R. c. Bykovets, 2022 ABCA 2082024 CSC 6 (40269)

«Au cours d’une enquête sur des achats en ligne frauduleux effectués auprès d’un magasin de vins et spiritueux, la police a communiqué avec une société tierce de traitement qui gérait les ventes en ligne du magasin et a obtenu les adresses IP utilisées pour les achats. La police a par la suite obtenu une ordonnance de communication obligeant le fournisseur de services Internet (« FSI ») à révéler le nom et l’adresse du client pour chaque adresse IP. La police a utilisé ces renseignements relatifs à l’abonné pour solliciter et exécuter des mandats de perquisition. B a été arrêté.

B a contesté la demande de la police à la société de traitement en vue d’obtenir les adresses IP, alléguant que celle‑ci avait violé son droit à la protection contre les fouilles, les perquisitions et les saisies abusives garanti par l’art. 8 de la Charte. La juge du procès a conclu que la demande faite par la police à la société de traitement ne constituait pas une fouille au sens de l’art. 8 de la Charte parce que B n’avait pas une attente raisonnable au respect de sa vie privée à l’égard de son adresse IP; le droit garanti à B par l’art. 8 n’entrait donc pas en jeu. B a été déclaré coupable de 14 infractions liées aux achats en ligne frauduleux. Les juges majoritaires de la Cour d’appel ont convenu que B n’avait aucune attente raisonnable au respect de sa vie privée à l’égard de ses adresses IP et ont rejeté l’appel interjeté par B contre ses déclarations de culpabilité. La juge dissidente aurait accueilli l’appel au motif qu’une attente raisonnable au respect de la vie privée s’appliquait aux adresses IP.»

La Cour suprême du Canada dit que le pourvoi est accueilli et un nouveau procès est ordonné.

La juge Karakatsanis écrit comme suit (aux paragraphes 3-13, 47, 60-70, 76-77, 86, 88-89, 91):

«Le présent pourvoi porte sur la question de savoir si une adresse IP elle‑même suscite une attente raisonnable au respect de la vie privée. La réponse doit être affirmative.

Une adresse IP est un numéro d’identification unique. De telles adresses identifient une activité connectée à Internet et permettent le transfert d’information d’une source à une autre. Elles sont nécessaires pour accéder à Internet. Une adresse IP identifie la source de toute activité en ligne et relie cette activité (au moyen d’un modem) à un endroit donné. De plus, le fournisseur de services Internet (FSI) conserve les renseignements relatifs à l’abonné qui se rattachent à chaque adresse IP.

Cependant, comme les adresses IP sont composées de chiffres que le FSI peut habituellement changer sans préavis, la Couronne fait valoir — et les juges majoritaires de la Cour d’appel sont aussi de cet avis — qu’une adresse IP ne suscite pas une attente raisonnable au respect de la vie privée. En l’espèce, la Couronne soutient que la police ne recherchait rien de plus que l’ensemble de chiffres qui lui permettrait ultimement d’obtenir l’ordonnance de communication envisagée par l’arrêt Spencer. Par conséquent, la Couronne estime que l’État n’a pas porté atteinte au droit de l’appelant au respect de sa vie privée parce que l’arrêt Spencer protégeait suffisamment ses renseignements personnels.

Soit dit en tout respect, je ne suis pas d’accord. Cette analyse est contraire à la jurisprudence de notre Cour concernant l’art. 8 de la Charte. Nous n’avons jamais abordé la question du respect de la vie privée fragment par fragment, en fonction de l’intention déclarée de la police d’utiliser d’une seule façon les renseignements qu’elle recueille. Le droit à la protection contre les fouilles, les perquisitions et les saisies abusives, comme tous les droits garantis par la Charte, doit recevoir une interprétation large et téléologique, qui reflète son origine constitutionnelle. Depuis l’arrêt Hunter c. Southam Inc., [1984] 2 R.C.S. 145, nous avons conclu que l’art. 8 vise à empêcher les violations de la vie privée, plutôt qu’à condamner ou à admettre des violations eu égard à l’utilisation que fait ultimement l’État de ces renseignements. Le droit à la vie privée, une fois qu’il y a été porté atteinte, ne peut pas être rétabli.

À cette fin, notre Cour a appliqué un critère normatif aux attentes raisonnables au respect de la vie privée. Nous avons défini l’art. 8 sous l’angle de ce que devrait être le droit à la vie privée — dans une société libre, démocratique et ouverte — en mettant en balance le droit d’une personne de ne pas être importunée et l’insistance que met la collectivité sur la protection. Ce critère normatif exige que nous appliquions une approche large et fonctionnelle à l’objet de la fouille, et que nous nous concentrions sur le risque qu’elle révèle des renseignements d’ordre personnel ou biographique (R. c. Marakah, 2017 CSC 59, [2017] 2 R.C.S. 608, par. 32).

 L’intimité informationnelle est une question particulièrement cruciale — et particulièrement difficile. Notre jurisprudence reconnaît que les ordinateurs sont uniques et présentent des risques en matière de vie privée qui diffèrent des risques traditionnellement visés par l’art. 8. La Cour a donc jugé que l’art. 8 empêche généralement la police de saisir un ordinateur sans mandat — même si l’appareil lui‑même ne fournit aucun renseignement en l’absence d’une autorisation judiciaire de fouiller son contenu — parce que la saisie de l’ordinateur donne à l’État le moyen d’obtenir accès à son contenu (R. c. Reeves, 2018 CSC 56, [2018] 3 R.C.S. 531, par. 34).

Considérer l’objet de la présente fouille comme une chaîne abstraite de chiffres utilisée uniquement pour obtenir un mandat de type Spencer va à l’encontre de ces précédents. Les adresses IP ne sont pas simplement des numéros dénués de sens. En tant que lien qui relie une activité Internet à un endroit donné, les adresses IP sont plutôt susceptibles de révéler des renseignements très personnels — y compris l’identité de l’utilisateur de l’appareil — sans jamais faire naître l’obligation d’un mandat. L’activité en ligne précise associée à la fouille effectuée par l’État peut elle‑même tendre à révéler des renseignements très privés. Lorsqu’elle est mise en corrélation avec d’autres renseignements en ligne qui y sont associés, comme ceux que fournissent de leur plein gré des sociétés privées ou que recueille autrement l’État, une adresse IP peut révéler un éventail d’activités en ligne très personnelles. De plus, lorsqu’elle est associée aux profils créés et conservés par des tiers du secteur privé, les risques en matière de vie privée liés aux adresses IP augmentent de façon exponentielle. L’information que recueillent, agrègent et analysent ces tiers leur permet de répertorier nos renseignements biographiques les plus intimes. Considérée de manière normative et dans son contexte, une adresse IP est le premier fragment numérique qui peut mener l’État sur la trace de l’activité Internet d’une personne. Elle est susceptible de révéler des renseignements personnels bien avant qu’un mandat de type Spencer ne soit sollicité.

De plus, Internet a concentré cette masse d’information auprès de tiers du secteur privé dont les activités ne tombent pas sous le coup de la Charte. Ainsi, Internet a fondamentalement modifié la topographie de l’intimité informationnelle sous le régime de la Charte en introduisant des tiers médiateurs entre la personne et l’État — des médiateurs qui ne sont pas eux‑mêmes assujettis à la Charte. Des sociétés privées répondent à des demandes fréquentes des forces de l’ordre et peuvent fournir de leur plein gré toute l’activité associée à l’adresse IP demandée. Des entreprises citoyennes privées peuvent fournir de leur plein gré des profils granulaires de l’activité Internet d’un utilisateur individuel pendant des jours, des semaines ou des mois sans jamais tomber sous le coup de la Charte. Cette information peut toucher au cœur de l’ensemble des renseignements biographique d’un utilisateur et peut ultimement être reliée à l’identité d’un utilisateur, avec ou sans un mandat de type Spencer. Il s’agit d’une atteinte très grave à la vie privée.

L’intérêt légitime de la société au respect de la vie privée entre en balance avec son intérêt légitime dans « [l]a répression du crime et la sécurité » (R. c. Tessling, 2004 CSC 67, [2004] 3 R.C.S. 432, par. 17). Bien que le droit de ne pas être importuné doive suivre l’évolution technologique, la manière de commettre un crime et d’enquêter sur celui‑ci évolue également. La facilité d’accès à Internet et l’anonymat de l’utilisateur se conjuguent pour faciliter la perpétration d’un crime et mettent à rude épreuve l’application efficace de la loi. Il est clair que la nature particulièrement insidieuse d’un grand nombre de cybercrimes, y compris la pornographie juvénile et le leurre d’enfant, pose un préjudice social grave et urgent. La police doit disposer des outils nécessaires pour enquêter sur ces crimes. De plus, lorsqu’une adresse IP (ou l’information relative à l’abonné) est clairement liée à un crime — comme elle peut manifestement l’être dans le cas de la pornographie juvénile ou du leurre d’enfant —, une autorisation judiciaire préalable est facile à obtenir. Une ordonnance de communication d’une adresse IP exigerait peu de renseignements de plus que ce que la police doit déjà fournir pour obtenir un mandat de type Spencer. Tant l’intérêt de la société à l’application efficace de la loi que son intérêt à la protection des droits à l’intimité informationnelle de tous les Canadiens et les Canadiennes doivent être respectés et mis en balance.

Tout bien pesé, le fardeau qu’impose à l’État le fait de reconnaître une attente raisonnable au respect de la vie privée à l’égard des adresses IP n’est pas lourd. Cette reconnaissance ajoute une autre étape aux enquêtes criminelles en exigeant que l’État démontre l’existence de motifs pour porter atteinte à la vie privée en ligne. Cependant, à l’ère des télémandats, cet obstacle est facilement surmonté lorsque la police recherche l’adresse IP dans le cadre de l’enquête sur une infraction criminelle. La protection conférée par l’art. 8 laisserait la police suivre une activité Internet liée à ses objectifs d’application de la loi tout en l’empêchant de demander librement l’adresse IP associée à une activité en ligne non liée à l’enquête. La surveillance judiciaire enlèverait également aux sociétés privées le pouvoir de décider s’il convient de révéler des renseignements — et en quelle quantité — et renverrait la question au champ d’application de la Charte.

En tant qu’élément inhérent crucial dans la structure d’Internet, une adresse IP est la clé susceptible de guider l’État dans le labyrinthe de l’activité Internet d’un utilisateur ainsi que le lien par lequel des intermédiaires peuvent fournir de leur plein gré à l’État des renseignements relatifs à cet utilisateur. Par conséquent, l’art. 8 devrait protéger les adresses IP. Cela aurait pour effet de préserver le premier « fragment numérique » et d’obscurcir la trace du parcours d’un internaute dans le cyberespace; cela aurait également pour effet de favoriser la réalisation de l’objectif de l’art. 8 consistant à empêcher les possibles atteintes à la vie privée plutôt que de circonscrire sa portée suivant les intentions déclarées de l’État quant à la manière dont il utilisera cette clé.



Notre approche diffère de celle des États‑Unis, où ce qu’on appelle la [traduction] « doctrine du tiers » exclut l’attente raisonnable au respect de la vie privée « si les renseignements sont détenus ou connus par des tiers » (T. Panneck, « Incognito Mode Is in the Constitution » (2019), 104 Minn. L. Rev. 511, p. 520, citant D. J. Solove, « A Taxonomy of Privacy » (2006), 154 U. Pa. L. Rev. 477, p. 528). Notre Cour a rejeté l’approche américaine très tôt dans sa jurisprudence relative à l’art. 8 (R. c. Dyment, [1988] 2 R.C.S. 417, p. 429‑430, le juge La Forest).


La Couronne suggère qu’une adresse IP ne sert à rien sans un mandat de type Spencer. Soit dit en tout respect, je ne peux souscrire à ce point de vue. Premièrement, en tant que lien qui relie une activité Internet précise à un endroit donné, l’adresse IP est susceptible de révéler des renseignements très personnels, même avant que la police n’essaie de relier l’adresse à l’identité de l’utilisateur. Deuxièmement, il est possible de mettre en corrélation l’activité associée à l’adresse IP avec une autre activité en ligne associée à cette adresse à laquelle l’État a accès — ce qui a des conséquences particulièrement préoccupantes lorsqu’y est combiné l’accès à des renseignements détenus par un tiers. Enfin, une adresse IP peut mettre l’État sur la trace d’une activité Internet qui mène directement à l’identité d’un utilisateur, même sans un mandat de type Spencer. Les cas où une adresse IP peut révéler des renseignements biographiques ne sont pas tous visés par l’arrêt Spencer. À la lumière de ces trois points, que j’explique ci‑dessous, l’accès aux adresses IP sans autorisation judiciaire préalable pose de grands risques en matière de vie privée et les adresses IP suscitent une attente raisonnable au respect de la vie privée.

Premièrement, l’activité associée à l’adresse IP peut elle‑même être très révélatrice, même avant toute tentative de déterminer l’identité. En l’espèce, l’activité consistait en une série d’opérations financières réalisée au moyen d’un intermédiaire en ligne, Moneris. Lorsqu’elle est reliée à des intermédiaires financiers tels que Moneris ou PayPal, une adresse IP peut révéler toutes les opérations qu’a effectuées un utilisateur sur cet intermédiaire pendant la période où l’adresse IP lui a été assignée. Par exemple, Moneris a associé cinq opérations en ligne différentes aux adresses IP en question (motifs exposés au terme du voir‑dire, par. 7‑8).

Ces achats peuvent « diffuser une foule de renseignements personnels susceptibles de révéler des informations biographiques d’ordre personnel sur [l’acheteur] » (Marakah, par. 33), allant des restaurants qu’il fréquente, des destinations qu’il visite, de ses passe‑temps, aux suppléments alimentaires qu’il utilise. Les internautes peuvent même avoir « un important intérêt en matière de respect de la vie privée en ce qui concerne la seule existence de leurs [achats] électroniques », d’autant plus que nos marchés migrent rapidement en ligne (par. 33 (en italique dans l’original)).

D’autres activités en ligne peuvent révéler des renseignements qui touchent directement à l’ensemble des renseignements biographiques d’un utilisateur. Les sites Web qui offrent des services de rencontre ou de la pornographie adulte peuvent donner à l’État une description des préférences sexuelles de l’utilisateur. L’historique d’un internaute dans des salons de cyberbavardage médical, politique, ou autre salon de cyberbavardage semblable, peut révéler ses préoccupations de santé ou ses opinions politiques. Si l’adresse IP n’est pas protégée, ces renseignements sont librement accessibles à l’État sans la protection de la Charte, qu’ils aient ou non un rapport avec l’enquête sur un crime donné.

Deuxièmement, l’activité précise associée à l’adresse IP par la fouille peut être mise en corrélation avec une autre activité en ligne associée à cette adresse IP.

Sans la protection de l’art. 8, rien n’empêche l’État de recueillir de façon préventive des adresses IP et de comparer l’adresse IP de cet utilisateur avec ce que renferme sa base de données. De plus, et fait important, l’étendue des renseignements que peut révéler une adresse IP est énorme si elle est mise en corrélation avec des renseignements détenus par un tiers. Des décisions tendent à indiquer que des tiers fournissent ces renseignements sans qu’on le leur demande. À titre d’exemple, dans l’affaire State c. Simmons, 190 Vt. 141 (2011), la police, après avoir identifié un suspect, a contacté MySpace, un site de média social, et lui a demandé de lui communiquer les adresses IP qui avaient accédé au profil MySpace de celui‑ci (par. 3). MySpace a fourni des registres indiquant non seulement les adresses IP elles‑mêmes, mais aussi toutes les fois que chaque adresse IP s’était connectée au compte MySpace de M. Simmons — notamment le fait qu’une adresse IP s’était connectée au compte [traduction] « plus de 100 fois sur une période d’une semaine » (par. 3).

Comme l’a expliqué l’expert, les sites Web de tiers peuvent suivre l’adresse IP externe de chaque utilisateur qui visite leur site. Certains sites Web, tels que Google, recueillent également d’énormes quantités d’autres renseignements comme l’historique sur YouTube, les recherches sur Google et l’historique des localisations. Ces renseignements peuvent être de nature extrêmement personnelle.

Beaucoup d’activités en ligne sont exercées de façon anonyme (Spencer, par. 48; Ward, par. 75). Les gens agissent de manière différente en ligne qu’ils ne le feraient en personne (Ramelson, par. 5). « Certains lieux en ligne, tels les moteurs de recherche, permettent aux gens d’explorer des notions qu’ils hésiteraient à évoquer en public; d’autres, comme les médias sociaux, permettent aux utilisateurs de se dissimuler derrière la façade de leur choix » (par. 46). Nous ne voudrions pas que les profils de médias sociaux auxquels nous nous attardons parviennent à la connaissance de l’État. Nous ne voudrions pas non plus que la version intimement privée de nous‑mêmes révélée par l’ensemble de termes clés que nous avons récemment entrés dans un moteur de recherche se répande dans le monde hors ligne. Les internautes devraient pouvoir s’attendre à ce que l’État n’obtienne pas ces renseignements sans un fondement constitutionnel valable.

Enfin, lien par lien, une adresse IP peut mettre l’État sur la trace d’une activité Internet anonyme qui mène directement à l’identité d’un utilisateur. L’expert utilise l’exemple d’une adresse IP qui se connecte à un profil de média social en particulier ou d’un compte de courriel qui contient des renseignements permettant d’inférer l’identité de l’utilisateur, comme son nom. À partir de là, une petite inférence suffit pour découvrir l’identité de l’utilisateur. Il ne suffit pas d’affirmer — comme le fait l’avocate de la Couronne — qu’un mandat de type Spencer est requis si l’adresse IP est recherchée à l’égard de renseignements susceptibles de dévoiler l’identité de l’internaute. Il ne peut revenir à la police ou à des sociétés privées de déterminer si les renseignements fournis sur le site Web auront pour effet (peut‑être s’ils sont combinés à d’autres renseignements) d’aider à identifier la source de l’activité ou l’identité de l’utilisateur, ou encore de compromettre autrement des intérêts en matière de vie privée.

L’affirmation selon laquelle un mandat de type Spencer assure une protection contre les préoccupations en matière de vie privée que soulèvent les adresses IP n’est donc tout simplement pas étayée par les réalités technologiques modernes. Les adresses IP jouent un rôle crucial dans la structure inhérente d’Internet. Elles sont le moyen par lequel les appareils connectés à Internet envoient et reçoivent des données. Elles sont donc la clé donnant accès à l’activité en ligne d’un internaute — les premiers [traduction] « fragments numériques » sur la trace cybernétique de l’utilisateur (Jones, par. 42, citant S. Magotiaux, « Out of Sync : Section 8 and Technological Advancement in Supreme Court Jurisprudence » (2015), 71 S.C.L.R. (2d) 501, p. 502). Ces fragments peuvent établir toute l’activité en ligne quotidienne, hebdomadaire, ou même mensuelle, d’un internaute, ce qui permet de dresser l’historique des cyberpérégrinations de ce dernier (Morelli, par. 3). À l’instar de l’ordinateur dans l’affaire Reeves, une adresse IP fournit à l’État le moyen susceptible de le mener à un trésor de renseignements personnels.

Par conséquent, une adresse IP peut révéler un éventail de renseignements éminemment privés qui touchent directement aux détails intimes sur le mode de vie et les choix personnels d’un utilisateur individuel (Marakah, par. 32; Spencer, par. 27).


 

Internet a permis aux sociétés privées non seulement de suivre leurs utilisateurs, mais aussi de bâtir des profils de ceux‑ci remplis de renseignements que les utilisateurs n’ont jamais su qu’ils révélaient. « L’historique de navigation, par exemple, permet d’obtenir des renseignements détaillés sur les intérêts des utilisateurs. Les moteurs de recherche peuvent recueillir des renseignements sur les termes recherchés par les utilisateurs. Les annonceurs peuvent suivre leurs utilisateurs à travers les réseaux de sites Web et obtenir un aperçu de leurs intérêts et de leurs préoccupations » (Spencer, par. 46). Des commentateurs ont même suggéré que les entreprises peuvent utiliser les données qu’elles recueillent pour déterminer [traduction] « ce que vous allez acheter, le genre de personne avec qui vous allez vous mettre en couple, si vous ferez bien un nouveau travail, combien de temps vous resterez à ce poste, et si vous tomberez malade » (H. Matsumi, « Predictions and Privacy : Should There Be Rules About Using Personal Data to Forecast the Future? » (2017), 48 Cumb. L. Rev. 149, p. 149).

C’est loin d’être une conjecture. En effet, il est notoire que les plus grandes sociétés de médias sociaux dans le monde utilisent les adresses IP pour, par exemple, personnaliser les publicités que voient leurs utilisateurs, établir les préférences de ceux‑ci et inférer encore plus de renseignements à leur sujet, comme leur âge, leur sexe et leurs intérêts. Quand il s’agit de suivre les utilisateurs sur Internet, pour paraphraser l’auteur de science‑fiction William Gibson, [traduction] « [l]e futur est déjà là » (P. Kennedy, « William Gibson’s Future Is Now », The New York Times, 13 janvier 2012 (en ligne)).



Tout bien pesé, le fardeau que l’on impose à l’État en reconnaissant une attente raisonnable au respect de la vie privée à l’égard des adresses IP est dérisoire par comparaison avec les préoccupations importantes relatives à la vie privée qui sont en cause en l’espèce. Les forces de l’ordre devront démontrer l’existence de motifs suffisants pour porter atteinte à la vie privée d’une personne, mais à l’ère des télémandats et de l’accès 24 h sur 24 à des juges de paix, ce fardeau n’est pas lourd. Les policiers qui se livrent à des activités d’enquête légitimes peuvent facilement établir les motifs constitutionnels requis. Reconnaître qu’une adresse IP est protégée par l’art. 8 ne contrecarrera pas les enquêtes policières faisant intervenir des adresses IP; une telle reconnaissance vise plutôt à faire en sorte que les enquêtes policières reflètent mieux ce à quoi chaque Canadien et Canadienne raisonnable s’attend du point de vue du respect de la vie privée et de la lutte contre la criminalité.


 

La surveillance judiciaire en ce qui a trait à une adresse IP est le moyen de réaliser l’objectif de l’art. 8 d’empêcher les atteintes à la vie privée. Depuis l’arrêt Hunter, nous avons statué que cette disposition vise à empêcher les violations de la vie privée, et non à condamner ou à admettre des violations après le fait eu égard à l’utilisation que fait l’État de ces renseignements. Le droit à la vie privée, une fois qu’il y a été porté atteinte, ne peut pas être rétabli. Enfin, la surveillance judiciaire enlève aux sociétés privées le pouvoir de décider s’il convient de dévoiler des renseignements — et en quelle quantité — et renvoie la question au champ d’application de la Charte. L’accroissement du pouvoir de l’État occasionné par Internet est donc compensé par une interprétation large et téléologique de l’art. 8 qui répond à nos « nouvelles réalités sociales, politiques et historiques » (Hunter, p. 155). Laisser le secteur privé décider de fournir ou non à la police des renseignements qui risquent de révéler l’aspect le plus intime de notre personne porte un coup inacceptable à l’art. 8. Laisser la protection de la Charte s’appliquer à la prochaine étape envisagée de l’enquête ne suffit pas. Comme je l’ai expliqué, il pourrait alors être trop tard.



…Étendre la portée de l’art. 8 aux adresses IP protège le premier « fragment numérique » et obscurcit donc la trace du parcours d’un internaute dans le cyberespace.»