Projet de loi C-22 au Canada : le chiffrement sous pression

Le projet de loi C-22, déposé le 12 mars 2026 par le gouvernement de Mark Carney sous le titre court de « Loi de 2026 sur l'accès légal », entend donner aux autorités canadiennes de nouveaux moyens d'accéder aux données détenues par les opérateurs de télécommunications et les fournisseurs de services électroniques, au nom de la sécurité nationale et des enquêtes criminelles. Ses détracteurs y voient une porte ouverte à des « portes dérobées » (backdoors) dans des services aujourd'hui chiffrés de bout en bout. Plusieurs acteurs technologiques, dont Signal, menacent de quitter le pays si le texte est adopté en l'état.

Un texte né des cendres du projet de loi C-2

C-22 n'est pas une première tentative. Comme le rappelle le juriste Michael Geist, un premier régime d'accès légal avait été glissé en juin 2025 à la fin du projet de loi C-2, consacré aux frontières. Il prévoyait des demandes d'information sans mandat applicables à tout fournisseur de services au Canada, médecins et avocats compris. Devant la levée de boucliers, le gouvernement les a retirées à l'automne 2025.

La nouvelle version abandonne la demande d'information sans mandat de portée générale au profit d'une « demande de confirmation de service », limitée aux opérateurs de télécommunications. L'accès aux informations sur les abonnés passe désormais par une ordonnance de communication examinée par un juge, mais avec un seuil de « motifs raisonnables de soupçonner » que Michael Geist juge le plus bas du droit pénal canadien. L'idée d'un accès sans mandat à des communications chiffrées ne correspond donc pas à la lettre du texte.

Ce qui inquiète : métadonnées, ordres secrets et chiffrement

La partie 2 du projet crée une loi visant à soutenir l'accès autorisé à l'information. Selon Global News, des règlements pourraient obliger les fournisseurs à conserver certaines métadonnées jusqu'à un an, et des ordres ministériels, soumis à l'approbation du commissaire au renseignement et non d'un juge, pourraient imposer de développer des capacités techniques d'extraction. Ces ordres seraient couverts par le secret : le fournisseur n'aurait pas le droit d'en révéler l'existence.

Le texte prévoit une exception en cas de « vulnérabilité systémique », notion jugée floue par ses critiques : rien ne garantit qu'un service chiffré ne devra pas donner accès aux données avant leur chiffrement. Le ministre de la Sécurité publique, Gary Anandasangaree, a promis des amendements précisant qu'aucune entreprise ne serait tenue d'insérer une porte dérobée, et souhaitait une adoption avant le 19 juin, rapporte MobileSyrup.

Les acteurs : qui menace de partir, qui proteste

Les positions des entreprises diffèrent :

Signal : son vice-président Udbhav Tiwari a déclaré devant le comité de la sécurité publique de la Chambre des communes que l'application quitterait un marché plutôt que de trahir ses utilisateurs, comme l'ont relayé Citizen Lab et Global News.
Fournisseurs de VPN : NordVPN envisage de limiter, voire de retirer, sa présence au Canada ; Windscribe, basé à Toronto, annonce qu'il déménagerait son siège ; DuckDuckGo retirerait son service VPN.
Apple : la firme n'a pas menacé de quitter le pays, mais a déclaré, selon MacRumors, que le texte « tel que rédigé » compromettrait les fonctions de confidentialité et de sécurité attendues par ses utilisateurs, et qu'elle n'insérerait « jamais » de porte dérobée.
Meta et Google : ils dénoncent des pouvoirs étendus et des ordres secrets susceptibles d'affaiblir le chiffrement, sans annoncer de départ.

Une porte dérobée ne s'arrête pas à une frontière : un affaiblissement imposé à un produit mondial toucherait tous ses utilisateurs, d'où la mobilisation d'éditeurs américains. En 2025, Apple avait retiré une fonction de chiffrement avancé de son nuage au Royaume-Uni plutôt que d'y donner accès.

Où en est le texte

Le gouvernement a limité le débat. La version adoptée en troisième lecture par la Chambre des communes est datée du 18 juin 2026, selon le Parlement du Canada. Le projet doit encore passer devant le Sénat, qui peut l'amender avant la sanction royale. L'existence d'une pétition de l'opposition, évoquée dans la première version de cet article, n'a pas pu être confirmée.

Enjeux pour les entreprises

Pour un groupe présent au Canada, C-22 pose trois questions concrètes. La première est la continuité de service : si des outils de messagerie chiffrée ou des VPN utilisés par les équipes se retirent, il faut prévoir une alternative. La deuxième touche la confidentialité des échanges sensibles lorsque des métadonnées sont conservées un an. La troisième concerne les fournisseurs de services numériques eux-mêmes, qui pourraient recevoir des ordres secrets sans pouvoir en informer leurs clients.

Ce que les équipes de veille doivent surveiller

L'examen au Sénat : amendements sur la définition de la « vulnérabilité systémique » et sur la durée de conservation des métadonnées.
Les annonces de retrait : un départ effectif de Signal, d'un VPN ou d'une fonction chiffrée chez un grand éditeur changerait la donne pour les communications internes.
Les premiers règlements d'application : ce sont eux qui fixeront qui est un « fournisseur principal » et quelles données conserver.
Les effets de contagion : d'autres États alliés peuvent s'inspirer du modèle canadien ou britannique ; une veille réglementaire multipays évite d'être pris de court.
Les signaux cyber associés : toute brèche dans un dispositif d'accès légal devient une cible, un point à intégrer à la veille des risques cyber et à la veille géopolitique par pays.

Canada C-22 : « C » comme « compromission » ?