Listes de contrôle sur la préservation des données

Dans le cadre de la Réunion des ministres de la Justice et de l'Intérieur du G8 à Moscou en octobre 1999, les ministres ont reconnu que les autorités policières chargées de mener les enquêtes criminelles devraient, dans certaines circonstances, être capables d'élargir leurs démarches au-delà des frontières territoriales. À titre de première étape, le communiqué moscovite incluait les Principes relatifs à l'accès transfrontalier aux données informatiques selon lesquels des moyens pratiques et détaillés devraient permettre aux forces de l'ordre d'avoir accès rapidement aux données entreposées dans d'autres pays si ces données ont été publiquement accessibles ou ont été obtenues par voie de consentement.

En outre, le communiqué invitait les experts du G8 à « élaborer, en consultation avec l'industrie, un ensemble d'options concrètes permettant de dépister les communications électroniques transfrontalières dans le cadre des enquêtes criminelles » et à « convoquer une conférence où le G8 et l'industrie pourraient partager leurs idées sur la criminalité par Internet, en insistant sur les questions relatives à la localisation et à l'identification des criminels de l'Internet ». À ce jour, le G8 a tenu trois conférences sous le thème « Government-Industry Dialogues on Safety and Confidence in Cyberspace » (Dialogues gouvernement-industrie sur la sécurité et la confiance dans le cyberespace) : à Paris (du 15 au 17 mai, 2000), à Berlin (du 23 au 25 octobre 2000) et à Tokyo (du 22 au 24 mai 2001). Ces dialogues ont permis de discuter des problèmes communs et d'explorer les solutions à la criminalité en haute technologie et à l'exploitation d'Internet à des fins criminelles. Les principaux enjeux abordés dans le cadre de ces dialogues ont été les suivants : la conservation et la préservation des données, le dépistage en temps réel, l'évaluation et la prévention des menaces, ainsi que la formation.

Dans le cadre de ces consultations, le Sous-groupe sur le crime en haute technologie a élaboré le document intitulé « Recommandations sur le dépistage des communications électroniques transfrontalières dans le cadre des enquêtes sur les activités criminelles et terroristes », qui contient des éléments spécifiques au sujet de la préservation des données lorsque de multiples juridictions sont en cause.

La préservation des données n'oblige ni la collecte ni la conservation des données; il s'agit simplement d'une ordonnance d'« interdiction de suppression » touchant les données existantes. Un plan de préservation des données prévoit que, sur réception d'une demande licite et à la lumière des faits d'un cas spécifique, des données particulières déjà recueillies peuvent être préservées pour en empêcher la destruction. À une date ultérieure, une demande légale de la part d'une autorité compétente peut obliger la divulgation de ces données.

Trente-trois (33) pays ont signé la Convention sur la cybercriminalité du Conseil de l'Europe. Cette convention contient des dispositions sur la préservation des données, et un certain nombre de pays analysent actuellement la nécessité d'une nouvelle législation ou envisagent des options juridiques pour mettre en oeuvre un plan de préservation de données dans leurs pays.

Afin d'aider les pays dans cette tâche, le Sous-groupe sur le crime en haute technologie a élaboré les outils pratiques suivants : une liste de questions qui pourraient être envisagées dans tout cadre juridique actuel ou éventuel pour la préservation des données et une liste de contrôle des pratiques exemplaires pour faciliter les demandes de préservation de données de la part des forces policières. Ces outils sont issus du dialogue gouvernement-industrie du G8 qui s'est tenu à Tokyo. Même si le Sous-groupe du G8 sur le crime en haute technologie ne prévoit pas de lier les pays par ces documents, ceux-ci fournissent des conseils et de l'aide aux pays dans l'étude d'une nouvelle législation touchant la préservation des données et aux forces policières dans l'exécution des demandes de préservation des données.

Questions à envisager dans un cadre juridique de préservation des données

Objet : Ce document a pour but de proposer une série de questions qui pourraient être envisagées dans un cadre juridique actuel ou éventuel touchant la préservation des données.

Note : Aux fins du présent document, le terme « préservation » signifie que

• a)

  après demande admissible d'une autorité compétente,
• b)

  à partir des faits d'une enquête particulière,
• c)

  on peut préserver certaines données historiques particulières afin d'en empêcher la destruction,
• d)

  en attendant la demande de divulgation légale d'une autorité compétente.
  
  

La « préservation » n'inclut pas la collecte future de données et n'oblige pas un fournisseur de services à générer des données qui n'existent pas déjà.

• 1. Fondements juridiques
  • 1.1

    Sur quelles règles de procédure repose une ordonnance de préservation ?
  • 1.2

    Existe-t-il des fondements juridiques pour la délivrance d'une ordonnance de préservation ?
  • 1.3

    Existe-t-il des fondements juridiques pour l'inclusion, dans l'ordonnance de préservation, de types spécifiques de données (p. ex., données d'achalandage par opposition au contenu) ?
• 2. Portée
  Quels documents devraient être assujettis à une ordonnance de préservation ?
• 3. Durée de l'ordonnance de préservation
  Pendant combien de temps les documents devraient-ils être préservés ?
• 4. Formulaire de l'ordonnance de préservation
  • 4.1

    Devrait-il y avoir un formulaire uniformisé pour l'ordonnance de préservation ?
  • 4.2

    Quelle forme le formulaire d'ordonnance de préservation devrait-il prendre ?
    • Écrite seulement
    • Verbale
    • Verbale, suivie d'une confirmation par écrit
    • Courriel
• 5. Émetteurs autorisés
  • 5.1

    Quelles autorités compétentes (« émetteurs ») pourraient délivrer une ordonnance de préservation ?
  • 5.2

    Devrait-il y avoir des mesures d'authentification pour identifier les communications en provenance de l'émetteur ?
• 6. Application géographique
  Une ordonnance de préservation pourrait-elle s'appliquer à :
  • 6.1 Tous les documents situés à l'extérieur de la juridiction de l'émetteur ?
  • 6.2 Tous les destinataires situés à l'extérieur de la juridiction de l'émetteur ?
• 7. Confidentialité
  • 7.1

    L'émetteur pourrait-il exiger que le destinataire
    • a)

      assure la confidentialité de l'ordonnance de préservation et/ou
    • b)

      garde l'ordonnance de préservation confidentielle de l'objet de l'enquête ?
  • 7.2 Quelle serait la pénalité pour toute divulgation non autorisée ?
  • 7.3

    Devrait-il y avoir une date d'échéance ou de péremption pour toute exigence de confidentialité ?
• 8. Remboursement du destinataire
  Serait-il possible de rembourser un destinataire pour ses frais ? Quels coûts pourraient être recouvrés par le destinataire ?
• 9. Catégories de destinataires
  • 9.1

    Quelles entités (« destinataires ») seraient-elles admissibles à recevoir une ordonnance de préservation ?
  • 9.2

    Quels individus ou ministères relevant de l'entité destinataire devraient recevoir l'ordonnance de préservation ?
  • 9.3

    Une seule ordonnance de préservation pourrait-elle s'appliquer à de multiples destinataires d'une même juridiction ? Pourrait-elle s'appliquer à de multiples destinataires de différentes juridictions d'un même pays ?
• 10. Immunité des destinataires
   

  Une immunité contre toute poursuite légale serait-elle accessible à un destinataire par suite de conformité avec une ordonnance de préservation licite ? Spécifiquement, cette immunité prendrait quelle forme ?
  • 10.1 Immunité criminelle
  • 10.2 Immunité civile
  • 10.3 Immunité étrangère
• 11. Pénalité de non-conformité
   

  Quelle sanction (le cas échéant) serait imposée à un destinataire qui n'entreprend pas de respecter une ordonnance de préservation admissible ?
• 12. Droit de refus du destinataire
   

  Dans quelles circonstances un destinataire serait-il autorisé à demander une clarification, une modification ou une non-conformité par rapport à une ordonnance de préservation ?
• 13. Obligation de révocation
   

  L'émetteur aurait-il l'obligation de révoquer l'ordonnance de préservation lorsqu'il ne croit plus que l'ordonnance de divulgation suivra ?
• 14. Champ d'application
   

  Les données préservées pourraient-elles être divulguées et utilisées en vertu d'autres procédures judiciaires (p. ex., citation civile à comparaître), ou la divulgation et l'utilisation seraient-elles restreintes à une enquête criminelle spécifique étayant l'ordonnance de préservation ?
• 15. Liens avec les obligations en matière d'aide juridique mutuelle (AJM)
  • 15.1 Le processus d'ordonnance de préservation est-il conforme au processus d'AJM ?
  • 15.2 Quels critères (le cas échéant) devrait-on envisager au moment de décider d'émettre ou non une ordonnance de préservation à la demande d'une autorité compétente étrangère ?
  • 15.3 Une ordonnance de préservation est-elle adéquate ou possible lorsque la préservation est demandée par une autorité compétente étrangère et que, de l'avis de l'autorité compétente destinataire, il n'y a pas de double criminalité apparente derrière l'incident qui fait l'objet de l'enquête ?
• 16. Divulgation partielle
   

  Une forme quelconque de divulgation partielle devrait-elle être autorisée ou requise dans l'ordonnance pour préciser d'autres destinataires potentiels susceptibles de posséder des données pertinentes à l'enquête ?
• 17. Possibilité d'abus
   

  Quelles pratiques ou issues pourraient constituer un abus du processus de préservation ?
• 18. Possibilité de lois contradictoires
   

  Quelles lois pourraient entrer en conflit avec les exigences d'une ordonnance de préservation ?
• 19. Normes de divulgation
   

  Quelles normes régissent la divulgation des données préservées conformément à une ordonnance de préservation licite ?
• 20. Règlement des différends
   

  Quelle autorité (cour, commission, etc.) pourrait résoudre les différends portant sur la validité ou la portée d'une ordonnance de préservation ?

Liste de contrôle pour la préservation des dossiers des autorités policières

Objet : Cette liste de contrôle sert aux personnes qui travaillent pour une autorité compétente dans les cas d'enquête criminelle particulière pour laquelle on a émis une ordonnance de préservation.

Note : Aux fins de la présente liste de contrôle, le terme « préservation » signifie que

• a)

  après demande d'une autorité compétente,
• b)

  à partir des faits d"une enquête particulière,
• c)

  on peut préserver certaines données historiques particulières afin d'en empêcher la destruction,
• d)

  en attendant la demande de divulgation légale d'une autorité compétente.
  
  

La « préservation » n'inclut pas la collecte future de données et n'oblige pas le fournisseur de services à générer des données qui n'existent pas déjà.

• 1. Identifier la source de la demande de préservation
  • 1.1 nationale
  • 1.2 étrangère
• 2. Déterminer le fondement juridique de la demande de préservation
  • 2.1 loi autorisant la délivrance d'une ordonnance de préservation
  • 2.2 infraction criminelle qui fait l'objet de l'ordonnance de préservation
• 3. Déterminer la pertinence et la portée de l'ordonnance de préservation
  • 3.1

    L'ordonnance de préservation et sa portée sont-ils pertinentes ? Par exemple, l'ordonnance de préservation et les données dont on exige la préservation sont-elles
    • a) proportionnelles,
    • b) pertinentes à l'enquête ou
    • c) ne sont pas un fardeau déraisonnable pour le destinataire ?
  • 3.2 Les dossiers sont-ils accessibles au public ?
• 4. Déterminer de quels renseignements les autorités policières disposent déjà
  • 4.1 identité de la personne (son nom)
  • 4.2 le nom du compte (jos@internetmail.com)
  • 4.3 communication (courriel de A à B)
  • 4.4 Fichier (image, texte, etc.)
• 5. Identifier le destinataire de l'ordonnance de préservation
  • 5.1

    Quelle entité (« destinataire ») doit recevoir l'ordonnance de préservation ?
  • 5.2

    Quel département ou responsable du destinataire doit recevoir une copie de l'ordonnance de préservation ?
• 6. Détecter les dossiers à préserver
  
  Les types de dossiers suivants sont habituellement disponibles auprès des fournisseurs de services Internet. Il est à noter que toutes les données suivantes ne seront pas disponibles chez tous les destinataires et que les données disponibles dépendront du type d'entreprise et des pratiques de conservation des données du destinataire.
  • 6.1 dossier de l'abonné (ses nom et adresse civique)
  • 6.2

    données d'achalandage (ID utilisateur et adresse IP assignée) Note : La Convention sur la cybercriminalité du Conseil de l'Europe contient une définition des données d'achalandage.
  • 6.3 contenu entreposé (courriel, fichiers FTP entreposés)
  • 6.4 autres renseignements pertinents
• 7. Établir la portée de l'ordonnance de préservation
  • 7.1 durée de la préservation par le destinataire
  • 7.2 période des données pertinentes
• 8. Remboursement du destinataire
  Y a-t-il des lois, politiques ou accords au sujet du remboursement des coûts ?
• 9. Établir le meilleur moyen d'aviser le destinataire de l'ordonnance de préservation
  • 9.1 par écrit
  • 9.2 verbale
  • 9.3 verbale avec confirmation par écrit
  • 9.4 courriel
• 10. Préparer le plan de suivi en vue d'obtenir la divulgation