Savez-vous ce qu’est le Patriot Act? C’est une loi qui a été créé après les attentats terroristes du 11 septembre 2011 aux États-Unis pour outiller les forces policières à contrer un événement similaire dans le futur. Le Patriot Act est l’argument principal pour décourager toute entreprise canadienne à adhérer auxservices informatiques dans les nuages. Toutefois, en faisant des recherches, j’ai constaté qu’onvéhicule beaucoup de demi vérités, voire même des faussetés à ce sujet.

J’ai fait examiner la loi canadienne par mon avocate pour en avoir le coeur net. L’idée, sans cessevéhiculée que c’est plus dangereux d’héberger ses données aux États-Unis plutôt qu’au Canada,manque de nuance et me parait un peu sensationnaliste.

La loi antiterroriste canadienne et les mandats de perquisition

Les articles 83.28 et 83.29 du Code criminel canadien spécifient que, sur consentement d’un procureur général, un agent de la paix peut demander à un juge une ordonnance autorisant la recherche de renseignements dans le cadre d’une enquête relative à une infraction pour terrorisme.

Le juge émettra une ordonnance s’il constate qu’il existe des motifs raisonnables de croire qu’une infraction de ce type a été, ou sera commise, et que ces renseignements seront essentiels au déroulement de l’enquête. Ce type de demande se fait en l’absence de la personne concernée (requête ex parte). C’est un processus normal en droit criminel, car on veut éviter que le suspect détruise éventuellement des preuves avant l’émission du mandat. Selon les recherches que j’ai effectuées, l’article d’investigation (83.28) a été appliqué au moins une fois dans le cadre de l’enquête sur Air India.

Les États-Unis : le bar ouvert des mandats de perquisition?

Le même processus existe aux États-Unis, à une exception près. Les enquêteurs policiers peuvent effectuer la perquisition et faire la demande du mandat après le fait. Ceci ne leur donne pas forcément le droit de fouiller n’importe qui ou n’importe quoi à leur convenance. Tout comme le Canada, les États-Unis sont un pays de droits où les citoyens sont protégés par des lois. Comme au Canada, vous devez être suspecté d’activité terroriste. La très grande majorité de la société civile et la quasi-totalité des entreprises ne font pas dans le terrorisme. C’est le cas pour ma clientèle, alors ils ne devraient pas s’en préoccuper.

Me David Fraser, que j’ai cité dans un billet précédent, affirme que ce pouvoir de faire des perquisitions dites « sneak and peek » existe aussi dans la loi canadienne. Je n’ai toutefois pas été capable de contrevérifier ce fait.

Est-ce confidentiel malgré tout?

La confidentialité est assurée par la grande majorité des fournisseurs de type « cloud » . Toutefois, cet engagement n’empêchera pas les forces policières d’effectuer des fouilles lorsqu’il y a soupçon d’activité criminelle. Si votre entreprise fait l’objet d’un mandat de perquisition, vous n’aurez pas le droit cacher des informations aux enquêteurs. Les engagements de confidentialité entre vous et le fournisseur en nuage, et celles entre vous et vos clients, ne s’appliqueront pas lors de cette éventualité. C’est d’ailleurs le même processus qui prévaut lorsque le fisc décide de vérifier vos états de compte !

L’opinion du commissionnaire à la vie privée du Canada

Le commissionnaire à la vie privée du Canada a rendu une opinion suite à une plainte de 2 utilisateurs du service de courriel de canada.com. L’entreprise avait l’intention d’impartir ce service aux États-Unis. Voici un passage éloquent qui démontre que les lois américaines sont pratiquement identiques à celles du Canada :

Le risque qu’un fournisseur de services situé aux États-Unis doive communiquer des renseignements personnels aux autorités américaines n’est pas propre aux organisations américaines. Dans le contexte de la sécurité nationale et des mesures antiterroristes, les organisations canadiennes sont sujettes au même genre d’ordonnance de communiquer des renseignements personnels de Canadiens et de Canadiennes aux autorités canadiennes, et pourraient être aussi susceptibles d’en recevoir. Plusieurs ententes bilatérales officielles entre des organisations canadiennes et américaines analogues ont également été mises en place afin de prévoir une coopération et un échange de renseignements pertinents.

via Résumé de conclusions d’enquête en vertu de la LPRPDE no 2008-394

Respectez la loi

En résumé, si vous respectez la loi, le Patriot Act ne devrait pas être un enjeu dans votre analyse de risque quand vous évaluez un service informatique en nuage.