Politique de demandes des forces de l'ordre

Date d'entrée en vigueur : 4 mai 2026

Objet

Procédures de traitement des demandes des forces de l'ordre relatives aux données des utilisateurs, et circonstances restreintes dans lesquelles Rideau AI peut divulguer proactivement des renseignements.

Divulgation proactive (sans mandat)

Rideau AI peut divulguer proactivement des renseignements personnels sans le consentement de l'utilisateur en vertu de deux dispositions distinctes de la PIPEDA (« Loi sur la protection des renseignements personnels et les documents électroniques ») :

PIPEDA 7(3)(d) : Contravention présumée à une loi

Nous pouvons divulguer des renseignements personnels de notre propre initiative à une institution gouvernementale lorsque nous avons des motifs raisonnables de croire que les renseignements sont liés à une contravention aux lois fédérales ou provinciales qui a été commise, est en train d'être commise ou est sur le point de l'être. Cela couvre les situations où nos systèmes de sécurité du contenu détectent des éléments probants d'activité criminelle (p. ex., matériel d'exploitation sexuelle d'enfants, menaces crédibles de violence, fraude).

PIPEDA 7(3)(e) : Urgence menaçant la vie, la santé ou la sécurité

Nous pouvons divulguer des renseignements personnels à une personne qui en a besoin en raison d'une situation d'urgence menaçant la vie, la santé ou la sécurité d'un individu. Avis obligatoire : si l'individu dont les renseignements sont divulgués est vivant, nous devons l'informer par écrit sans délai de la divulgation.

Les deux dispositions sont exercées avec prudence et de manière conservatrice. La décision de divulguer est toujours prise par une personne, jamais de manière automatisée.

Ce qui ne satisfait PAS ce seuil :

• Les scénarios hypothétiques
• L'écriture créative (fiction, scénarios)
• Les discussions à des fins universitaires ou de recherche
• Les questions générales sur des sujets sensibles
• Les déclarations vagues sans cibles ni échéanciers précis

Processus de divulgation proactive

1. La détection automatisée signale du contenu pouvant indiquer un crime ou un danger imminent
2. Examen humain requis : aucune divulgation automatisée
3. Mike Brown (responsable de la protection de la vie privée / seul exploitant au lancement) évalue la situation
4. Déterminer quelle disposition de la PIPEDA s'applique : 7(3)(d) (crime présumé) ou 7(3)(e) (urgence menaçant la vie, la santé ou la sécurité)
5. Consulter un conseiller juridique avant toute divulgation
6. Si la divulgation est justifiée : signaler au service de police local du territoire de compétence de l'utilisateur (réponse la plus rapide en cas de menace imminente; utiliser les données d'adresse IP ou de localisation pour déterminer le territoire de compétence) ou à la GRC si la menace est de nature fédérale ou si le territoire de compétence ne peut être déterminé
7. Documenter la décision, la justification, la disposition de la PIPEDA invoquée et ce qui a été divulgué
8. Conserver toutes les données pertinentes
9. Si la disposition 7(3)(e) a été invoquée : aviser l'individu par écrit sans délai que ses renseignements ont été divulgués (exigence légale obligatoire). Cet avis ne peut être retardé que si une ordonnance de non-divulgation spécifique existe.

Divulgation réactive (avec procédure judiciaire)

Instruments juridiques valides (Canada)

• Ordonnance de communication (Code criminel, art. 487.014) : la plus courante
• Demande de préservation (Code criminel, art. 487.012) : exige la préservation des données informatiques pendant 21 jours
• Mandat de perquisition (Code criminel, art. 487)
• Ordonnance du tribunal (diverses dispositions)
• Traité d'entraide juridique (MLAT) : pour les demandes de gouvernements étrangers. Le gouvernement étranger s'adresse au ministère de la Justice du Canada, qui obtient ensuite une ordonnance de communication ou un mandat canadien pour nous le signifier. Nous recevons et répondons à l'instrument juridique canadien, et non directement à la demande étrangère.

Instruments non valides ou insuffisants

• Les demandes informelles de la police (aucune obligation légale de s'y conformer)
• Les assignations étrangères sans MLAT
• Les « National Security Letters » américaines (non applicables au Canada)
• Les mandats émis en vertu du CLOUD Act américain adressés directement à Rideau AI (nous sommes une entreprise canadienne, non assujettie à la compétence américaine)

Processus de réponse

1. Réception de l'instrument juridique
2. Vérification de l'authenticité et du territoire de compétence
3. Évaluation de la portée : contestation des demandes excessives
4. Consultation d'un conseiller juridique
5. Communication uniquement des données visées par l'instrument juridique valide
6. Limitation liée au ALE : le contenu des conversations est chiffré au moyen du ALE. Nous détenons les clés et pouvons déchiffrer lorsqu'une ordonnance judiciaire canadienne valide nous y contraint. Nous pouvons également produire sans déchiffrement : les métadonnées du compte, les données d'utilisation, les données de session, les événements de sécurité et l'historique des violations.
7. Aviser l'utilisateur, sauf si une ordonnance de non-divulgation ou une ordonnance de silence spécifique jointe à l'instrument juridique l'interdit expressément. Note : une ordonnance de mise sous scellés du dossier judiciaire n'interdit pas automatiquement d'aviser l'utilisateur. Rechercher un libellé explicite de non-divulgation dans l'instrument lui-même. Consulter un conseiller juridique en cas de doute.
8. Documenter la conformité

Considérations relatives au CLOUD Act

• Le Canada n'a pas conclu d'accord exécutif avec les États-Unis en vertu du CLOUD Act
• Les mandats émis en vertu du CLOUD Act américain peuvent atteindre les données stockées par des fournisseurs infonuagiques dont le siège social est aux États-Unis (p. ex., Microsoft Azure)
• Mesure d'atténuation de Rideau : les clés de chiffrement du ALE sont détenues exclusivement au Canada, sur une infrastructure contrôlée par Rideau AI. Azure ne possède pas les clés et ne peut pas déchiffrer le contenu des conversations. Un mandat émis en vertu du CLOUD Act adressé à Microsoft ne produirait que du texte chiffré.
• Pour qu'un gouvernement étranger accède aux données déchiffrées : il doit obtenir une ordonnance d'un tribunal canadien par l'entremise des processus d'entraide juridique. C'est la protection juridictionnelle fondamentale que procure le ALE.

Ce que nous pouvons produire

Rapports de transparence

Lorsque l'entreprise atteindra une envergure suffisante, Rideau AI publiera un rapport de transparence annuel comprenant :

• Le nombre de demandes des forces de l'ordre reçues
• Le fondement juridique de chacune (ordonnance de communication, mandat, ordonnance du tribunal, MLAT)
• Le nombre de demandes auxquelles nous avons donné suite, que nous avons contestées ou qui ont été retirées
• Le nombre de cas où l'utilisateur a été avisé
• Le nombre de divulgations proactives (PIPEDA 7(3)(d) et 7(3)(e))

Le rapport ne comprendra PAS de détails susceptibles d'identifier des utilisateurs ou de compromettre des enquêtes en cours.