Quelle est l’importance des adresses IP dans la protection de la vie privée

De l’autre côté de la médaille, l’enjeu de protection de la vie privée et des renseignements personnels devient préoccupant également. Les utilisateurs de ces outils technologiques s’exposent à des risques de vol d’identité, de fraude, de cyberattaque et d’incident de confidentialité.  

C’est dans ce contexte que la Loi sur la protection des renseignements personnels dans le secteur privé (ci-après « Loi 25 ») vient offrir une protection à tous les individus qui ont confié leurs renseignements personnels à une organisation ou entreprise québécoise. Dans l’analyse de la Loi 25, un élément mérite une attention particulière. En effet, on ne saurait apprécier les effets de cette loi sans comprendre préalablement la définition d’un renseignement personnel. Dans les lignes qui suivent, nous allons tenter de définir cette expression et, tout particulièrement, déterminer si l’adresse IP peut être considérée comme un renseignement personnel.

D’amblée, l’article 2 de la Loi 25 offre une définition très simpliste : un renseignement personnel est un renseignement qui concerne une personne physique et permet, directement ou indirectement, de l’identifier. Conséquemment, la Loi 25 comporte deux critères déterminants. En premier lieu, un renseignement personnel concerne uniquement les personnes physiques. En deuxième lieu, un tel renseignement doit permettre l’identification d’une personne. Ce sont deux critères cumulatifs.

Le Gouvernement du Québec, sur son site officiel, propose une définition plus détaillée, mais qui reprend les mêmes idées :

« Un renseignement est personnel lorsqu’il concerne une personne physique et qu’il en permet, directement ou indirectement, l’identification. Voici ce qui le caractérise :

• il doit faire connaitre quelque chose à quelqu’un;
• il doit avoir un rapport avec une personne physique;
• il doit être susceptible de distinguer cette personne par rapport à une autre ou de reconnaitre sa nature. »

À titre d’exemples, nous pouvons penser aux renseignements de santé (dossiers médicaux, ordonnances), aux renseignements scolaires (diplôme, curriculum vitæ) et aux renseignements d’identification (adresse résidentielle, numéro de téléphone), et cetera.

Cette liste n’est nullement exhaustive. Parmi les renseignements non énumérés, nous souhaitons attirer votre attention sur un élément particulier : le statut des adresses IP.

Sans élaborer davantage, une adresse IP est la pierre angulaire de notre système technologique. Il s’agit d’une série de chiffres qui permet d’identifier votre ordinateur chaque fois que vous allez sur Internet. Plus précisément, votre fournisseur d’Internet attribue une adresse IP à chaque outil technologique (connecté à Internet) que vous utilisez. Cette information est normalement enregistrée automatiquement par votre fournisseur Internet, par le propriétaire du site web que vous consultiez et par votre propre instrument technologique par l’entremise des cookies.  Elle est souvent utilisée pour répertorier le nombre de visites et le comportement des visiteurs sur un site donné afin de maximiser leurs techniques publicitaires.

Déjà en 2013, le Commissariat à la protection de la vie privée du Canada a publié un rapport dans lequel il énumère les renseignements personnels qui sont susceptibles d’être communiqués par l’adresse IP. En effet, à partir de l’adresse IP, les informations suivantes peuvent être divulguées : l’emplacement géographique de l’ordinateur, les adresses courriel utilisées, et bien plus.

Bien que ce renseignement soit très important, il est souvent méconnu du public. Considérant que l’adresse IP constitue le fondement même de notre Internet et qu’elle contient potentiellement des informations sensibles, dans quelle mesure les adresses IP impactent-elles notre vie privée et peuvent-elles être considérées comme des renseignements personnels.    

À cet égard, la Cour suprême du Canada (ci-après « Cour »), dans le récent arrêt R. c. Bykovets , nous donne une piste de réflexion. Dans cette affaire, la Cour doit déterminer si la protection de la vie privée des Canadiens et des Canadiennes prévue dans l’article 8 de la Charte canadienne des droits et libertés s’étend également à leurs adresses IP.

Sous la plume de l’honorable Karakatsanis, la Cour s’exprime ainsi :

« [28] […] Considérée de manière normative, une adresse IP est la clé donnant accès à l’activité Internet d’un utilisateur et, ultimement, à son identité, de sorte qu’elle suscite une attente raisonnable au respect de la vie privée. S’il doit protéger de manière significative la vie privée en ligne des Canadiens et des Canadiennes dans le monde actuel qui est très largement numérique, l’art. 8 doit protéger leurs adresses IP. ‍

[54] Ce principe est particulièrement clair en cas de fouille de renseignements numériques. Les ordinateurs sont différents. Ces appareils stockent d’immenses quantités de renseignements — dont certains sont générés automatiquement et conservés à l’insu de l’utilisateur — qui peuvent toucher à l’ensemble de renseignements biographiques d’ordre personnel (Vu, par. 41). Ces intérêts en matière de vie privée peuvent être encore plus manifestes si l’appareil sert à se connecter à Internet (Cole, par. 47). En effet, « il est difficile d’imaginer une atteinte plus grave à la vie privée » que les fouilles relatives à l’utilisation d’Internet par une personne (R. c. Morelli, 2010 CSC 8, [2010] 1 R.C.S. 253, par. 105). ‍

[68] Enfin, lien par lien, une adresse IP peut mettre l’État sur la trace d’une activité Internet anonyme qui mène directement à l’identité d’un utilisateur. L’expert utilise l’exemple d’une adresse IP qui se connecte à un profil de média social en particulier ou d’un compte de courriel qui contient des renseignements permettant d’inférer l’identité de l’utilisateur, comme son nom. À partir de là, une petite inférence suffit pour découvrir l’identité de l’utilisateur. […]‍

[70] Par conséquent, une adresse IP peut révéler un éventail de renseignements éminemment privés qui touchent directement aux détails intimes sur le mode de vie et les choix personnels d’un utilisateur individuel. (nos soulignements) »

Pour finir, la Cour, à la majorité de 5 contre 4, conclut qu’une adresse IP suscite une attente raisonnable en matière de respect de la vie privée. La protection contre la fouille et la perquisition de la Charte s’applique par conséquent.

Comme l’indique la Cour dans l’affaire précitée, une adresse IP permet de révéler de nombreux renseignements qui concernent un individu et par la suite découvrir l’identité de ce dernier. Dans le même ordre d’idée, une adresse IP correspond parfaitement à la définition d’un renseignement personnel au sens de la Loi 25.

Pour conclure, cet arrêt récent de la Cour suprême du Canada nous rappelle l’importance et la vulnérabilité de nos renseignements personnels. Certains éléments inaperçus, comme les adresses IP, peuvent contenir de nombreuses informations qui sont susceptibles de porter atteinte à notre vie privée. Bien que, depuis 2022, la Loi 25 protège nos renseignements personnels qui sont recueillis par des entreprises québécoises, il faut toujours être prudent et se méfier de la technologie lorsque l’on sollicite ses bienfaits.