Projet De Loi C-22 : Les Startups Réclament Des Amendements

Quand des entreprises spécialisées dans les réseaux privés et la sécurité décident d’écrire collectivement aux ministres, ce n’est presque jamais un exercice de communication cosmétique. C’est souvent le signe qu’un texte législatif touche un nerf : celui de la confiance que les utilisateurs accordent à des outils conçus pour protéger leurs données. Au Canada, le projet de loi C-22, présenté comme un dispositif d’« accès légal » pour la police et le renseignement, a relancé ce débat avec une intensité rare dans l’écosystème tech.

Pourquoi des entreprises tech relancent le débat sur C-22

Une lettre ouverte signée par des sociétés canadiennes et européennes a été adressée aux ministres responsables de l’industrie et de la sécurité publique. Le message est net : le texte, même après certains ajustements, continuerait d’éroder la confiance dans l’industrie technologique du pays et de fragiliser sa position concurrentielle. Parmi les signataires canadiens figurent Tailscale, basée à Toronto, le fournisseur de réseau privé virtuel Windscribe, également torontois, l’entreprise de logistique Gobolt, la filiale canadienne de Coinbase, ainsi que Beauceron Security, établie à Fredericton.

Le projet ne vise pas seulement les géants étrangers. Il s’appliquerait aux prestataires de services numériques ayant des abonnés au Canada, peu importe le pays d’origine. Autrement dit, une plateforme de messagerie, un service de VPN ou un outil de réseau d’entreprise pourrait se retrouver soumis aux mêmes obligations dès lors qu’il compte des utilisateurs sur le territoire. Cette extra-territorialité pratique explique en grande partie la nervosité des fondateurs.

Ce que le texte cherche réellement à obtenir

Sur le papier, l’intention affichée est classique : permettre aux enquêteurs et au Service canadien du renseignement de sécurité d’obtenir plus facilement des informations numériques auprès des fournisseurs, dans le cadre d’enquêtes légitimes. Les autorités soulignent depuis des années que certains dossiers criminels se heurtent à des systèmes chiffrés, à des métadonnées volatiles et à des acteurs qui ne conservent presque rien.

Le problème, du point de vue des entreprises, n’est pas l’existence d’enquêtes. C’est la manière dont on transforme des services conçus pour minimiser la collecte en relais d’accès. Conserver plus longtemps des traces, répondre à des demandes élargies, ou adapter des architectures pour les rendre « interrogeables » change la nature même du produit. Une fois cette porte ouverte, le risque n’est plus seulement juridique : il devient technique et commercial.

Le Canada devrait pouvoir soutenir des enquêtes légitimes sans rendre les systèmes sécurisés plus faciles à attaquer, et sans rendre les entreprises canadiennes moins compétitives à l’échelle mondiale, alors que davantage de pays recherchent une infrastructure de confiance et souveraine.

– Avery Pennarun, PDG et cofondateur de Tailscale

Les craintes concrètes des fondateurs

Yegor Sak, dirigeant de Windscribe, a déjà pris position contre le texte. Selon lui, le cadre actuel rendrait le Canada intenable pour des entreprises technologiques étrangères comme nationales. Le mot n’est pas anodin : il évoque un départ, une réorganisation juridique, ou un gel des investissements. Signal, plateforme de messagerie chiffrée, a également évoqué la possibilité de retirer certaines opérations du pays si le texte restait tel quel. Tailscale a pour sa part indiqué qu’elle pourrait devoir envisager des structures corporatives destinées à éloigner ses activités internationales du Canada.

Ces mises en garde ne relèvent pas d’un simple théâtre politique. Dans le marché de la cybersécurité et des réseaux, la promesse commerciale tient souvent à une phrase : nous ne pouvons pas livrer ce que nous ne détenons pas. Dès qu’une loi impose de détenir davantage, ou de concevoir un accès, cette phrase s’effondre. Les clients institutionnels, surtout hors du pays, comparent alors l’offre canadienne à celles de juridictions perçues comme plus prévisibles.

Des concessions déjà faites, mais jugées insuffisantes

Le gouvernement a modifié certains aspects du projet. L’une des évolutions les plus visibles concerne la durée de conservation des métadonnées : elle serait passée d’un an à six mois. Pour Ottawa, c’est un compromis. Pour les signataires de la lettre, le cœur du problème demeure. Six mois de traces restent une fenêtre large. Surtout, la logique d’obligation pèse encore sur des acteurs dont le modèle consiste précisément à limiter ces traces.

Les groupes de libertés civiles avaient, dès le dépôt du texte, parlé de pouvoirs de surveillance sans précédent. Les entreprises, elles, ont insisté sur un autre angle : la conformité forcerait à trahir la parole donnée aux utilisateurs. Ces deux lectures se rejoignent sur un point. Une fois qu’un fournisseur devient un point d’accès privilégié, la frontière entre enquête ciblée et pression systémique devient floue.

• Élargissement de l’accès aux informations numériques détenues par les prestataires.
• Application aux services ayant des abonnés au Canada, même s’ils sont établis ailleurs.
• Réduction de la conservation des métadonnées, de douze à six mois, jugée insuffisante par plusieurs acteurs.
• Risque d’affaiblissement des architectures de sécurité et de la promesse de confidentialité.

Un calendrier politique qui inquiète autant que le fond

Le contraste législatif n’échappe à personne. Pendant que C-22 avance et se trouve désormais examiné au Sénat, le projet visant à moderniser le droit canadien de la protection des renseignements personnels, souvent évoqué sous le nom de C-36, en est encore à une étape beaucoup plus précoce. Autrement dit, le texte qui étend les leviers d’accès progresse plus vite que celui qui est censé renforcer le contrôle des citoyens sur leurs données.

Cette asymétrie nourrit un soupçon simple : l’État canadien voudrait à la fois parler de souveraineté numérique et obtenir davantage de prises sur les infrastructures privées. Or, pour une startup qui vend de la sécurité, la souveraineté n’est pas un slogan. C’est une architecture, un siège social, une chaîne de sous-traitance, et surtout une capacité à dire non à des demandes incompatibles avec le produit.

Compétitivité : le coût invisible d’une loi mal calibrée

Les fondateurs le répètent : le Canada pourrait devenir un lieu moins attractif pour bâtir des services de confiance, au moment même où d’autres pays cherchent des fournisseurs « souverains ». Si une entreprise torontoise doit expliquer à un client européen ou asiatique que ses systèmes peuvent être contraints d’évoluer pour répondre à un régime d’accès élargi, le devis se complique. Parfois, le contrat ne se signe plus.

Il ne s’agit pas seulement de Tailscale ou de Windscribe. Un écosystème de startups en cybersécurité, en finance numérique, en messagerie ou en infrastructure cloud dépend du même actif immatériel : la réputation d’être un refuge technique plutôt qu’un relais. Lorsque cette réputation vacille, les talents suivent les clients. Les sièges se déplacent. Les structures juridiques se dédoublent. Le pays garde l’étiquette « innovation », mais perd la substance.

Les investisseurs, eux, détestent l’incertitude réglementaire plus encore que l’impôt. Un texte qui reste flou sur l’étendue des obligations, les délais, les sanctions ou les exceptions pour le chiffrement de bout en bout crée un risque de valorisation. On ne finance pas volontiers une entreprise dont le produit phare pourrait devenir illégal à exploiter tel quel, ou trop coûteux à conformer.

Sécurité nationale et sécurité technique ne sont pas synonymes

Le débat public bascule trop souvent dans une opposition caricaturale : d’un côté les enquêteurs, de l’autre les idéologues de la vie privée. La réalité industrielle est plus sèche. Toute backdoor, même encadrée, même destinée à un juge, reste une surface d’attaque. Ce qui est accessible à une autorité peut, un jour, l’être à un adversaire. Les historiques d’incidents dans d’autres pays l’ont montré : les mécanismes d’accès deviennent des cibles.

C’est précisément ce que souligne Pennarun lorsqu’il oppose enquêtes légitimes et systèmes plus faciles à attaquer. Une startup de réseau ne vend pas un slogan libertaire. Elle vend une réduction de risque. Si la loi l’oblige à augmenter ce risque pour tous afin de faciliter quelques dossiers, le calcul produit-client s’inverse. Les utilisateurs sérieux, entreprises comme particuliers, iront ailleurs.

Ce que les signataires demandent vraiment

La lettre n’appelle pas à l’absence de coopération avec la justice. Elle demande de nouveaux amendements, assez substantiels pour préserver des systèmes difficiles à compromettre et une industrie capable d’exporter de la confiance. En pratique, cela signifie limiter le champ des acteurs visés, encadrer strictement les types de données exigibles, éviter les obligations de conservation trop larges, et ne pas forcer la conception de failles.

Les entreprises européennes associées à la démarche ajoutent une dimension diplomatique. Le Canada aime se présenter comme un partenaire fiable dans les chaînes de valeur transatlantiques. Si ses règles d’accès divergent trop de ce que ces acteurs considèrent comme tenable, le pays cesse d’être un pont. Il devient un cas particulier à gérer, parfois à contourner.

Le Sénat, dernier filtre avant un basculement durable

Le texte n’est plus au stade de l’annonce. Il est suffisamment avancé pour que les fondateurs parlent de structures alternatives et de retrait d’activités. Le Sénat devient donc le lieu où le calibrage peut encore changer. Soit les préoccupations industrielles sont traitées comme des détails communicants, soit elles sont lues comme un signal d’alarme sur la place du Canada dans l’économie des infrastructures numériques.

Pour les lecteurs qui suivent l’innovation canadienne, l’enjeu dépasse un article de loi. Il s’agit de savoir si le pays veut rester un terreau pour des outils de sécurité exportables, ou s’il accepte que ses pépites se réorganisent ailleurs afin de continuer à vendre la même promesse. La lettre de Tailscale, Windscribe et des autres signataires ne clôt pas le débat. Elle le replace là où il aurait dû rester depuis le début : entre la nécessité d’enquêter et le refus de casser ce qui rend les systèmes dignes de confiance.

Dans les mois qui viennent, chaque amendement, chaque définition de « prestataire », chaque règle sur les métadonnées pèsera plus lourd qu’un communiqué. Les utilisateurs, eux, jugeront moins aux discours qu’à un critère simple : leurs outils restent-ils conçus pour les protéger, ou deviennent-ils, par obligation, des archives en attente d’une requête ?