- Le Canada, qui s’y était opposé par crainte d’une extension des pouvoirs de surveillance des États, a signé la Convention des Nations unies sur la cybercriminalité sans consultation publique distincte ni réponse aux inquiétudes soulevées ; elle n’a toutefois pas encore été ratifiée et n’est donc pas juridiquement contraignante
- Les pouvoirs d’enquête procéduraux s’appliquent aux preuves électroniques de toutes les infractions, et la coopération internationale couvre les infractions graves passibles d’au moins 4 ans d’emprisonnement selon le droit national, ce qui permet aussi à des pays pénalisant la presse, la critique du gouvernement ou les relations homosexuelles de demander la collecte de preuves
- Le traité exige que les États se dotent de pouvoirs d’interception en temps réel et de collecte de données, tout en laissant l’autorisation judiciaire préalable au droit interne ; il autorise les ordres de confidentialité sur les demandes de coopération et ne prévoit pas d’exception pour les infractions politiques
- Des organisations et experts canadiens avertissent que ce cadre pourrait conduire à une répression transnationale visant les diasporas au Canada, à une complicité dans l’usage de logiciels espions commerciaux et à la criminalisation de la recherche en sécurité menée de bonne foi
- Étant donné l’existence de la Convention de Budapest et de traités bilatéraux, la valeur ajoutée du nouveau traité réside surtout dans la coopération avec des pays à haut risque comme la Russie, la Chine et l’Iran ; sa ratification nécessiterait une législation élargissant les pouvoirs, comme le Bill C-22
Du refus à la signature : le revirement du Canada
- Le gouvernement canadien a signé la Convention des Nations unies sur la cybercriminalité, en soulignant que ses dispositions de protection des enfants et ses garanties en matière de droits humains figurent parmi les plus solides des traités internationaux de justice pénale
- La seule signature ne crée pas d’obligation juridique ; une ratification est nécessaire pour que le traité devienne contraignant
- Le Canada n’avait pas participé à la cérémonie officielle de signature à Hanoï 9 mois plus tôt, mais a signé la convention à la mi-juillet sans expliquer ce qui avait changé
- Il n’y a pas eu de consultation publique avant l’annonce du gouvernement, qui n’a pas non plus répondu aux préoccupations exprimées par la société civile
Des négociations lancées sous l’impulsion de la Russie
- La convention trouve son origine dans une initiative de 2017 visant à remplacer la Convention de Budapest du Conseil de l’Europe, à laquelle la Russie refuse d’adhérer
- Lorsque l’Assemblée générale des Nations unies a voté en 2019 l’ouverture des négociations, le Canada, les États-Unis et l’Union européenne s’y sont opposés, estimant que le texte pourrait devenir un instrument d’élargissement des pouvoirs de surveillance des États
- Après avoir perdu le vote, les démocraties avaient le choix entre refuser les négociations, laissant la Russie, la Chine et l’Iran fixer les règles, ou y participer pour limiter les dégâts ; elles ont choisi la seconde option
- Le Canada a été l’une des délégations les plus actives à réclamer des garanties en matière de droits humains, et a réussi à faire retirer du texte final les infractions liées à l’expression et aux contenus souhaitées par les régimes autoritaires
- La convention a été adoptée par consensus en décembre 2024
Des pays divisés lors de la cérémonie de signature à Hanoï
- Le Canada n’a pas participé à la cérémonie de signature d’octobre 2025 à Hanoï, aux côtés des États-Unis, de la Nouvelle-Zélande, du Japon, des Pays-Bas, de l’Italie, de la Norvège, du Danemark et de la Finlande
- La Russie, la Chine, l’Iran, la Corée du Nord, le Bélarus, Cuba, le Venezuela et l’Arabie saoudite ont signé, tout comme le Royaume-Uni, l’Australie, la France, l’Allemagne et l’Union européenne
- À l’époque, le Canada avait déclaré que le succès du traité dépendrait de l’application complète des garanties en matière de droits humains incluses dans le texte
- Le pays a changé de position 9 mois plus tard, sans rendre public le moindre élément montrant que le traité ou ses risques avaient évolué entre-temps
Une coopération sur les preuves électroniques au-delà de la cybercriminalité
- La convention énumère des cybercrimes, mais les pouvoirs d’enquête procéduraux s’appliquent aux preuves électroniques de toutes les infractions pénales
- Les obligations de coopération internationale s’étendent à toutes les infractions graves passibles d’au moins 4 ans d’emprisonnement selon le droit national
- Certains pays prévoient de telles peines pour la critique du gouvernement, les activités journalistiques, le blasphème ou les relations homosexuelles
- Ces lois nationales pourraient servir de base à des demandes transfrontalières de collecte de preuves électroniques
- L’Electronic Frontier Foundation, ainsi que Human Rights Watch et une coalition d’organisations de défense des droits numériques, avertissent que la convention pourrait fonctionner comme un accord mondial de surveillance
- Elle exige que les États mettent en place des pouvoirs d’interception en temps réel et de collecte de données
- Elle laisse au droit interne de chaque pays la décision d’adopter ou non des garanties comme l’autorisation judiciaire préalable
- Elle autorise les ordres de confidentialité sur les demandes de coopération
- Elle ne prévoit pas d’exception pour les infractions politiques
Les avertissements de la société civile canadienne
- En décembre 2024, 20 organisations et experts canadiens, dont Amnesty International Canada, la Criminal Lawyers’ Association, PEN Canada et OpenMedia, ont appelé le gouvernement à refuser de signer
- Ron Deibert et Kate Robertson, du Citizen Lab, se sont également joints à cet appel
- La convention pourrait devenir un canal permanent de répression transnationale visant les communautés de la diaspora au Canada, et contourner les protections des mécanismes existants d’entraide juridique
- Robertson a séparément averti que la convention pourrait devenir un moyen de complicité dans le commerce de logiciels espions commerciaux
- Plus de 120 chercheurs en sécurité craignent que les dispositions pénales de la convention puissent criminaliser jusqu’à la recherche en sécurité menée de bonne foi
Politique d’accès légal et Bill C-22
- Les raisons de la signature n’ont pas été rendues publiques, et les préoccupations qui avaient conduit à l’absence du Canada 9 mois plus tôt demeurent inchangées
- Parmi les liens possibles figure la politique canadienne d’accès légal (lawful access)
- La ratification de la convention nécessiterait une loi mettant en œuvre des ordonnances de production élargies et des pouvoirs de partage transfrontalier de données, du type de ceux prévus dans le Bill C-22
- Le traité et la législation sur l’accès légal se renforcent mutuellement dans l’élargissement des pouvoirs
- Le Canada dispose déjà de la Convention de Budapest et de traités bilatéraux couvrant les pays avec lesquels il souhaite coopérer
- La valeur ajoutée du nouveau traité provient surtout de la coopération avec des pays incluant la Russie, la Chine et l’Iran, mais ces mêmes pays constituent aussi les principaux risques du traité
- Le gouvernement doit répondre aux questions essentielles sur la surveillance, les droits humains et le partage de preuves électroniques, au-delà d’une signature discrète au milieu de l’été et d’un communiqué de presse optimiste
1 commentaires
Avis sur Hacker News
En politique intérieure comme internationale, il existe cet étrange niveau où l’on envoie un signal fort à un public tout en faisant comprendre à un autre qu’on n’est pas sincère. Il est très difficile de savoir qui reçoit ce clin d’œil
La plupart des gens voudraient sans doute une politique WYSIWYG, qui dit clairement ce qu’elle est, mais en pratique cela a peu de chances de fonctionner. C’est un peu comme le Ned Stark droit et honnête qui finit rapidement exécuté, battu par la théorie des jeux et les tactiques de brinkmanship des autres
Aujourd’hui, les responsables politiques rencontrent successivement électeurs, lobbyistes, experts sectoriels et partenaires de coalition, puis déposent à un moment donné des projets de loi coordonnés de manière informelle depuis longtemps, et même les votes sont souvent décidés à l’avance
Pour rendre cela transparent, il faudrait rendre publiques toutes les rencontres et garantir l’absence de contacts informels. En pratique, cela supposerait que tous les participants soient réunis dans un même lieu pour des réunions filmées en continu, et que la carrière politique commence et se termine avec cette session
Autrement dit, comme pour l’élection d’un pape ou l’isolement d’un jury, on enfermerait dans un même bâtiment responsables politiques, dirigeants de comités d’action politique, lobbyistes, etc., sans les laisser sortir avant qu’ils aient produit un an de lois, tout en filmant tout et en leur interdisant d’être à deux dans une pièce sans caméra
Le Canada a de la chance d’avoir quelqu’un comme Michael Geist. Cela fait environ 20 ans qu’il couvre et enquête en profondeur sur les atteintes à la vie privée
Son texte de 2024, « Holy CRAP the UN Cybercrime Treaty is a nightmare », mérite aussi le détour : https://doctorow.medium.com/https-pluralistic-net-2024-07-23...
En mai 2026, les signataires incluent aussi des pays comme la Corée du Nord, l’Arabie saoudite et la Chine. Les États-Unis n’ont pas signé et, comme ils se considèrent au-dessus du droit international, il est peu probable qu’ils le fassent à l’avenir
Le Qatar, en particulier, a émis une réserve affirmant qu’il n’est pas lié par les articles 14 à 16 de la convention, au motif qu’ils entrent en conflit avec la charia islamique, le droit interne et les valeurs socioculturelles. Ces dispositions portent sur les contenus pédopornographiques en ligne, le grooming d’enfants et la diffusion non consentie d’images privées
Il est difficile de comprendre exactement ce que cela signifie. Je connais l’histoire selon laquelle le Prophète aurait épousé une enfant de 9 ans, mais l’âge minimum du mariage au Qatar est de 16 ans avec consentement parental, les mariages précoces y seraient rares, et j’avais compris que l’islam était aussi strict à l’égard des images elles-mêmes
L’Australie, l’UE et le Royaume-Uni ont aussi signé. Cela dit, l’effet d’une signature non ratifiée reste limité
Le Canada a tendance à signer la plupart des conventions liées à l’ONU
Les cybercriminels et les États semblent entretenir une relation de statu quo implicite du type « tant que vous ne faites pas s’effondrer notre économie, nous ne vous poursuivrons pas »
J’ai moi-même vu des cas où même les agences les plus puissantes n’arrivaient pas à arrêter et emprisonner des groupes pourtant relativement peu sophistiqués. L’idée qu’il faille un traité international pour commencer à agir est risible
Je me demande quand on verra enfin des lois qui renforcent réellement les droits numériques au lieu de continuer à les rogner.
Les États-Unis ont besoin d’une charte des droits numériques. Le droit de réparer, le droit d’obtenir les privilèges root sur ses propres appareils, le droit d’échapper à la surveillance de masse, le droit à l’informatique à usage général, et le droit d’accéder aux contenus expressifs sans vérification d’âge ou d’identité imposée par l’État devraient être garantis par la Constitution.
Je ne comprends pas pourquoi cela n’a pas été possible alors que la Silicon Valley et le capital-risque regorgent de millionnaires et de milliardaires aux penchants libertariens.
D’après la présentation du projet de loi, le gouvernement devrait obtenir un mandat pour accéder aux métadonnées, aux données de localisation et aux dossiers financiers, ne pourrait pas contourner la procédure de mandat en achetant des informations à des courtiers en données, interdirait la reconnaissance faciale sans mandat et la surveillance biométrique par IA dans les lieux publics, et permettrait aux particuliers d’attaquer l’État en justice en cas d’atteinte à leurs droits. Le texte intégral du projet est également public.
Mais sur le plan juridique, il se heurte à des contradictions internes. Si des entreprises fabriquent des appareils de surveillance impossibles à réparer ou à rooter, et que le public accepte de les utiliser, un libertarien qui pense n’avoir aucun droit de contrôler autrui ne peut pas intervenir. Il doit à la place créer de meilleurs appareils réparables et rootables, et c’est ce qui a donné GCC, Linux, Ubuntu, Firefox, Graphene, etc.
Pour mettre en place une vérification internationale de l’âge, il faut un traité permettant le partage numérique d’informations citoyennes, et tout indique que cette coopération mènera finalement à un Internet avec vérification d’identité.
Pour poursuivre des criminels, il faut vérifier l’auteur réel des actes, donc ils chercheront à bloquer l’accès anonyme à Internet et à rendre l’identité vérifiable à tout moment. Si quelqu’un au Royaume-Uni commet un crime au Canada via Internet, il est bien plus difficile à retrouver, donc il est logique qu’un cadre de coopération internationale tende à exiger une vérification d’identité côté backend.
Cela ressemble à l’extension du KYC. Il y a 50 ans, le gouvernement canadien savait très peu de choses sur le solde des comptes, les transactions, les investissements et les biens de ses citoyens, mais aujourd’hui, à ma connaissance, les informations et soldes des RRSP et des TFSA lui sont transmis chaque année, et même les données de transaction des comptes non enregistrés sont collectées. Une partie de ces obligations découle de traités internationaux ratifiés, et le niveau de surveillance financière est stupéfiant.
Il y a une génération, le simple fait d’exiger un NAS pour ouvrir un compte bancaire aurait déjà suscité une énorme controverse, et pourtant nous en sommes arrivés là.
Des bots, des acteurs étrangers et des acteurs malveillants diffusent déjà de la désinformation à grande échelle pour le profit ou pour des objectifs étatiques, et les LLM vont aggraver cela bien davantage. Il est difficile de voir une autre manière d’empêcher cela tout en préservant l’anonymat, et en l’absence d’une solution de terrain capable d’augmenter fortement le taux de réussite des poursuites pour cybercriminalité, il est très probable qu’on finisse avec un Internet sous gestion identitaire.
Même si l’on impose le filtrage aux entreprises, il est difficile de l’appliquer à tous les forums et à tous les torrents, et cela revient à laisser des entreprises privées décider de ce qui peut être publié. Et si l’on veut empêcher quelqu’un de recréer un compte après sanction, les entreprises exigeront elles aussi des pièces d’identité, tandis qu’il sera difficile de faire valoir des droits comme la présomption d’innocence, la confrontation avec son accusateur ou un procès devant jury face à une décision de blocage. Quand on est banni de Google ou de Facebook, il est déjà difficile de savoir pourquoi.
S’il faut absolument des gardiens, mieux vaut encore un gouvernement tenu de suivre les procédures des tribunaux pénaux que des entreprises privées motivées par le profit, mais dans les deux cas, c’est une voie profondément déplaisante.
Cela fait 30 ans que nous communiquons avec n’importe qui dans le monde via Internet, 20 ans que les escroqueries en ligne sont devenues matures, et au moins 15 ans que la propagande à l’échelle étatique a commencé. L’IA est certes une grande variable, mais comme dans d’autres domaines elle subit aussi des rendements décroissants et ne pourra pas s’étendre à l’infini. Si Internet devient trop rempli de déchets, les gens se replieront vers des communautés privées pour y construire leur propre confiance, et une attitude de méfiance par défaut envers Internet peut très bien se généraliser. Il est probable qu’on assiste à une séparation entre de grands réseaux sociaux appliquant une vérification d’identité forte et de petites communautés gérant chacune leur propre confiance.
Il serait encore moins mauvais que les entreprises soient les vérificateurs. Cela laisserait au moins une chance de survie aux petites communautés privées et empêcherait une traçabilité universelle, car les entreprises ne pourraient pas partager parfaitement les informations entre elles ni avec l’État.
Le vrai danger, c’est que l’IA donne au gouvernement la capacité d’enquêter en permanence sur tous les citoyens. Avant, il fallait soupçonner quelqu’un en particulier puis enquêter ; demain, on pourra d’abord examiner tous les comportements et enregistrer automatiquement ceux qui paraissent suspects. La vérification d’identité en ligne n’a rien à voir avec un NAS ou un permis de conduire utilisés dans des situations limitées. Internet sert à presque toutes les communications, donc un suivi automatique reviendrait à surveiller tout ce que nous disons et faisons.
Ce ne serait pas comme montrer son permis une fois à un policier dans un lieu donné, mais comme vivre dans un monde où l’identité est gravée sur la peau, où des milliards de caméras enregistrent et analysent chaque mouvement, puis où la police vient vous chercher. Je ne veux pas vivre dans un monde sans secrets, où ne subsistent qu’une connaissance totale et une application impitoyable ; je préfère encore le monde actuel.
La question de savoir si l’ensemble de la société doit accepter les restrictions d’autonomie et la gestion par dossier qui sont courantes chez les membres des organisations militaires et policières est une tout autre affaire. Les sociétés occidentales ont en général répondu non, mais elles reprennent maintenant le même chemin.