Le cas des données protégées par un mot de passe

Bien que la Cour suprême ait décidé que l’existence ou non d’un mot de passe protégeant des appareils électroniques n’ait pas une incidence importante sur l’existence d’une attente raisonnable de vie privée336_{, cet élément n’est pas sans incidence pour les forces de l’ordre. En}

effet, l’existence d’un mot de passe peut compliquer le travail policier, voire même l’empêcher complètement.

Ce scénario ne relève pas seulement de la fiction. Aux États-Unis, les autorités de San Bernardino en Californie ont été confrontées à ce problème après avoir découvert un téléphone iPhone protégé par un mot de passe et par cryptage, après un attentat ayant fait plusieurs morts337_{. L’entreprise Apple, fabricant du téléphone, a refusé de fournir les mots de passe qui}

auraient permis aux policiers d’accéder aux données, obligeant le Federal Bureau of Investigation (FBI) d’avoir recours aux services chers payés d’un consultant qui serait en fait

335 _{À ce sujet, la Cour suprême n’a pas conclu que la prise de note était nécessaire au plan constitutionnel, mais}

qu’elle était néanmoins souhaitable. R. c. Vu, préc., note 142, par. 70.

336 _{R. c. Fearon, préc., note 133, par. 57.}

337 _{Arjun KHARPAL, « Apple vs FBI: All you need to know » (29 mars 2016), en ligne :}

un pirate informatique338_{. Bien que le téléphone ait finalement été déverrouillé, cette situation}

soulève plusieurs interrogations par rapport aux options qui s’offrent aux policiers dans ce genre de dossier.

L’état du droit au Québec semble clair sur la question de savoir si on peut forcer un suspect à fournir son mot de passe de manière verbale ou écrite aux policiers. En effet, la Cour d’appel du Québec, dans la décision Boudreau-Fontaine, a clairement refusé qu’un juge force un individu à fournir son mot de passe aux policiers, par l’entremise d’un mandat de perquisition339_.

Selon la Cour, cette condition du mandat de perquisition contrevenait directement au droit au silence et au droit contre l’auto-incrimination dont jouit l’accusé et ne pouvait être justifiée par les paragraphes 487(2.1) et (2.2.) C.cr. 340_{. La Cour souligne également que la preuve ne révélait}

pas si les policiers auraient pu avoir autrement accès à l’ordinateur, sans forcer l’accusé à s’incriminer de la sorte341_{. L’état du droit aux États-Unis semble être le même quant à la}

possibilité de forcer un individu à fournir son mot de passe verbalement ou par écrit aux autorités342_.

Quelles autres options s’offrent donc aux policiers devant un appareil protégé par un mot de passe? Ils pourront bien évidemment essayer de déverrouiller les appareils saisis autrement, soit en recourant à des logiciels particuliers, à des experts en informatique ou simplement en fonctionnant par essai-erreur. Ils pourront également tenter de saisir d’autres appareils ou des notes manuscrites, sur lesquels les mots de passe pourraient être indiqués343_.

Dans certains cas, il se pourrait qu’une tierce partie soit en mesure d’accéder au mot de passe. Une autorisation judiciaire pourrait-elle alors être utilisée afin d’obtenir celui-ci? Selon l’auteure Sarah Wilson, les mots de passe font définitivement l’objet d’une attente raisonnable de vie

338 _{Mark HOSENBALL, « FBI paid under $1 million to unlock San Bernardino iPhone: sources », Reuters (4 mai}

2016), en ligne : <https://www.reuters.com/article/us-apple-encryption/fbi-paid-under-1-million-to-unlock-san- bernardino-iphone-sources-idUSKCN0XQ032> (consulté le 14 avril 2018).

339 _{R. c. Boudreau-Fontaine, préc., note 186, par. 46.} 340 _{Id., par. 46 et 59.}

341 _{Id., par. 44.}

342 _{Dan TERZIAN, « The Micro-Hornbook on the Fifth Amendment and Encryption », 104 Georgetown Law J. 168,}

170.

privée, bien qu’ils aient été partagés avec une tierce partie, en l’occurrence le FSI344_{. Cette}

constatation est particulièrement pertinente aux États-Unis, où la third party doctrine peut nier l’existence même d’une attente raisonnable de vie privée dès que l’information a été révélée à un tiers345_{. Cependant, selon elle, la protection offerte par la Constitution américaine – que ce}

soit en matière de fouilles, saisies et perquisitions abusives ou en matière de droit contre l’auto- incrimination – n’empêche pas les forces de l’ordre d’obtenir un mot de passe directement d’un FSI346_.

À l’instar de l’auteure, nous pensons que les mots de passe font effectivement l’objet d’une attente raisonnable de vie privée, notamment en raison des informations privées que leur utilisation peut révéler, du fait que les individus ne divulguent habituellement pas leurs mots de passe à n’importe qui et puisqu’on ne pense généralement pas qu’un FSI pourra être contraint de divulguer ceux-ci. À tout le moins, une autorisation judiciaire serait donc nécessaire afin d’obtenir des mots de passe par l’entremise d’un FSI. Dans ce cas, l’ordonnance générale de communication devrait être utilisée, puisqu’aucune autre disposition spécifique ne vise les mots de passe347_{. Malgré cette constatation, il est utile de préciser que la majorité des fabricants}

d’appareils électroniques ne conservent pas le mot de passe que l’usager utilise afin d’accéder à l’appareil. Ce ne seront donc que les mots de passe de comptes en ligne, tels que les comptes courriel ou des comptes de réseaux sociaux, qui pourront être obtenus par ordonnance de communication.

Certaines questions demeurent en suspens au Canada sur le sujet des mots de passe. En effet, alors qu’aux États-Unis il a été décidé qu’un individu pouvait légalement être contraint à déverrouiller son téléphone à l’aide de son empreinte digitale348_{, nous n’avons répertorié aucune}

344 _{Sarah WILSON, « Compelling Passwords from Third Parties: Why the Fourth and Fifth Amendments Do Not}

Adequately Protect Individuals When Third Parties Are Forced to Hand over Passwords », (2015) 30 Berkeley

Technol. Law J. 1.

345 _{Id., 15.} 346 _{Id., 33.} 347 _{Voir annexe I.}

décision canadienne sur le sujet349 _{ni à propos d’autres mesures de protection biométriques}350_.

L’utilisation de logiciels ou d’appareils enregistreurs de frappe – qui permettent d’obtenir les touches tapées par un individu afin de deviner ses mots de passe351 _{– ne semble pas non plus}

avoir été examinée par un tribunal canadien siégeant en matière criminelle et pénale352_{. Nous}

pensons toutefois que ces questions se retrouveront inévitablement devant les tribunaux sous peu, en raison des intérêts importants en matière de vie privée qu’elles soulèvent et du recours grandissant à ce type de technologie.