI.

C'est aux dispositions du contrat et au droit commun auxquelles on devra se référer pour connaître les règles régissant le comportement d'un FSI. Évidemment, cette situation comporte une certaine incertitude pour les justiciables. Comme c'est souvent le cas lorsque l'on s'adresse aux tribunaux dans un cas touchant les TI, les résultats obtenus pourront surprendre!

La Cour du Québec rendait récemment, dans l'affaire Chayer c. Groupe Arobas inc. (500-220068210-023), une décision qui cadre avec cette tendance. Dans ce jugement, rendu à Montréal le 13 décembre dernier, la Cour du Québec a refusé d'ordonner au FSI de compenser son client pour les dommages subis, même après que le fournisseur ait admis avoir communiqué à un tiers le code d'usager, le mot de passe du client et son adresse I.P. statique, et ce, sans même qu'un subpœna ne lui soit présenté! Notons que malgré les dommages importants causés au site Web de l'usager dans cette affaire, il semble que le manque de preuve quant à l'étendue des dommages subis par l'usager ait pu jouer un certain rôle dans la décision du juge.

Il vaut donc mieux garder à l'esprit qu'un FSI demeure un fournisseur de services comme les autres, à l'encontre duquel on fera bien de se protéger adéquatement, que ce soit par des moyens techniques (notamment le chiffrement) et juridiques, ou encore en documentant soigneusement tout dommage subi par ce que l'on croit être sa faute. Caveat emptor?

Pour en savoir plus :

Version annotée de la Loi concernant le cadre juridique des technologies de l'information : http://www.autoroute.gouv.qc.ca/loi_en_ligne/loi/texteloi.html

Document du gouvernement fédéral traitant (entre autres) de l'accès aux renseignements détenus par les FSI:http://canada.justice.gc.ca/fr/cons/la_al/

Section du site de la Faculté de droit de Stanford, traitant de cas de subpœnas expédiés à des FSI : http://www.chillingeffects.org/johndoe/notice.cgi?NoticeID=30

 

Retour au haut de la page

© Barreau du Québec 1996-2012