La protection d’une adresse IP sous l’article 8 de la Charte canadienne des droits et libertés

Le 1^er mars 2024, la Cour suprême du Canada a rendu un arrêt crucial sur la question du droit à la vie privée associé à une adresse IP (Internet Protocol), le numéro unique nécessaire pour accéder à Internet et qui identifie les activités dans celui-ci.

Contexte

Cette affaire portait sur une enquête menée par la police de Calgary en lien avec des achats en ligne frauduleux effectués auprès d’un magasin d’alcool. La police a obtenu d’une société tierce de traitement des paiements les adresses IP utilisées pour les achats en question. Ensuite, les policiers ont obtenu une ordonnance de communication obligeant le fournisseur de services Internet (FSI) à leur communiquer les noms et adresses des abonnés associés à chacune de ces adresses IP, ce qui leur a ultimement permis d’arrêter l’appelant, lequel a ensuite été déclaré coupable.

Celui-ci a contesté la demande de la police à la société de traitement en vue d’obtenir les adresses IP. Selon lui, cette demande a violé son droit à la protection contre les fouilles, les perquisitions et les saisies abusives garanti par l’article 8 de la Charte canadienne des droits et libertés. Ni la juge de première instance ni la Cour d’appel de l’Alberta ne se sont rangées derrière cet argument. Ces 2 instances ont en effet considéré que l'appelant n’avait pas d’attente raisonnable au respect de sa vie privée à l’égard de son adresse IP et que, ainsi, le droit protégé par l’article 8 de la charte n’entrait pas en jeu.

Un arrêt partagé

Dans un arrêt extrêmement partagé (5 juges majoritaires contre 4 dissidents), la Cour suprême a conclu que l’article 8 de la charte doit protéger les adresses IP puisque celles-ci suscitent une attente raisonnable au respect de la vie privée. Ainsi, une demande d’adresse IP faite par l’État est une fouille au sens de l’article 8 de la charte, ce qui implique la nécessité, pour la police, d’obtenir préalablement une autorisation judiciaire. Pour en arriver à cette conclusion, les juges majoritaires, sous la plume de la juge Karakatsanis, ont pris en compte les évolutions sociales et technologiques des dernières décennies qui ont placé Internet et le monde numérique au cœur de nos vies, et ce, sur tous les plans (commercial, culturel, social, amoureux, etc.).

La Cour suprême a ainsi établi que l’attente raisonnable au respect de la vie privée ne porte donc plus seulement sur les renseignements relatifs à l’abonné associés à l’adresse IP d’une personne, comme la Cour l’avait décidé en 2014 dans l’arrêt R. c. Spencer . L’adresse IP elle-même, dorénavant, suscite une telle attente.

Selon les juges majoritaires, les adresses IP ne sont pas seulement une suite de numéros. Ils soulignent que, «considérée de manière normative et dans son contexte, une adresse IP est le premier fragment numérique qui peut mener l’État sur la trace de l’activité Internet d’une personne» (paragr. 9).

La juge Karakatsanis a rappelé le cadre applicable pour établir une violation de l’article 8 de la charte:

1. Il faut la démonstration d’une fouille, d’une perquisition ou d’une saisie;
2. laquelle doit être abusive.

Seule la première question était en cause dans cette affaire. La demande des adresses IP constituait une fouille s’il fallait conclure que l’État avait ainsi frustré une attente raisonnable de l'appelant au respect de la vie privée. Pour analyser l’attente au respect de la vie privée, les tribunaux doivent examiner plusieurs facteurs pouvant être regroupés en quatre catégories: 1) l’objet de la fouille; 2) l’intérêt du demandeur à l’égard de l’objet; 3) l’attente subjective du demandeur au respect de sa vie privée; et 4) la question de savoir si cette attente subjective était objectivement raisonnable. C’est sur les paramètres de l’objet de la fouille et de la raisonnabilité de l’attente que les raisonnements des juges majoritaires et minoritaires ont divergé.

Premier point d’achoppement: l’objet de la fouille

Adoptant une approche large et fonctionnelle de l’objet, qui tient compte de la réalité technologique, la juge Karakatsanis a déterminé que la demande formulée par la police avait pour objet l’«adresse IP en tant que clé permettant d’obtenir davantage de renseignements sur un internaute particulier, y compris son activité en ligne et, ultimement, son identité en tant que source de ces renseignements» (paragr. 43). Ce sont donc tous les renseignements que les adresses IP peuvent révéler sur des utilisateurs précis, y compris, en bout de piste, leur identité, qui font partie de cet objet.

Dans son raisonnement, la juge a pris en compte la particularité des fouilles relatives à des données électroniques en tenant compte de la tendance des autorités policières consistant à chercher des informations «pour permettre d’en tirer des inférences au sujet d’autres renseignements de nature personnelle» (paragr. 38) concernant l’utilisateur. En effet, l’activité associée à une adresse IP peut révéler des renseignements très personnels sans même que la police obtienne l’autorisation judiciaire préalable prévue dans Spencer.

La juge Côté, pour les juges dissidents, a estimé que l’objet n’incluait pas toute mesure menant à l’identification ultime d’un utilisateur, de telles informations n’étant pas révélées par les adresses IP à elles seules. Elle a conclu que l’objet de la fouille, dans le cas particulier de cette affaire, recouvrait les adresses IP et les FSI révélés par celles-ci. Ce n’est que lorsqu’elle est combinée à d’autres informations qu’une adresse IP peut permettre de tirer des inférences sur l’identité d’un internaute.

Deuxième point de discorde: la raisonnabilité de l’attente subjective au respect de sa vie privée numérique

L’autre point d’achoppement portait sur la quatrième catégorie, soit la raisonnabilité de l’attente subjective au respect de sa vie privée. Reprenant les facteurs bien connus (le contrôle sur l’objet, le lieu de la fouille et le caractère privé de l’objet), la juge Karakatsanis a déterminé que le contrôle exercé par le demandeur sur l’objet n’est pas déterminant dans le contexte de l’intimité informationnelle. Le lieu de la fouille n’est pas non plus préjudiciable à une attente raisonnable au respect de la vie privée dans un tel contexte, les espaces numériques étant naturellement différents des espaces physiques.

Quant au caractère privé de l’objet, la juge Karakatsanis rappelle que l’adresse IP est susceptible de révéler des renseignements très personnels, portant notamment sur le mode de vie intime et les choix personnels de l’utilisateur, et ce, même avant que la police n’essaie de relier l’adresse à l’identité de l’utilisateur au moyen d’un mandat Spencer, ce qui pose un risque important en matière de vie privée. En effet, l’État peut notamment croiser l’activité numérique associée à l’adresse IP avec une autre reliée à cette même adresse à laquelle la police a déjà accès, permettant ainsi à cette dernière de trouver l’identité de l’utilisateur sans avoir à obtenir l’autorisation judiciaire prévue dans Spencer. Il est possible de combiner cette activité avec les renseignements détenus par des tiers, notamment les entreprises privées dans le domaine numérique (recherches sur Google, historique des localisations, etc.). Par ailleurs, une adresse IP peut parfois mettre sur la piste d’une activité numérique menant directement à l’identité d’un internaute. C’est notamment le cas dans la situation où une adresse IP se connecte à un profil de média numérique ou d’un compte courriel contenant des informations permettant de découvrir l’identité de la personne.

Pour les juges majoritaires, la balance penche vers la conclusion que le droit du public de ne pas être importuné devrait l’emporter sur le droit de l’État de réaliser ses missions d’application de la loi, et ce, compte tenu de la quantité et de la qualité considérables d’informations enregistrées à propos des internautes. La juge pousse sa réflexion en abordant le rôle des entreprises privées dans cette dynamique de stockage - à l’insu des internautes ‑ d’informations parfois très intimes les concernant. Ces entreprises suivent les utilisateurs et établissent des profils de ceux-ci à partir de données que les usagers n’avaient jamais su qu’ils révélaient. Ainsi, «en concentrant cette masse de renseignements entre les mains de tiers du secteur privé et en donnant à ces derniers les outils nécessaires pour agréger et disséquer ces données, Internet a essentiellement modifié la topographie de la vie privée sous le régime de la charte. Il a ajouté un tiers à l’écosystème constitutionnel et a fait de la relation horizontale entre l’individu et l’État une relation tripartite» (paragr. 78). Enfin, pour la juge Karakatsanis, la nécessité d’obtenir une autorisation judiciaire prive les sociétés privées du pouvoir de décider s’il convient de dévoiler des renseignements à la police.

Les juges dissidents n’ont pas suivi le raisonnement de la juge Karakatsanis sur ce point et ont estimé que l’attente subjective de l'appelant au respect de sa vie privée à l’égard de l’objet de la fouille n’était pas objectivement raisonnable. Non seulement ces adresses n’étaient pas privées, mais elles ne révélaient pas non plus de renseignements privés puisqu’elles indiquaient, tout au plus, les différents FSI associés.

Se penchant sur le facteur du contrôle, la juge Côté a souligné qu’un utilisateur n’a guère de contrôle sur son adresse IP et qu’un FSI peut changer sans préavis. Selon la juge, «un internaute qui laisse derrière lui des données relatives à une adresse IP perd complètement le contrôle de ce qui se passe avec ces chiffres, tout comme une personne perd le contrôle de ce qui se passe avec ses empreintes digitales après avoir touché quelque chose» (paragr. 154). Quant au lieu de la fouille, il s’agissait de la base de données de l’entreprise qui avait collaboré avec la police, ce qui ne milite pas en faveur de la reconnaissance du caractère objectivement raisonnable de l’attente subjective de l'appelant au respect de sa vie privée.