Archives de catégorie : Législation

Corsaires et pirates informatiques: devrait-on ressusciter le concept des lettres de marque?

Publié le par

Le Wall Street Journal contenait un article d’opinion en matière de cybersécurité qui a attiré mon attention, intitulé A Maritime Solution for Cyber Piracy. L’auteur, un avocat ayant travaillé par l’Air Force, suggère que, face au problème d’apparence insurmontable qu’est le piratage informatique, les États-Unis devraient penser à ressusciter le concept des «lettres de marque» afin de mobiliser des citoyens pour sa cyberdéfense.

La «letter of marque» («lettre de permission» ou «lettre de commission») était un concept juridique de licence (permission) permettant au gouvernement américain de confier à un citoyen, à une entreprise ou à une équipée un rôle dans la défense de la nation ou son commerce. En gros, à une époque où le gouvernement américain était souvent mal équipé pour composer avec les menaces navales et le piratage naval, le gouvernement s’était inspiré des nations européennes ayant elles-mêmes depuis longtemps autorisé des citoyens («privateers») à écumer les mers pour cibler les pirates ou des actifs de nations ennemies. Une fois en possession de lettres de marque, un citoyen, une entreprise ou une équipée pouvait agir contre des pirates ou les possessions d’un pays avec lequel on était en guerre sans risque de répercussions légales pour avoir attaqué un autre bateau ou une possession étrangère à l’extérieur des États-Unis, etc.

Ces autorisations permettaient donc à des «corsaires» (des citoyens en mission navale pour l’État ) d’attaquer les ennemis de la nation, en étant habituellement motivés par des récompenses liées aux navires coulés ou capturés, par exemple.

En somme, ces lettres permettaient de compter sur des mercenaires pour voir à la sécurité de la nation, dans la mesure où le gouvernement s’avérait mal équipé pour le faire entièrement lui-même. C’est ce qui mène l’auteur de l’article à suggérer que face à la menace sans cesse croissante du piratage informatique, on pourrait songer à ramener le concept des lettres de marque, afin d’autoriser des entreprises et des experts en cybersécurité à écumer l’Internet pour stopper les pirates informatiques.

Comme on le constate, nos gouvernements sont généralement peu efficaces pour contrer les cas de piratage informatique, du moins à court terme, préférant s’attaquer (juridiquement) aux plus gros cas à l’aide des forces de l’ordre et du système judiciaire. La quantité de problèmes de cybersécurité rend l’implication de l’État inadéquate pour endiguer réellement le problème, les menaces de ce type pouvant aller jusqu’à menacer les infrastructures de la nation (comme on l’a vu récemment avec l’attaque liée à un oléoduc américain par SolarWinds).

Fait intéressant, l’article souligne que SolarWinds a bien fonctionné entre autres parce que le droit américain interdit à son chien de garde principal en matière de cybersécurité (la NSA) de surveiller les réseaux et systèmes situés à l’intérieur des États-Unis. Ainsi, des attaques issues de systèmes hébergés aux États-Unis (chez Microsoft et Amazon, dans ce cas-ci) peuvent passer inaperçues ou sous le radar jusqu’à ce qu’il soit trop tard.

C’est ce qui fait dire à l’auteur qu’on devrait peut-être songer à combler le vide en matière de cybersécurité en ramenant le concept des lettres de marque, qu’on pourrait adapter à l’ère numérique. Devant des menaces de cybersécurité incessantes, le fait d’offrir des récompenses aux individus et aux entreprises pourrait nous permettre de mieux composer avec le problème, en créant des incitatifs (notamment financiers) adéquats, non seulement pour ce qui est de «couler» les pirates, mais aussi (et peut-être surtout) en partageant de l’information que les sociétés victimes sont souvent réticentes à divulguer en pratique.

Bien que j’ignore comment cela pourrait fonctionner en pratique, je trouve que l’idée est certainement intéressante. À voir le flot quasi incessant d’histoires de piratage informatique à la une depuis quelques années, il faut avouer qu’une nouvelle solution s’impose. Visiblement, notre système est incapable de composer adéquatement avec la cybercriminalité. Peut-être est-il temps d’envisager des solutions juridiques de rechange?

Refonte de la loi canadienne en matière de renseignements personnels: le projet de loi C-11 défectueux selon le Commissaire canadien

Publié le par

Bien qu’on présente le projet de loi fédéral C-11 comme une refonte législative visant à favoriser les droits des individus quant à leurs données, le Commissaire canadien à la protection de la vie privée se montrait sceptique, lors d’une conférence récente organisée par Option consommateurs. Selon lui, le projet de loi C-11 s’avère en réalité un pas de recul, notamment parce qu’il n’offrirait pas de contrôle suffisant aux individus relativement à leurs renseignements.

Comme on s’en souviendra, l’automne dernier, le gouvernement fédéral déposait un projet de loi visant à complètement remplacer la loi actuelle en matière de renseignements personnels, une loi adoptée il y a plus de 20 ans et désormais désuète.

Selon le commissaire Therrien, ce projet de loi comporterait de nombreuses lacunes que nous aurions avantage à corriger avant de l’adopter, notamment en matière de consentement éclairé. Sa critique à ce sujet est notamment que la nouvelle loi continuerait de permettre aux entreprises d’utiliser une langue qui s’avère trop souvent vague, opaque ou même obscure, quand on déclare le genre d’utilisation qu’on entend faire des renseignements des personnes qui consentiraient. Alors que dans d’autres juridictions (comme l’Europe) chaque entreprise doit nommer de façon claire ses fins explicites, précises et légitimes pour utiliser des données personnelles, pour l’instant, le projet de loi C-11 ne l’exigerait pas. C’est ce qui fait notamment dire au Commissaire qu’on est à affaiblir notre régime de protection en matière de renseignements personnels.

Sans grande surprise, le Commissaire critique aussi l’idée de confier le pouvoir d’imposer des amendes non pas à sa propre Commission, mais plutôt à un nouveau tribunal administratif qui sera créé de toute pièce. Selon lui, cette nouvelle structure alourdira inutilement le processus (en plus d’encourager les entreprises à interjeter appel afin de contester ses décisions éventuelles, plutôt que de régler les litiges), ce qui défavorisera les personnes dans leurs tentatives de protéger leurs renseignements.

De plus, force est de constater (et suis bien d’accord) que C-11 cible un nombre trop restreint de violations de cette loi éventuelle comme base possible d’un recours pouvant mener à des amendes pour les entreprises délinquantes. Par exemple, aucune obligation liée à la validité des consentements qu’on aurait cherché à obtenir ne serait placée dans cette catégorie selon le projet tel qu’il existe actuellement. À ce sujet, d’ailleurs, le Commissaire critique aussi la panoplie d’exceptions au prérequis d’un consentement que prévoit le projet C-11, notamment parce que plusieurs de ces exceptions sont trop vagues pour bien servir les intérêts des individus une fois la loi en vigueur.

Le Commissaire se montre aussi réfractaire à l’approche qu’adopte C-11 en visant à permettre aux entreprises de s’autoréglementer, en quelque sorte, en adoptant des protocoles qu’elles choisissent elles-mêmes.

Pour prendre un pas de recul, le Commissaire réitère d’ailleurs qu’un problème fondamental de l’approche canadienne actuelle a trait à l’absence du droit à la protection de nos renseignements dans nos Chartes, alors que leur inclusion en ferait un droit fondamental de l’individu.

Retour sur Internet des plans d’impression 3D d’armes à feu

Publié le par

Les médias américains rapportent récemment plusieurs nouvelles relativement au problème de société que représentent les armes à feu fantômes (ou «ghost guns»). Ces armes sont des incarnations de modèles réels créées presque entièrement à partir de plans numériques (et d’imprimantes 3D) par des citoyens désireux de se munir d’armes. Il s’agit là d’un bon exemple de problématique à laquelle est confrontée la société une fois que les citoyens peuvent soudainement créer de toute pièce (littéralement) de très nombreuses sortes d’objets jusqu’ici restreints, incluant des armes.

Le problème de ces armes fantômes, c’est que comme elles ne proviennent pas de manufacturiers légaux, elles s’avèrent impossibles à contrôler par l’état américain, ou presque. Malgré le droit de porter les armes, même la société américaine ne peut que s’inquiéter de la possibilité que toute personne puisse, par le truchement de l’Internet et de son achat d’une simple imprimante 3D, produire de véritables armes à feu fonctionnellement 100% équivalentes à celles qui se vendent sur le marché.

Depuis 2015, une décision judiciaire avait permis d’ajouter les plans numériques pour imprimer en 3D de pareilles armes au «State Department’s Munitions List», une liste énumérant ce qui ne peut pas être librement exporté – et, par extension, publié en ligne. On avait alors interdit la publication en ligne des plans numériques, statuant qu’ils devaient être assimilés à des composantes d’armes ou des munitions. Cela n’avait cependant pas duré très longtemps, un litige ayant bientôt mené l’administration en place à retirer ces plans de la liste il y a quelques années. Dès lors, les plans d’impression 3D d’armes à feu pouvaient à nouveau librement circuler (légalement) sur l’Internet, même aux États-Unis.

Devant ce danger perçu pour leur sécurité publique, toute une série d’États américains avaient alors déposé des procédures judiciaires contre le gouvernement fédéral, cherchant à remettre ces plans à l’index, question d’évacuer les plans 3D en question de l’Internet.

Dans le tout dernier chapitre de cette saga, un tribunal d’appel californien vient de rendre une décision confirmant que le gouvernement avait bien le droit de retirer ces plans de sa liste noire. Selon le tribunal, si le gouvernement voulait retirer ces plans de sa liste, c’était sa prérogative. Les plans 3D d’armes à feu peuvent donc de nouveau circuler librement en ligne, en principe.

Comme on s’en doute, cette décision est loin de faire l’unanimité, alors qu’on continue de craindre la prolifération des armes illégales aux États-Unis une fois ces plans rendus facilement accessibles. Il semble qu’une étude démontre que le tiers des armes à feu saisies en Californie en 2019 appartenaient à la catégorie des armes fantômes. Bien que plusieurs États exigent en principe que ceux qui s’impriment une telle arme l’enregistrent auprès des autorités, de nombreux producteurs maison ne le font pas.

Je lisais d’ailleurs hier qu’on parle déjà aux États-Unis de modifier la loi afin de clarifier que des plans d’impression 3D (d’armes) doivent être considérés comme des composantes ou des munitions et, donc, qu’ils peuvent être interdits de publication.

Au Canada, nous commençons aussi à voir le phénomène des armes fantômes, comme en témoigne, par exemple, cette nouvelle de septembre dernier en Alberta.

Pas de doute, l’impression 3D représente bien un défi pour la société et le droit, alors que dans le monde numérique d’aujourd’hui, on peut trouver des plans et imprimer à peu près n’importe quoi, incluant même des maisons et de l’armure anti-balles. On n’arrête pas le progrès!