L’affaire Bykovets et la reconnaissance des adresses IP comme éléments clés de l’identité numérique

Par Maissae Ben Tounes, Avocate

L’affaire Bykovets[1] met en lumière les enjeux entourant les attentes qu’une personne devrait avoir à l’égard de sa vie privée à l’ère numérique. Dans son arrêt du 1^er mars 2024, la Cour suprême du Canada a reconnu les adresses IP en tant qu’éléments clés de l’identité numérique d’une personne, établissant un précédent. La Cour leur a accordé la protection de la Charte canadienne des droits et des libertés. Cette décision revêt une grande importance pour les autorités policières, désormais tenues de solliciter une autorisation judiciaire avant de requérir des adresses IP. Parallèlement, cet arrêt présente des principes pertinents pour les entreprises privées opérant des sites web dans le cadre de leurs activités.  

Faits

Après avoir constaté des transactions frauduleuses sur le site internet d’une boutique en ligne dont elle gère les paiements, Moneris informe les autorités policières[2]. Dans le cadre de son enquête, la police sollicite les adresses IP associées à ces transactions, une demande à laquelle Moneris acquiesce. Par le biais d’un site web accessible au public, la police associe les adresses IP en question au fournisseur de services internet. À cet effet, les autorités obtiennent une ordonnance de communication enjoignant au fournisseur de leur divulguer les renseignements relatifs aux abonnés associés à ces adresses. Les renseignements obtenus à partir de ces adresses IP permettent à la police d’identifier Andrei Bykovets et d’obtenir les mandats de perquisition nécessaires à son inculpation pour des infractions liées à des achats en ligne frauduleux.

Historique judiciaire

Lors du procès, Andrei Bykovets allègue la violation de son droit à la protection contre les fouilles, les perquisitions et les saisies abusives au sens de l’article 8 de la Charte canadienne des droits et libertés[3]. Le juge de procès conclut que le défendeur n’avait pas d’attente objectivement raisonnable à l’égard de sa vie privée[4]. En appel, les juges majoritaires confirment cette décision en soutenant que les adresses IP ne révélaient aucun renseignement privé. En conséquence, Bykovets n’avait pas d’attente raisonnable en matière de vie privée à leur égard. Ils soulignent également que sans les données relatives à l’abonné, les adresses IP sont des numéros abstraits ne révélant aucun renseignement personnel[5]. Le défendeur porte l’affaire en Cour suprême.

La Cour suprême accueille le pourvoi et ordonne la tenue d’un nouveau procès[6].

La Cour interprète cette disposition en tenant compte de l’évolution du contexte numérique. L’arrêt met l’accent sur la capacité des adresses IP à révéler d’autres renseignements personnels, soulignant ainsi l’importance de protéger ces données contre toute intrusion injustifiée.

L’établissement d’un lieu « virtuel »

Lorsque la police a obtenu les adresses IP, celles-ci étaient comprises dans la « base de données de l’entreprise[7]». Les juges dissidents ont avancé que la légalité de cette fouille se justifiait par l’absence d’intrusion physique ou d’intrusion dans le domicile de l’intimé. La Cour implore de tenir compte de la réalité technologique actuelle[8] : « l’architecture d’Internet crée un registre permanent large et en expansion constante[9] ». En effet, Internet est un espace conçu et la Cour distingue les « espaces en ligne » des « espaces physiques ». Ainsi, les critères strictement applicables à un espace physique ne peuvent pas être directement transposés à un espace en ligne. Il importe d’adapter ces critères pour établir un cadre de référence adéquat. Par cette représentation visuelle, la Cour considère donc Internet comme un « lieu » structuré qui facilite la collecte et l’analyse de données.

Une information susceptible de révéler un renseignement personnel

La Cour souligne que l’article 8 de la Charte vise à protéger les renseignements personnels dont les personnes physiques souhaitent préserver la confidentialité, y compris ceux susceptibles de révéler des détails intimes[10]. C’est dans ce contexte que la Cour souligne le caractère significatif d’une adresse IP. Cette dernière ne se résume pas à une simple suite de chiffres; elle constitue un moyen d’obtenir des renseignements sur l’identité de son détenteur. Lorsque la police a sollicité les adresses IP, elle ne les considérait pas comme de simples combinaisons de chiffres abstraits, car cela ne lui aurait été d’aucun intérêt. Au contraire, les autorités cherchaient à obtenir de l’information sur l’identité des utilisateurs liée aux transactions à travers leurs adresses IP[11]. L’adresse IP représente les premiers indices numériques de la présence d’un utilisateur, permettant de retracer ses activités en ligne et d’établir son historique de navigation[12]. En ce sens, la Cour souligne que les adresses IP peuvent permettre à l’État d’avoir accès à une mine de renseignements personnels[13].

La prolifération des données et l’intérêt pour les entreprises privées

Cette décision met en lumière la portée d’Internet et son impact sur la quantité et la qualité croissantes des données disponibles sur les utilisateurs[14]. Grâce à cette expansion, les entreprises privées disposent d’une capacité accrue pour recueillir et analyser les données d’utilisation[15], leur permettant ainsi d’anticiper les comportements des utilisateurs et de les transmettre facilement aux autorités. Cette coopération entre le secteur privé et l’État — comme dans l’affaire Bykovets avec la collaboration entre la police, une entreprise de paiement et un fournisseur de services Internet — démontre la facilité d’accès et d’exploitation des renseignements personnels des utilisateurs. La Cour souligne également que des informations en apparence mineures peuvent révéler beaucoup lorsqu’elles sont croisées avec d’autres données, par exemple, l’association d’une adresse IP sur un site web à des activités sur différents sites web. Cette pratique permet aux entreprises de relier plusieurs opérations en ligne à un utilisateur spécifique[16]. De plus, bien souvent, la collecte de données par des entreprises privées, que ce soit sur des sites de rencontres, des forums de discussion ou des services financiers vise à affiner leur compréhension des intérêts de leurs clients[17].

Rejet de la doctrine du tiers

La Cour évoque et réfute la « doctrine du tiers[18]» américaine, qui exclut généralement toute attente raisonnable de vie privée lorsqu’un tiers détient ou connait les informations. Elle souligne le contexte de l’ère actuelle en mettant en lumière le fait que l’abonnement à un service Internet est désormais quasi indispensable à notre vie quotidienne. Malgré cela, les utilisateurs ont peu de contrôle sur leurs données une fois transmises à leur fournisseur de services Internet. Chaque interaction en ligne, y compris l’attribution d’une adresse IP, est susceptible de révéler nos renseignements personnels. La Cour rappelle ses conclusions dans l’arrêt Jones : ce n’est pas réaliste de demander aux Canadiens de renoncer complètement à l’utilisation d’Internet afin de protéger leur vie privée[19].

Un juste équilibre

Le paysage d’Internet est propice à une variété d’infractions, notamment celles visant les enfants, souvent commises sous le couvert de l’anonymat. La Cour note qu’il importe de tenir compte de la gravité de ces infractions lors de l’application de la loi[20]. La décision Bykovets établit un juste équilibre. En effet, dans un contexte où les autorités doivent jongler entre la nécessité de préserver la confidentialité des individus et celle de garantir la sécurité publique, la Cour affirme qu’exiger une autorisation judiciaire afin d’obtenir une adresse IP n’est pas une mesure d’enquête lourde et ne nuit pas à la lutte contre la criminalité en ligne par les forces de l’ordre[21]. Cette démarche équilibrée est essentielle pour prévenir toute violation de la vie privée et garantir que les fouilles soient effectuées pour des motifs légitimes, conformément à l’article 8 de la Charte.

L’affaire Bykovets renforce la protection des renseignements personnels en reconnaissant la nécessité d’une protection accrue contre les intrusions de l’État. Elle insiste notamment sur le rôle coercitif des autorités dans la collecte de telles données et encourage les entreprises à limiter volontairement la communication de renseignements avec les autorités. Cette affaire attire également l’attention quant aux éventuels changements législatifs et réglementaires visant à encadrer la collecte, l’utilisation et la protection des renseignements personnels.

Apprenez en plus sur la décision Bykovets :

L’obtention d’une adresse IP par les policiers dans le cadre de leur enquête constitue-t-elle une fouille au sens de l’article 8 de la Charte?

---

[1]      R c Bykovets, 2024 CSC 6 [Bykovets].

[2]      Ibid, para 96-99.

[3]      Ibid, para 17-18.

[4]      Ibid, para 106.

[5]      Ibid, para 109.

[6]      Ibid. Les juges Karakatsanis, Martin, Kasirer, Jamal et Moreau sont majoritaires.

[7]      Ibid, para 106.

[8]      Ibid, para 34, voir aussi R c Spenser, 2014 CSC 43 aux para 26-31 et R c Marakah, 2017 CSC 59 au para 17.

[9]      Bykovets, supra note 1, para 50.

[10]     Ibid, para 51.

[11]     Ibid, para 9.

[12]     Bykovets, supra note 1, para 13, 76.

[13]     Ibid, para 79.

[14]     Ibid, para 73.

[15]     Ibid, para 73, voir aussi R c Ramelson, 2022 CSC 44 au para 48.

[16]     Bykovets, supra note 1, aux para 7-8.

[17]     Ibid, au para 76.

[18]     Ibid, au para 47.

[19]     R c Jones, 2017 CSC 60, au para 45.

[20]     Bykovets, supra note 1, au para 84.

[21]     Ibid, para 85.