Le projet de loi n’est pas encore promulgué, et le gouvernement conteste la manière dont ses critiques l’interprètent. Mais pour les Canadiens qui dépendent de logiciels de protection de la vie privée, la liste des services susceptibles d’être abandonnés ne cesse de s’allonger.
Ce que Psiphon a dit, et pourquoi l’open source pose problème
Psiphon est né en 2006 en tant que projet du Citizen Lab à l’Université de Toronto. Beaucoup de ses utilisateurs vivent dans des pays comme l’Iran, la Russie et la Chine. L’entreprise publie l’intégralité de son code, et c’est là que réside le fondement de son opposition.
La vice-présidente Kenzie Elsworthy a déclaré au Globe and Mail qu’un point d’accès pour les forces de l’ordre ne peut pas être dissimulé dans un logiciel lisible par tout le monde. « Ce n’est pas un accès légal. C’est une vulnérabilité publiée », a-t-elle déclaré. Psiphon préfère rester, mais se relocaliserait si le projet de loi est adopté tel quel.
Ce que le C-22 exigerait réellement
Le projet de loi C-22, la Loi sur l’accès légal, 2026, a été présenté le 12 mars et a été adopté par la Chambre des communes le 18 juin. Sa première moitié met à jour les modalités selon lesquelles les forces de l’ordre et le Service canadien du renseignement de sécurité obtiennent les informations des abonnés au cours des enquêtes.
La seconde moitié établit un cadre selon lequel les « fournisseurs de services électroniques » peuvent être tenus de concevoir et de maintenir les moyens techniques permettant de remettre les informations lorsque les autorités disposent d’une autorisation légale. La définition est suffisamment large pour viser les applications de messagerie, les services cloud et les VPN. Les entreprises qui supporteront les charges les plus lourdes restent à déterminer une fois le texte adopté.
Ce que Ottawa a modifié, et ce qu’il affirme
Avant le vote de la Chambre, le gouvernement a modifié le texte. La version envoyée au Sénat prévoit une protection explicite du chiffrement de bout en bout et ramène la durée maximale de conservation des métadonnées de un an à six mois.
Ottawa a également rejeté l’affirmation selon laquelle le projet de loi obligerait les entreprises à construire des portes dérobées, et soutient que le Canada accuse un retard par rapport à ses alliés des Five Eyes sans ces pouvoirs. Les critiques estiment que les garanties ne vont pas assez loin. Le Sénat peut encore modifier le texte.
Pourquoi 23 entreprises demandent encore une correction
Le 24 septembre, 23 entreprises et organisations, dont Nord Security, la société derrière NordVPN, ont signé une lettre conjointe demandant aux ministres de la sécurité publique et de l’industrie de corriger le projet de loi avant son entrée en vigueur. Signal a dit qu’elle se retirerait du Canada plutôt que d’affaiblir ses engagements en matière de confidentialité.
NordVPN a déclaré en mai qu’il envisagerait de limiter ou de retirer sa présence dans la juridiction canadienne, et qu’il n’existe aucun scénario dans lequel il compromettrait son architecture sans journaux (no-logs) ou son chiffrement. Aucune de ces sorties n’a été mise en œuvre. Elles dépendent toutes du texte final.
Où se situe un VPN réellement utile, et où il ne l’est pas
Un VPN chiffre le trafic entre votre appareil et le serveur VPN et cache votre adresse IP des sites que vous visitez. Dans les faits, votre fournisseur d’accès Internet voit que vous êtes connecté à un VPN, mais pas les sites que vous consultez.
Cela ne vous rend pas invisible pour la loi. Un VPN n’arrête pas une ordonnance délivrée par un tribunal et livrée à votre fournisseur pour votre nom et votre adresse. Il ne dissimule pas ce que vous faites dans le compte auquel vous êtes connecté. Il ne peut pas modifier ce que n’importe quel service conserve déjà sur vous.
Et si les obligations du C-22 s’appliquent directement aux fournisseurs de VPN, la protection dépend de ce que le fournisseur conserve réellement et du pays dans lequel il est basé. C’est pourquoi la politique de journalisation et la juridiction comptent plus que les tests de vitesse lorsqu’on compare les meilleurs services VPN.
Où se situe NordVPN
NordVPN a son siège en dehors du Canada et applique une politique sans journaux, ce qui signifie qu’il ne conserve pas d’historique des sites que vous visitez. Notre avis sur NordVPN explique comment cette politique a été vérifiée de manière indépendante. Son protocole NordLynx, basé sur WireGuard, est inclus dans chaque formule.
Threat Protection Pro, qui bloque les pages de phishing, les traqueurs et les domaines malveillants, et Dark Web Monitor, qui vous avertit si vos identifiants apparaissent dans des fuites criminelles, sont inclus dans les plans Advanced et Ultra, et non dans le plan Basic.
Si le projet de loi est adopté tel quel, NordVPN a déclaré que sa réponse serait de modifier son implantation au Canada, et non sa journalisation. La question de savoir si ses serveurs canadiens resteront disponibles demeure en suspens.
NordVPN Basic à 3,49 $ par mois
Le plan NordVPN Basic coûte 3,49 $ par mois dans l’offre de deux ans, facturé 94,23 $ pour 27 mois (24 mois plus 3 mois gratuits), soit une réduction de 69 %.
Le processus de paiement proposera les formules Advanced ou Ultra. Vous n’en aurez besoin que si vous souhaitez Threat Protection Pro ou Dark Web Monitor. Après la première période, le renouvellement se fait à 139,08 $ par an, pensez donc à mettre un rappel. Il existe une garantie de remboursement de 30 jours, les remboursements étant demandés via le support par chat 24h/24 et 7j/7 et retournés sous 5 à 10 jours ouvrables.
