Allocution au Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants - le 4 mai 2026

L’honorable Simon Noël, c.r., commissaire au renseignement

(Le texte prononcé fait foi)

Merci, Monsieur le Président, et honorables membres, pour l’invitation. Je suis accompagné aujourd’hui de Justin Dubois, directeur exécutif et avocat général au Bureau du commissaire au renseignement.

J’ai comparu devant ce comité pour discuter du projet de loi C-26, la version précédente de ce projet de loi. Je demeure d’avis que le Canada doit disposer des outils nécessaires pour protéger nos systèmes électroniques essentiels, mais que ces outils doivent être accompagnés de mesures de protection appropriées et d’une surveillance indépendante. Le projet de loi C-8 est un outil utile et j’appuie ses objectifs. Cependant, je suis d’avis qu’une surveillance indépendante renforcerait le projet de loi. 

L’une de mes fonctions en tant que commissaire au renseignement – que je désignerai sous le sigle CR – est d’approuver les autorisations ministérielles pour les activités de cybersécurité. Ces autorisations accordent au CST la permission d’accéder aux systèmes informatiques d’entités non fédérales désignées comme étant importantes pour le gouvernement fédéral et d’y recueillir de l’information. Les systèmes informatiques des gouvernements du Nunavut, des Territoires du Nord-Ouest et du Yukon en sont un exemple dans le domaine public.

La raison pour laquelle mon approbation est nécessaire est que, pour que le CST soit efficace dans l’exécution d’activités de cybersécurité sur ces systèmes, il devra inévitablement recueillir de l’information à l’égard de laquelle les Canadiens ont une attente raisonnable en matière de vie privée. Le Parlement a donc estimé qu’une surveillance s’imposait. Avant d’approuver des activités de cybersécurité, je m’assure qu’elles sont raisonnables et proportionnelles, et que le CST dispose de mesures de protection appropriées pour protéger l’information dans laquelle les Canadiens peuvent avoir un intérêt en matière de vie privée.

En vertu de ce projet de loi, des règlements préciseront quels renseignements les exploitants désignés devront fournir au CST s’ils sont victimes d’un incident de cybersécurité. Le CST est notre expert en cybersécurité. Il est dans l’intérêt national que le CST ait une compréhension plus complète des cyber incidents afin d’y répondre plus efficacement. Les renseignements partagés devront être suffisants pour donner au CST une compréhension solide de l’incident. Cependant, il n’existe pas de surveillance indépendante d’un règlement.

D’après mon expérience en tant que CR, même si le CST ne s’intéresse qu’aux renseignements techniques, il peut arriver qu’il doive recevoir plus que des renseignements techniques pour comprendre l’incident de cybersécurité. Il peut également arriver que les renseignements techniques eux-mêmes touchent aux intérêts des Canadiens en matière de vie privée. En effet, dans ses observations écrites présentées à ce comité, le CST confirme que les données relatives aux cyber incidents peuvent inclure des renseignements comportant un intérêt pour la vie privée de Canadiens. Par exemple, les adresses IP peuvent être des indicateurs de compromission partagés pour mieux comprendre les incidents de cybersécurité, et la Cour suprême du Canada a confirmé qu’il peut exister des intérêts en matière de vie privée à l’égard des adresses IP. Il importe également de rappeler que, en vertu du projet de loi proposé, la déclaration des cyberincidents sera obligatoire. Par l’intermédiaire du CST, le gouvernement recueillerait/saisirait ces renseignements.

Je considère qu’il est nécessaire de recueillir des renseignements relatifs aux incidents de cybersécurité. Le CST devrait recevoir les renseignements dont il a besoin pour être efficace. Cependant, je ne suis toujours pas convaincu qu’un règlement garantira que les renseignements partagés à la suite d’un incident de cybersécurité ne toucheront absolument jamais aux intérêts en matière de vie privée. Si c’est le cas, la question pour ce comité est de savoir si une surveillance supplémentaire est justifiée.

Je serai heureux de répondre à vos questions.