propose que le projet de loi , soit lu pour la deuxième fois et renvoyé à un comité.
— Monsieur le Président, j'ai l'honneur de participer au lancement du débat en deuxième lecture du projet de loi , loi concernant la cybersécurité. Je sais que la Chambre attendait avec impatience l'occasion de poursuivre les discussions sur cette importante mesure législative.
D'entrée de jeu, je rappelle que la cybersécurité constitue un enjeu de sécurité nationale. Nous devons nous assurer que les mesures de protection que nous mettons en place permettent de relever tous les défis qui se présentent aujourd'hui. Nous devons également veiller à ce que les secteurs public et privé puissent mieux se protéger contre les activités malveillantes, notamment les cyberattaques. Ce projet de loi vise à protéger le Canada et l'infrastructure essentielle sur laquelle comptent les Canadiens. Il va sans dire que ce ne sera pas la dernière fois que cet enjeu reviendra sur le tapis.
Les décisions que nous prenons aujourd'hui en matière de cybersécurité nous aideront à établir les bases de notre approche pour l'avenir, parce que force est de reconnaître que les mesures que nous prenons en ce qui concerne le cyberespace sont en constante évolution. Bref, nous savons que pour relever les défis qui se présentent, nos décisions doivent toujours servir de fondement pour assurer efficacement la sécurité des Canadiens afin qu'ils puissent prospérer au XXIe siècle.
Il est essentiel pour tous les Canadiens d’être en ligne et connectés. Aujourd’hui plus que jamais, les Canadiens comptent sur Internet dans la vie de tous les jours, et ce, pas seulement pour faire des affaires et payer des factures. C’est aussi pour rester en contact avec nos êtres chers d’un océan à l’autre et, en fait, dans le monde entier. Nos infrastructures essentielles sont de plus en plus interconnectées, interdépendantes et intégrées aux cybersystèmes, en particulier avec l’émergence de nouvelles technologies comme la 5G, qui fonctionnera à des vitesses beaucoup plus élevées et favorisera une polyvalence, une capacité et une complexité accrues par rapport aux générations précédentes.
[Français]
Certes, la technologie présente d'importants avantages et débouchés économiques, mais elle entraîne à sa suite de nouvelles vulnérabilités sur le plan de la sécurité qu'il peut être tentant d'exploiter de façon malveillante.
La pandémie de la COVID‑19 a illustré toute l'importance d'une connectivité sécuritaire et fiable pour les Canadiens. Le gouvernement est déterminé à stimuler la sécurité du cyberavenir du Canada.
[Traduction]
Nous sommes aussi conscients des éléments qui représentent une menace à la sécurité. Les cybermenaces représentent encore un danger considérable pouvant porter atteinte à la sécurité nationale et économique. Dans son rapport intitulé « Évaluation des cybermenaces nationales 2023‑2024 », le Centre canadien pour la cybersécurité a conclu ceci:
Les activités de cybermenace parrainées par des États et motivées par un intérêt financier sont de plus en plus susceptibles de toucher directement les Canadiens [...]
Les cybercriminels exploitent les infrastructures essentielles, car toute interruption peut être préjudiciable pour les processus industriels et leurs clients. Les auteurs de menace parrainés par des États ciblent les infrastructures essentielles afin d'obtenir de l'information en se livrant à l'espionnage, de se prépositionner en cas d'éventuelles hostilités et de faire acte de force et d'intimidation.
Ces activités ne cesseront pas. Des acteurs malveillants pourraient exploiter la connectivité accrue pour poser des actes malveillants pouvant avoir de graves répercussions sur la sécurité publique et nationale.
[Français]
Les grandes entreprises et les fournisseurs d'infrastructures essentielles sont ciblés dans la recherche de vulnérabilités et d'occasions d'infiltration, de vol et de rançon.
Comme ses alliés, le Canada a consacré des efforts pour remédier à ces vulnérabilités et pour assurer la sécurité des Canadiens et des entreprises canadiennes.
[Traduction]
Le Canada reconnaît depuis longtemps l’importance de sécuriser ses cybersystèmes. En 2013, le Canada a établi un cadre collaboratif d’atténuation des risques, le Programme d’examen de la sécurité du Centre de la sécurité des télécommunications. Ce programme a contribué à atténuer les risques découlant de l’équipement et des services désignés que l’on envisageait d’utiliser dans les réseaux de télécommunications canadiens 3G, 4G et LTE.
De plus, des consultations menées auprès des Canadiens en 2016 ont éclairé la Stratégie nationale de cybersécurité de 2018. Cette stratégie a établi un cadre pour aider le gouvernement du Canada à protéger les citoyens et les entreprises contre les cybermenaces et à tirer parti des possibilités économiques offertes par la technologie numérique.
[Français]
En 2019, le gouvernement a versé 144,9 millions de dollars pour élaborer un cadre de protection des cybersystèmes essentiels.
En 2021, le gouvernement a achevé son examen interministériel de la sécurité des télécommunications 5G. Les conclusions de ce dernier comportaient la recommandation de faire progresser, en collaboration avec l'industrie, le cadre actuel d'atténuation des risques pour les produits et les services destinés aux réseaux de télécommunication canadiens.
Tout ce travail accompli depuis de nombreuses années pour apporter des solutions à ces problèmes connus et pour améliorer la position du Canada en matière de cybersécurité, notamment avec la technologie 5G, nous mène au projet de loi d'aujourd'hui.
[Traduction]
Le projet de loi a deux objectifs. Premièrement, il vise à modifier la Loi sur les télécommunications afin d'ajouter expressément la promotion de la sécurité aux objectifs stratégiques, ce qui permettrait d'aligner le secteur des télécommunications sur d'autres secteurs des infrastructures essentielles.
[Français]
Les modifications à la Loi autoriseraient le gouverneur en conseil et le ministre de l'Innovation, des Sciences et de l'Industrie à instaurer, après consultation avec les parties prenantes concernées, et à mettre en œuvre l'énoncé de politique « Sécuriser le système de télécommunications au Canada », que j’ai annoncé le 19 mai 2022 de concert avec mon collègue le .
[Traduction]
Comme nous l’avons annoncé à l’époque, il s’agissait d’interdire l’utilisation de produits et de services par deux fournisseurs à risque élevé et leurs affiliés. La Stratégie allait permettre au gouvernement, au besoin, d’interdire aux fournisseurs canadiens de services de télécommunications d’utiliser des produits ou des services de fournisseurs à risque élevé, ce qui signifie que ces risques ne seraient pas transmis aux utilisateurs. Elle allait permettre au gouvernement de prendre des mesures de sécurité, comme le font d’autres organismes de réglementation fédéraux dans leurs secteurs respectifs des infrastructures essentielles.
La deuxième partie du projet de loi présente la nouvelle Loi sur la protection des cybersystèmes essentiels, ou LPCE. Cette nouvelle loi obligerait les exploitants désignés des secteurs sous réglementation fédérale des finances, des télécommunications, de l’énergie et des transports à protéger leurs cybersystèmes essentiels. À cette fin, les exploitants désignés seraient tenus d’établir un programme de cybersécurité, d’atténuer les risques liés aux produits ou aux services de tiers partis dans la chaîne d’approvisionnement, de signaler les incidents de cybersécurité au centre de cybersécurité et, enfin, de mettre en œuvre des directives en matière de cybersécurité.
Cette loi prévoirait la capacité de prendre des mesures à l’égard d’autres vulnérabilités, comme les erreurs humaines ou les tempêtes qui peuvent entraîner un risque d’interruption de ces services essentiels. Une fois mise en œuvre, elle aiderait les organisations à prévenir une vaste gamme de cyberactivités malveillantes, y compris les cyberattaques, l’espionnage électronique et les rançongiciels, ainsi qu'à s’en remettre.
Le déploiement de la technologie 5G au Canada va bon train. Cette technologie permettra aux Canadiens de transmettre plus de données plus rapidement. Elle sera avantageuse pour les Canadiens et pour notre économie, mais elle s’accompagnera de risques accrus. Le cadre mis à jour du Canada, établi dans la partie 1, s’harmonise avec les mesures prises par nos partenaires du Groupe des cinq, en particulier au Royaume‑Uni. J’ajouterai que j’ai récemment rencontré nos homologues à Washington D.C. il n’y a pas si longtemps.
Il permettrait au Canada de prendre des mesures contre les menaces à la sécurité de notre secteur des télécommunications, au besoin. Les mesures législatives donneraient au gouvernement le pouvoir légal clair et explicite d’interdire aux fournisseurs canadiens de services de télécommunications d’utiliser des produits et des services de fournisseurs à risque élevé, comme Huawei et ZTE, au besoin et après consultation.
[Français]
Lorsque ces modifications auront reçu la sanction royale, le gouvernement sera en mesure d'appliquer ces nouveaux pouvoirs d'ordonnance à la Loi sur les télécommunications.
[Traduction]
La Loi sur la protection des cybersystèmes essentiels prévue à la partie 2 est également conforme à la législation sur la cybersécurité des infrastructures essentielles établie par nos partenaires du Groupe des cinq et fournirait une approche intersectorielle cohérente en matière de cybersécurité des infrastructures essentielles canadiennes.
Les exploitants désignés seraient tenus de protéger leurs cybersystèmes essentiels par l’établissement d’un programme de cybersécurité et d’atténuer les risques liés à la cybersécurité qui sont associés à la chaîne d’approvisionnement ou aux produits et services provenant de tiers.
Passé un certain seuil, les cyberincidents seraient déclarés et la loi donnerait au gouvernement un nouvel outil lui permettant d’imposer des mesures, au besoin, en réponse aux menaces ou aux vulnérabilités sur le plan de la cybersécurité. Les parties 1 et 2 du projet de loi sont nécessaires pour assurer la cybersécurité des infrastructures essentielles sous réglementation fédérale et, par conséquent, pour protéger les Canadiens et les entreprises canadiennes.
Dans l’ensemble, le projet de loi est la démonstration de l’engagement du gouvernement à accroître le niveau de référence en matière de cybersécurité à l’échelle du pays et à contribuer à la sécurité nationale et à la sécurité publique de tous les Canadiens.
[Français]
La cybersécurité s'avère aussi essentielle dans le contexte de notre reprise économique après la pandémie de la COVID‑19. Dans notre monde toujours plus connecté, nous devons prendre les mesures nécessaires pour garantir la sécurité de nos données et éviter qu'elles soient exploitées par des acteurs, que ce soit des États ou non, qui cherchent constamment à exploiter nos systèmes.
[Traduction]
Tout rétablissement à la suite d’incidents de cybersécurité est à la fois coûteux et long. Ainsi, s’agissant d’amélioration de la cybersécurité, les intérêts du gouvernement et de l’industrie privée sont à l’unisson. Néanmoins, un régime de sanctions administratives pécuniaires et des dispositions relatives aux infractions seraient établis dans les deux parties du projet de loi afin de promouvoir le respect des ordonnances et des règlements, au besoin.
Toutes les mesures que j’ai soulignées aujourd’hui constituent un élément fondamental de notre engagement continu à investir dans la cybersécurité, notamment pour protéger les Canadiens contre la cybercriminalité et pour contribuer à la défense des systèmes essentiels du secteur privé. À l’instar de ses alliés, le Canada s’efforce de remédier à ces vulnérabilités afin d’assurer la sécurité des Canadiens et des entreprises canadiennes. Cependant, nous devons veiller à être prêts à faire face aux menaces qui planent.
[Français]
Par exemple, contrairement aux lois régissant d'autres secteurs d'infrastructures essentielles, la Loi sur les télécommunications ne prévoit aucune autorité législative officielle chargée de faire progresser la sécurité du système de télécommunications du Canada. Malgré l'existence de multiples programmes et tribunes qui permettent une collaboration du public et du privé au sein du secteur des télécommunications, la participation y est volontaire.
[Traduction]
De plus, dans l’ensemble des secteurs des infrastructures essentielles hautement interconnectés et interdépendants du Canada, les niveaux de préparation à la cybersécurité varient, et il n’est actuellement pas obligatoire d’échanger des informations sur les cyberincidents. En outre, le gouvernement ne dispose aujourd’hui d’aucun mécanisme juridique visant à contraindre l’application de mesures destinées à protéger ces systèmes. Ce sont des lacunes importantes que le projet de loi présenté aujourd’hui vise à combler. C’est pourquoi le gouvernement établit un cadre de cybersécurité solide et moderne pour suivre le rythme des menaces en constante évolution dans notre environnement.
Pour résumer, le projet de loi jetterait les bases de la protection des infrastructures essentielles du Canada contre les cybermenaces qui évoluent rapidement, tout en stimulant la croissance et l’innovation pour soutenir notre économie. Les cybersystèmes sont naturellement complexes et de plus en plus interdépendants avec d’autres infrastructures essentielles. Cela signifie que les conséquences des atteintes à la sécurité sont considérables. Voilà la raison pour laquelle le projet de loi prévoit une approche intersectorielle cohérente en matière de cybersécurité.
Le projet de loi C‑21, que nous avons déposé et dont nous débattons actuellement, protégerait les Canadiens et les cybersystèmes dont ils dépendent pendant de nombreuses années. Il convient de remarquer que ce projet de loi peut servir de modèle aux provinces, aux territoires et aux municipalités pour aider à sécuriser les infrastructures essentielles qui ne relèvent pas de la compétence fédérale. Il s’agit d’un ajout essentiel à l’arsenal déjà important du Canada, qui est destiné à nous protéger et à protéger notre économie contre les cybermenaces. Il nous permettrait de continuer à prendre des mesures encore plus vigoureuses contre les menaces à la sécurité de notre secteur des télécommunications et de veiller à ce que le Canada demeure sécuritaire, concurrentiel et branché.
J'invite tous les députés à faire comme moi et à soutenir aujourd'hui le projet de loi , un projet de loi historique en matière de cybersécurité.
:
Monsieur le Président, c’est un honneur pour moi de prendre la parole aujourd’hui à la Chambre au sujet du projet de loi , Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives a d’autres lois.
Il s’agit d’un projet de loi crucial, et je suis très heureuse de voir que la Chambre tient aujourd’hui ce débat. Je sais que la cybersécurité est importante pour le , alors je lui attribue le mérite d’avoir présenté ce projet de loi. Tous les ministres de tous les ordres de gouvernement devraient en apprécier l’importance. Il est essentiel que nous tenions ce débat aujourd’hui.
Il y a un peu moins d’un an, j’ai assisté à une séance d’information d’experts en cybersécurité du ministère. J’en ai beaucoup appris sur les risques auxquels le Canada fait face en matière de cybersécurité. J’ai tout simplement demandé aux experts ce qui serait, dans le pire des cas, un moment « Pearl Harbor » pour le Canada. Ils m’ont répondu qu’il s’agirait d’une attaque de cybersécurité contre nos infrastructures électriques ou contre notre réseau d’oléoducs en plein hiver. S’il y avait une cyberattaque ou une attaque par rançongiciel contre les infrastructures qui tiennent les Canadiens au chaud en plein hiver, ce serait absolument dévastateur, surtout dans les provinces, les régions et les territoires les plus froids du pays.
Pour donner aux Canadiens une idée de la gravité et de l’importance de cette question, je dirai qu’il est indispensable non seulement de présenter un projet de loi sur la cybersécurité qui renforce nos capacités, mais aussi de s’assurer de le faire de la bonne façon. Plusieurs questions qui ont été posées avant mon intervention faisaient état d'un certain nombre de problèmes dans le projet de loi.
Je vais énumérer quelques-unes des cyberattaques qui se sont produites récemment au Canada et aux États‑Unis. Nous savons que l’Agence du revenu du Canada a subi une attaque de ce genre en août 2020, et que près de 13 000 Canadiens en ont été victimes. En octobre 2020, c’est un hôpital de Terre‑Neuve qui a été attaqué, et les pirates informatiques ont dérobé les renseignements personnels d’un certain nombre d’employés et de patients de quatre régions sanitaires, ainsi que les numéros d’assurance sociale de plus de 2 500 patients. Ce sont donc des renseignements très personnels qui ont été volés à cette occasion.
En janvier 2022, c’est Affaires mondiales Canada qui a été attaqué, à peu près au moment de l’invasion illégale de l’Ukraine par la Russie. Selon certaines sources, les pirates responsables de cette cyberattaque étaient peut-être russes ou parrainés par la Russie.
Il s’agissait là d’une attaque extrêmement grave contre un deuxième ministère du gouvernement. Manifestement, le gouvernement n’est pas à l'abri de ce genre de cyberattaques.
L’attaque la plus spectaculaire, si j’ose dire, a été une attaque par rançongiciel dirigée contre des infrastructures clés des États‑Unis, en mai 2021. Il s’agissait d’un pipeline. Le président Biden a dû déclarer l’état d’urgence, et 17 États lui ont emboîté le pas. C’était une attaque très grave, qui montre à l’évidence ce dont sont capables certains de ces pirates et la menace qu’ils représentent au quotidien pour les Canadiens et pour l’ensemble du Canada, ainsi que pour nos alliés.
Ce projet de loi est présenté dans la foulée de l’annonce faite récemment, dans la dernière année, par le gouvernement disant qu'il avait décidé d’exclure Huawei de notre infrastructure 5G. C'est d'ailleurs ce que réclamaient les conservateurs et la Chambre des communes depuis déjà un certain temps. Ce projet de loi permettra de mettre en œuvre, concrètement, cette interdiction. Encore une fois, c’est une décision qui a beaucoup tardé. Si elle avait été prise il y a plusieurs années, on aurait évité beaucoup de difficultés et beaucoup de dépenses inutiles à nos entreprises de télécommunications et, par le fait même, aux consommateurs. Je me demande quel a été l’impact financier sur les factures de téléphone des Canadiens, par exemple, d’une décision qui aurait dû être prise il y a bien longtemps.
Je suis la vice-présidente du comité de la sécurité publique et nationale. J'ai été l'instigatrice d'une étude que nous avons entreprise, et qui est sur le point d'être finalisée, sur la position de sécurité du Canada par rapport à l'agression russe. Une grande partie de cette étude porte sur la cybersécurité. Les témoins experts ont invariablement tiré la sonnette d'alarme en affirmant que la cybersécurité relève de la plus haute importance. C'est une question que le gouvernement du Canada, le secteur privé, les gouvernements provinciaux et, bien franchement, les administrations municipales doivent prendre extrêmement au sérieux. La situation évolue rapidement. Je me permets de fournir des citations de quelques-uns des experts pour donner une idée du contexte auquel nous sommes confrontés en tant que Canadiens.
Le professeur Robert Huebert de l'Université de Calgary a déclaré:
En ce qui concerne les autres cybermenaces, nous savons également que les Russes ont démontré une capacité croissante d'interférence dans divers systèmes électroniques et cybersystèmes d'autres États. Nous l'avons vu avec leur capacité d'influencer le système électrique ukrainien avant le début de la guerre en 2014.
C'est l'autre guerre que la Russie livre ces dernières années. M. Huebert a aussi dit que nous voyons la même chose ailleurs dans le monde.
Il a ensuite ajouté ceci:
Encore une fois, il est difficile de savoir exactement à quel point [le Canada est] bien défend[u] en étant capabl[e] de renforcer cet aspect de la cyberguerre. Il ne fait aucun doute que les Russes et les Chinois accordent de plus en plus d'attention à cette question [...]
Il a mentionné les rapports de nos amis et alliés américains et britanniques, qui indiquent que les Russes et les Chinois sont très actifs dans le dossier de la cybersécurité et qu'ils font appel à des acteurs parrainés par l'État pour lancer des attaques contre des pays comme le Canada et les États‑Unis.
Le comité a aussi reçu Jennifer Quaid, qui est directrice exécutive d'Échange canadien de menaces cybernétiques, un organisme du secteur privé qui aide diverses entreprises à renforcer leur cybersécurité. Elle a beaucoup parlé des cybercriminels. C'est un aspect important. Même la ministre en a parlé.
D'abord et avant tout, Mme Quaid a signalé que la du gouvernement actuel avait déclaré ceci: « La cybersécurité est l’un des enjeux les plus sérieux auxquels nous faisons face sur le plan de l’économie et de la sécurité nationale. » Nous discutons donc d'un sujet très sérieux aujourd'hui.
Mme Quaid a ensuite dit que « les cybermenaces sont de plus en plus raffinées et omniprésentes. Propulsée par la croissance des technologies novatrices et leur adoption à l'échelle mondiale, la cybercriminalité est lucrative ».
Ce qu’elle voulait dire, c’est qu’on peut diviser les pirates informatiques en deux catégories: les États-nations qui s’engagent dans des activités d’espionnage et d’influence sur les gouvernements au moyen d’Internet, et les criminels qui pratiquent la cybercriminalité pour en retirer des gains financiers.
Elle a aussi ajouté que c’est cet élément criminel qui a commercialisé la cybercriminalité, c’est-à-dire que les cybercriminels et la cybercriminalité sont maintenant devenus une industrie prospère. Elle a également fait remarquer qu’il est de plus en plus facile de devenir un pirate informatique, car l’expertise technique nécessaire est de moins en moins pointue, et que plusieurs pays autorisent des groupes de cybercriminels à opérer sur leur territoire.
Elle a aussi parlé de ce qu’on appelle les « hacktivistes », c’est-à-dire les cyberpirates qui, au nom de la justice sociale, s’attaquent à une entreprise de combustibles fossiles, par exemple. Imaginez si l’un d’entre eux attaquait l’un de nos gazoducs en plein hiver. Cela aurait des effets dévastateurs et créerait certainement des victimes, d’où la nécessité, selon elle, de surveiller très étroitement ces pirates informatiques.
Mme Quaid a fait remarquer que 25 % des organisations établies au Canada ont rapporté une intrusion informatique sous une forme ou sous une autre. Une sur quatre, c’est beaucoup. Selon elle, les petites et moyennes entreprises qui représentent 98 % de notre économie sont aussi impactées, et près de 100 % de toutes les entreprises font l’objet d’attaques sous une forme ou sous une autre.
C’est particulièrement important lorsqu’on pense aux grandes banques et aux grandes sociétés qui ont de bonnes infrastructures de cybersécurité et qui ont les moyens de les financer. Le fait est que ces grandes entreprises dépendent de fournisseurs sous-traitants qui, s’ils sont touchés, mettent également en danger l’entreprise principale. Elles sont donc également vulnérables. De plus, si le fournisseur d’une grande entreprise de télécommunications est attaqué, par exemple, cette entreprise risque de ne plus être en mesure de fournir un service adéquat aux Canadiens.
Elle a ajouté que 44 % des PME ne sont pas protégées. Autrement dit, près de la moitié de nos petites et moyennes entreprises, qui sont pourtant l’épine dorsale de notre économie, ne sont absolument pas protégées et n’y pensent même pas. C’est la raison pour laquelle le projet de loi dont nous discutons aujourd’hui est particulièrement important, surtout à la lumière de ce que nous ont dit les experts.
J’aimerais rapporter ce qu’a dit Ken Barker, professeur à l’Institute for Security, Privacy and Information Assurance à l’Université de Calgary. S’agissant de cybersécurité, il a dit que les infrastructures critiques étaient très vulnérables parce qu’elles étaient protégées par des systèmes traditionnels antérieurs à Internet. Ainsi, quand ces systèmes sont mis en ligne, il se produit inévitablement des failles que les pirates s’empressent d’exploiter, ce qui rend les infrastructures particulièrement vulnérables. Cela, nous l’avons entendu maintes et maintes fois en comité. Il a aussi fait remarquer que les entreprises privées et les banques canadiennes investissaient beaucoup dans la cybersécurité, mais que, comme l’a dit aussi Mme Quaid, ce sont les PME qui sont les plus vulnérables.
Je vais conclure mes citations avec Caroline Xavier, directrice du Centre de la sécurité des télécommunications du ministère de la Défense nationale. C’est l’agence gouvernementale responsable de la cybersécurité. Autrement dit, Mme Xavier est responsable de la cybersécurité du gouvernement canadien.
Elle a dit: « Le cybercrime est la menace la plus courante et la plus répandue contre les Canadiens et les entreprises canadiennes. Des cybercriminels cherchent à s’infiltrer dans les systèmes canadiens. Ils proviennent, entre autres, de la Russie, de la Chine et de l’Iran. [Ils] s’appuient sur diverses techniques, comme le rançongiciel. » Ils visent précisément nos infrastructures essentielles et, comme elle l’a dit, ils représentent certainement la plus importante menace stratégique pour le Canada.
Le projet de loi dont nous sommes saisis propose plusieurs mesures. C’est un projet de loi assez volumineux, alors je n’entrerai pas dans tous les détails, mais il se divise essentiellement en deux parties. La première modifierait la Loi sur les télécommunications. Il est particulièrement important de souligner qu’il accorderait de vastes pouvoirs au ministre de l’Industrie pour qu’il puisse prendre un certain nombre de mesures. Diverses organisations ont critiqué une partie précise du projet de loi qui se trouve dans le sommaire: le ministre et le gouverneur en conseil pourraient « ordonner aux fournisseurs de services de télécommunication de faire ou de s’abstenir de faire toute chose nécessaire ».
Ce sont là de très vastes pouvoirs à accorder à un seul ministre, ce qui devrait immédiatement déclencher des signaux d’avertissement. Personne ne devrait avoir d’aussi vastes pouvoirs sur nos télécommunications. Je le répète, j’ai fait valoir que nous avons besoin d’une meilleure cybersécurité, mais un énorme point d’interrogation persiste: donnons-nous trop de pouvoirs à un seul ministre, à une seule personne, dans l’ensemble du Canada.
Le projet de loi comporte aussi tout un enjeu financier. Comme mentionné, tout geste pourrait entraîner des répercussions financières énormes. Les grandes entreprises comme Telus peuvent peut-être se le permettre, mais ce n’est pas le cas de nos petites entreprises de télécommunications. Elles pourraient déclarer faillite. Ce n’est pas une bonne nouvelle, et il n’y aurait pas de compensation financière pour ces pertes. Il y a donc là un gros point d’interrogation.
Par ailleurs, je trouve très préoccupant que la structure du projet de loi permette un échange important de renseignements entre les entreprises de télécommunications et le ; renseignements qu’il pourrait transmettre à divers ministres et organismes gouvernementaux. S’agit-il de renseignements très confidentiels? Il s’agit certainement de plans de cybersécurité. Y trouve-t-on des secrets d’État? Est-il prudent de formuler de telles demandes à nos entreprises de télécommunications?
La deuxième partie du projet de loi concerne toutes les entreprises d’infrastructures essentielles au Canada, comme l’a dit le , y compris les sociétés provinciales et les sociétés d’État. Le projet de loi propose un processus selon lequel toutes les entreprises devront soumettre rapidement au ministre leur plan de cybersécurité, ainsi que des rapports annuels très rigoureux. Si une entreprise change de fournisseur tiers, elle devra immédiatement en informer le ministre de l’Industrie.
Le projet de loi propose également des mécanismes de rapport très contraignants, et même si je pense que certains d’entre eux sont nécessaires, il n’en reste pas moins, comme je l’ai dit tout à l’heure, que le gouvernement n’est pas immunisé contre des attaques de pirates informatiques. J’ai cité trois ou quatre exemples de ce genre d’attaque récemment. Le projet de loi propose que toutes les entreprises soumettent au gouvernement leur plan de cybersécurité, accompagné d’innombrables documents contenant des renseignements personnels de Canadiens. Que ce soit ou non nécessaire, je me demande dans quelle mesure tous ces renseignements vont être protégés. Comment le gouvernement peut-il nous garantir que ces renseignements ne se retrouveront pas entre les mains de cybercriminels?
À mon avis, cela représente une menace importante, que le doit prendre en compte. Pour autant, ce qu’il a dit pendant son intervention ne m’a pas convaincue que c’était l’une de ses priorités.
Je dois dire également qu’un certain nombre d’organisations de défense des libertés civiles se sont dites très préoccupées par certaines dispositions du projet de loi. L’Association canadienne des libertés civiles, la Canadian Constitution Foundation, la Coalition pour la surveillance internationale des libertés civiles, Leadnow, la Ligue des droits et libertés, OpenMedia et le Conseil du Canada de l'accès et de la vie privée ont fait parvenir une lettre ouverte au . Dans cette lettre, toutes ces organisations, qui sont les principaux organes de recherche et de défense des libertés civiles au Canada, se disent très préoccupées par un certain nombre de dispositions du projet de loi et font remarquer au ministre un certain nombre de choses.
Elles disent, en gros, que le projet de loi donne au gouvernement de vastes pouvoirs, non seulement sur des pans entiers de l’économie canadienne, mais aussi sur la vie privée des Canadiens. Bref, je pense qu’elles ont parfaitement résumé la situation en disant que plus on a de pouvoirs, plus on doit rendre des comptes. Or, le projet de loi octroie beaucoup de pouvoirs au gouvernement, mais celui-ci n’a guère de comptes à rendre.
Avant de parler des problèmes soulevés par ces organisations, j’aimerais dire quelques mots sur ce que d’autres pays font. Aux États-Unis et dans l’Union européenne, on a adopté des lois similaires au cours des derniers mois. Celle de l’Union européenne prévoit des sanctions plus nombreuses et plus lourdes, tandis que celle des États-Unis impose des mécanismes de production de rapports plus normatifs et plus stricts. Par exemple, si une entreprise américaine d’infrastructures essentielles fait l’objet d’une attaque par rançongiciel, la loi l’oblige à la signaler au gouvernement dans les 24 heures.
C’est peut-être une disposition que nous devrions envisager pour ce projet de loi. Si nous le faisons, nous ferions aussi bien de nous aligner sur ce que font nos alliés américains et resserrer les règles. Je crois qu’un mécanisme de production de rapports est l’un des éléments les plus importants de ce projet de loi.
J’aimerais revenir à la question des libertés civiles. Compte tenu du bilan du gouvernement en ce qui concerne les projets de loi de réglementation d'Internet, comme le projet de loi et d'autres, beaucoup de gens ont raison de s’inquiéter pour leurs libertés personnelles en ligne et pour la confidentialité de leurs données. Les associations de défense des libertés civiles soulèvent certaines préoccupations auxquelles le gouvernement ou le n’a pas encore répondu.
Les auteurs de la lettre ouverte affirment que cela « ouvre la porte à de nouvelles obligations de surveillance », ce qui est très préoccupant. À leur avis, et cela n’a pas été prouvé, le projet de loi C-26 habilite le gouvernement à commander secrètement à des fournisseurs de télécommunications « de faire ou de s’abstenir de faire toute chose », comme je l’ai mentionné. Ils croient que, s’il y avait abus de ce pouvoir extrême, il pourrait être utilisé par un gouvernement mal intentionné — je ne dis pas que c’est l’intention du gouvernement libéral —, mais qu’il pourrait être utilisé pour surveiller les citoyens canadiens. C’est très préoccupant.
Ces personnes continuent dans la même veine en disant que les pouvoirs octroyés par le projet de loi permettent au gouvernement d’interdire à des entreprises de télécommunication de fournir leurs services à certaines organisations, voire à certaines personnes. Elles se disent aussi que, si le gouvernement voulait punir un groupe de gens, il lui suffirait, et je le dis sans détour, de dire à Telus qu’elle ne doit pas fournir de services à ces gens-là, qu’elle doit leur couper Internet et les empêcher d’utiliser leur téléphone cellulaire.
C’est vrai que c’est un scénario extrême, mais je pense qu’il est bon de signaler que ce projet de loi permet cela, et que c’est donc un risque si jamais un gouvernement malveillant arrivait au pouvoir et décidait de bafouer les libertés civiles des Canadiens. J’aimerais donc que des mesures de protection soient prévues dans la loi pour éviter ce genre d’abus, même si cela reste très hypothétique.
Les auteurs de la lettre disent aussi que le projet de loi nuit au respect de la vie privée et qu’il n’y a pas de mesures de sécurité pour éviter les abus. Sur ce sujet, je pense que les députés de l’opposition et, je l’espère, ceux du gouvernement qui siégeront à ce comité pourront se mettre d’accord pour proposer la nomination d’un médiateur ou la création d’un organe de surveillance. Il est en effet nécessaire d’avoir un mécanisme qui permet de protéger les droits des entreprises et, surtout, ceux des citoyens contre les abus que j’ai évoqués, et ce ne sont pas les seuls, loin de là.
Le Conseil canadien des affaires a, lui aussi, émis beaucoup de réserves au sujet de ce projet de loi. Il a adressé une lettre ouverte au au nom de plusieurs petites, grandes et moyennes entreprises. Il a dit, en substance, que le projet de loi exigerait beaucoup de paperasserie, et que cela nuira particulièrement aux petites et moyennes entreprises.
Pour l’ensemble du milieu des affaires, ce projet de loi n’est qu’un bâton sans carotte, pour le dire franchement. Selon ce milieu, il y aura des dommages, et ces gens seront obligés de s'y conformer. J’espère avoir l’occasion d’y revenir plus en détail au moment des questions, mais le projet de loi ne leur offre aucun incitatif.
Par exemple, il n’encourage pas les entreprises à s’échanger leurs pratiques exemplaires. Or, j’estime que le gouvernement devrait donner l’exemple en encourageant l’échange des bonnes pratiques visant à protéger la confidentialité des entreprises, afin que d’autres entreprises soient encouragées à s’équiper correctement pour que nous formions tous une famille heureuse et adéquatement protégée contre les cyberattaques.
Pour le Parti conservateur du Canada, la sécurité nationale est la priorité absolue, et le gouvernement fédéral se doit d’affirmer son leadership au Canada pour ce qui est de la lutte contre toute menace ou toute éventualité, comme se plaît à dire la .
Nous constatons de graves lacunes dans nos forces armées. Nous pourrions avoir des alliances plus solides dans le cadre de nos échanges de renseignements avec le Groupe des cinq et d’autres accords. Cela concerne certainement la cybersécurité. Le Canada est vulnérable, comme le sont de nombreux pays du monde. En fait, la plupart des pays font face à ces problèmes. Le Parti conservateur du Canada veut un cadre plus solide pour appliquer des mécanismes de signalement afin que notre cybersécurité soit protégée et que nous ne subissions pas, en plein hiver, une attaque par rançongiciel contre nos pipelines qui pourrait faire mourir de froid des milliers de Canadiens, par exemple.
Nous chercherons à appuyer le renvoi du projet de loi au comité, mais je tiens à ce qu’il soit très clair que, si l’on n’aborde pas les questions soulevées dans ce projet de loi, et j’en ai mentionné quelques-unes concernant la protection de la vie privée et les répercussions sur les entreprises, le Parti conservateur est prêt à retirer immédiatement son appui et à présenter des arguments très fermes pour empêcher que ce projet de loi aille au-delà de l’étape de l’étude en comité. Je tiens à le dire très clairement au et au gouvernement libéral.
Ce projet de loi sera renvoyé au comité pour que nous puissions entendre des experts, car nous croyons que c’est important, mais il doit être corrigé. Il y a de graves problèmes à régler et des amendements à apporter. Je demanderais aux membres libéraux du comité de collaborer avec nous afin que nous puissions faire de ce projet de loi ce qu’il doit être et l’améliorer pour assurer la protection de la cybersécurité au Canada aujourd’hui et pour les années à venir.
:
Monsieur le Président, un débat intéressant se déroule maintenant sur une question très importante sur laquelle nous devons tous nous pencher. Nous devons tenir compte de l’évolution de la technologie. J'imagine qu'il y aura d'autres projets de loi sur la protection des renseignements personnels ou les cyberattaques. Lorsque le projet de loi sera renvoyé au comité, je suis sûr qu'il y aura énormément d'échanges. Je m’attends à ce qu’une grande diversité de témoins présentent leurs points de vue sur cette mesure législative.
Je vais revenir sur le point que j’ai soulevé auprès de la députée d’en face, à savoir la crainte que cette loi accorde trop de pouvoir au ministre. Souvent, lorsque le gouvernement présente un projet de loi, les députés de l’opposition expriment leurs préoccupations quant à l'augmentation de pouvoir accordé au cabinet du ministre.
J’ai eu l’occasion de parcourir brièvement le projet de loi et je crois sincèrement qu’il établit un bon équilibre. C’est pourquoi j’ai posé la question à la députée. Elle a proposé des mécanismes de reddition de comptes, que ce soit un rapport annuel ou un rapport à un comité permanent; cette suggestion est valable. Je dis cela parce que je sais que beaucoup d’efforts ont été déployés pour élaborer ce projet de loi. Si certains amendements peuvent l’améliorer ou le renforcer, nous devrions les examiner. Je crois que le ministère est ouvert à cette idée.
Lorsque la députée a cité des opinions, je me suis demandé d’où elles provenaient. Elle les a utilisées pour amplifier des craintes que l’on pourrait avoir à justifier. Par exemple, la députée a parlé d’un « gouvernement malveillant », terme utilisé dans une opinion qu’elle avait reçue. Je ne dis pas que c’est son opinion, mais elle en a fait part en disant qu’il s’agit de l'opinion d’une organisation tierce et que si nous y accordons foi, cela pourrait conduire à un gouvernement malveillant. Nous avons été témoins de ce genre d'attitude de la part de l’opposition conservatrice dans une variété de dossiers, comme s’il y avait une sorte de conspiration. Il n’y a pas de conspiration, contrairement à ce qu’a dit la députée, du moins dans une partie de son discours. Le gouvernement ne cherche pas à espionner les Canadiens.
Le gouvernement prend très au sérieux la protection des renseignements personnels des Canadiens. Nous avons présenté une loi à cet égard. Le gouvernement a dépensé des dizaines de millions de dollars pour lutter contre les cybermenaces. Le gouvernement a mis sur pied des groupes de travail et des groupes consultatifs sur les cybermenaces. Nous reconnaissons les changements technologiques et leur incidence sur la société. J’ai dit par le passé que si nous devions examiner les progrès technologiques, il serait difficile de trouver un domaine qui a autant progressé que la technologie informatique et Internet. L’autre jour, lors de mon intervention sur un projet de loi d’initiative parlementaire, j'ai mentionné qu’il y a 10 ou 20 ans, les téléphones intelligents n’existaient pas.
Je vois le député de qui m’écoute. Il se souviendra que lorsque nous avons été élus pour la première fois en 1988, Reg Alcock a fait un gros achat de matériel informatique pour 5 000 $. Nous avions un merveilleux ordinateur avec une imprimante laser qui a été livré avec un clavier et une souris. À l’époque, lorsque nous nous branchions à Internet avec ce magnifique ordinateur, nous entendions d’abord une tonalité. Puis, nous entendions ce cliquètement stupide qui signifiait que nous étions effectivement branchés à Internet. Nous étions tous assez impressionnés par cet ordinateur et nous étions une vingtaine à l’époque.
Nous pouvons comparer cela à la situation actuelle. Les gens peuvent acheter un ordinateur portable pour 500 $ doté de capacités et d’avancées technologiques plus de 10 fois supérieures à celle de l'ordinateur que nous avions payé 5 000 $, avec cette lente connexion par ligne commutée. En fait, les gens peuvent acheter un appareil tout neuf pour 250 $ qui est connecté à Internet et fonctionne à grande vitesse. Ce n’est même pas comparable à ce que c’était.
Le changement technologique présente tellement d’avantages, mais il s’accompagne de risques, ce qui est l’essence même de ce dont nous débattons dans le cadre du projet de loi . Même si la société en a tiré d’immenses avantages, nous devons reconnaître qu’il existe un facteur de risque important. Ce facteur de risque ne touche pas seulement la personne qui navigue sur Internet aujourd’hui, mais aussi les opérations militaires qui se déroulent en Ukraine aujourd’hui.
De nos jours, les ordinateurs ne sont pas facultatifs. L’Internet n’est pas facultatif. Ce sont des services essentiels. Voilà pourquoi le , ou l’un des autres ministres, a fait référence l’autre jour au pourcentage de Canadiens qui disposent de connexions à haute vitesse et au fait que nous avons littéralement investi des milliards pour nous assurer que les Canadiens continuent de bénéficier de cet accès, en mettant l’accent sur le Canada rural. Nous le soulignons parce que ce n’est plus facultatif, c’est un service essentiel.
L’économie numérique varie beaucoup. Si nous voulons en avoir une idée, nous pouvons nous tourner vers Hollywood et des productions similaires qu'on trouve sur Netflix, la CBC ou les médias plus conventionnels. Nous pouvons regarder certains films et émissions de télévision. L’autre jour, je regardais un épisode d’une émission intitulée The Blacklist, qui traite des cyberattaques. Je pense que plusieurs de mes collègues connaissent peut-être cette émission.
Un député a parlé d’électricité. Les Manitobains, ou tous les Canadiens en fait, devraient s’inquiéter pour leurs services publics. Grâce aux productions hollywoodiennes, nous sommes mieux en mesure d’imaginer les dommages potentiels des cyberattaques. Une cyberattaque bien ciblée peut priver des collectivités d’électricité. Elle peut mettre hors service des choses qui ne devraient jamais l’être.
Nous parlons d’un sentiment d’urgence. Nous pouvons nous attendre à ce qu’il y ait des individus isolés malicieux qui travaillent dans leur sous-sol ou n’importe où dans la société pour défier les systèmes. Cependant, nous avons aussi des cyberattaques commanditées par des États, et nous devrions tous nous en préoccuper.
En fait, c’est la raison pour laquelle j'ai été réconforté d'entendre le faire référence au Groupe des cinq. J’ai tout de suite compris que des pays partagent une vision commune. Le Canada n’est pas seul. Les pays qui partagent sa vision comprennent l’importance des cyberattaques et des dommages potentiels qu’elles peuvent causer.
Je reparlerai dans un instant de la dimension internationale, mais j'aimerais dire un mot sur les données numériques, qui se présentent sous de nombreuses formes et qui sont exposées à divers risques. Statistique Canada, un organisme qui consacre beaucoup d'argent aux ordinateurs et aux technologies en général pour protéger les données qu’il recueille auprès des Canadiens, est l’un des plus grands collecteurs de données. En fait, Statistique Canada est respecté dans le monde entier pour ses systèmes. Il détient des données absolument essentielles, qui sont fournies à une vaste gamme d'intéressés, dont évidemment le gouvernement fédéral.
Pensons aux organismes du secteur de la santé, aux provinces qui gèrent les dossiers médicaux, aux bureaux des véhicules automobiles et des passeports. Le moins que l'on puisse dire, c'est que tous ces organismes gouvernementaux recueillent des quantités colossales de données.
Ce sont des organismes gouvernementaux. Nous pourrions aussi parler des secteurs bancaires ou financiers, où des renseignements de nature financière sont recueillis lorsque les gens font une demande de prêt. Tous les renseignements qu’ils doivent fournir au prêteur, comme leurs antécédents, sont versés dans une banque de données.
Il y a aussi le secteur privé. L’autre jour, nous parlions d’applications. Tim Hortons en est un exemple. Les députés se souviendront peut-être que nous en avions parlé. L’application de Tim Hortons est assez largement téléchargée et elle renferme beaucoup de renseignements essentiels. Les Canadiens doivent savoir que tous les pouvoirs publics les protègent, en particulier le gouvernement fédéral, que les renseignements soient entre les mains d'une organisation gouvernementale ou privée. C’est la raison pour laquelle j’ai d’abord dit très clairement qu'en plus du projet de loi , qui est à l’étude aujourd’hui, nous pouvons donner l'assurance aux Canadiens qu'en vertu des dispositions juridiques qui existent déjà, nous pouvons affecter des ressources financières considérables à la protection effective de leurs renseignements.
Les petites entreprises du pays sont présentes en grand nombre sur Internet de nos jours. Le député d’en face les mentionne et veut savoir comment le gouvernement les aide. De plus en plus de consommateurs se tournent vers Internet pour y trouver divers produits et une multitude de services.
Il en résulte que les petites entreprises sont très sollicitées. C’est pourquoi nous avons une qui cherche des moyens non seulement d’alléger le fardeau fiscal, mais aussi d’apporter un soutien. Parfois, cela se fait directement par des mesures financières et parfois, cela se fait indirectement en fournissant des ressources. Cependant, une chose est certaine, le gouvernement apporte son soutien. Qu’il s’agisse de petites, de moyennes ou de grandes entreprises, c’est dans son intérêt. Nous ferons notre possible. La possibilité d’utiliser une carte de guichet automatique pour faire un petit ou un gros achat dans une petite entreprise en est un bon exemple.
Les attaques dont nous parlons aujourd’hui peuvent prendre de nombreuses formes. L’économie numérique fait certainement partie des cibles, mais il y a aussi le volet social d’Internet. À cet égard, je pense à la protection de la vie privée et aux communications sur les réseaux sociaux, par exemple. Dans ce cas également, les Canadiens s’attendent à ce que le gouvernement soit là pour eux. Les cyberattaques ciblent des domaines qui doivent tous nous préoccuper. Comme je l’ai dit, plus nous progressons, plus le risque est grand.
Il se passe beaucoup de choses sur Internet dont nous devons avoir conscience et au sujet desquelles nous devons agir. L’exploitation des enfants en est un exemple. Il faut en tenir compte.
Le projet de loi contient des dispositions très rigoureuses relativement à la conformité. Comme je l’ai mentionné, le ministre a le pouvoir d'intervenir, notamment en ordonnant aux entreprises de télécommunication de cesser certaines activités. Je pense que ce genre de mesures est parfois nécessaire.
Il y a aussi un volet financier, afin que nous puissions garantir qu’une sanction est prévue pour inciter les citoyens à respecter les lois et les règlements qui sont tous là dans un seul but: protéger les Canadiens et les institutions face aux risques. C’est pourquoi nous finançons la cybersécurité. Nous voulons assurer le respect de la vie privée des Canadiens et soutenir une innovation responsable.
Nous continuerons de protéger les Canadiens contre les cybermenaces dans un monde de plus en plus numérique. Ce projet de loi est un aspect de ce que fait le gouvernement pour y parvenir. Les cybermenaces commanditées par des États comptent, à mon avis, parmi les plus grands sujets de préoccupation et elles font partie des raisons pour lesquelles nous devons travailler en collaboration avec les pays alliés. J’ai parlé du Groupe des cinq. Ce sont des pays alliés, libres et démocratiques qui sont conscients des préjudices que peuvent causer les cybermenaces commanditées par des États. Le projet de loi s’attaque vraiment à ce problème.
J’espère que tous les députés appuieront le projet de loi afin qu’il passe à l’étape de l’étude en comité. Un député de l’opposition officielle a indiqué qu'il s'intéressait vivement à l'étude du projet de loi, l’idée étant, au fond, de parvenir à l’améliorer.
:
Monsieur le Président, je remercie la Chambre de me donner l’occasion de parler aujourd’hui du projet de loi .
La cybersécurité est un sujet qui préoccupe beaucoup de Canadiens. C’est un sujet qui a touché beaucoup d’entre nous dans leur vie personnelle, ou qui a touché quelqu’un que nous connaissons. En tant que députés, nous entendons parler de gens qui ont été victimes de divers types de cyberattaques en ligne. Nous savons que c’est une activité criminelle en plein essor que de profiter des gens en ligne, d’obtenir leurs renseignements et d’usurper leur identité. Les Canadiens méritent d’être protégés contre ce genre de crime.
Nous avons également entendu parler des répercussions des cyberattaques sur nos entreprises commerciales. L’un des exemples particulièrement inquiétants qui me viennent à l’esprit, c’est la cyberattaque de 2017 contre Equifax, lors de laquelle les renseignements personnels et financiers de milliers de Canadiens ont été obtenus illégalement. C’est évidemment très préoccupant pour les gens lorsqu’ils apprennent qu’une entreprise à laquelle ils faisaient assez confiance pour lui confier leurs renseignements personnels a fait l’objet de ce genre d’attaque.
Nous savons aussi que le gouvernement n’est pas à l’abri de ce genre d’attaques. Des hôpitaux et Affaires mondiales Canada ont fait l’objet de cyberattaques réussies. Plus tôt cet automne, la Chambre des communes a été victime d’une cyberattaque. Les députés ont été avertis de changer leurs mots de passe de courriel par crainte que des personnes de l'extérieur aient accès à leurs comptes professionnels et à leur contenu.
Il ne fait aucun doute que c’est un véritable problème. Il ne fait aucun doute non plus, lorsque nous parlons à des experts dans ce dossier, que le Canada est à la traîne en matière de cybersécurité. Il y a eu de nombreux débats à la Chambre sur le rôle de Huawei, par exemple, dans notre infrastructure 5G. Le gouvernement a finalement pris une décision au sujet de Huawei, la bonne décision, à mon avis, bien que tardivement par rapport à nos autres alliés du Groupe des cinq. L’idée derrière ce projet de loi, c’est que le gouvernement a besoin de plus de pouvoirs juridiques pour mettre en œuvre cette décision. Bien sûr, il y a plusieurs façons de le faire.
Le projet de loi, dans sa forme actuelle, n’est pas prêt à être adopté, mais les néo-démocrates seront heureux de le renvoyer au comité, où nous pourrons entendre des experts et essayer de l’améliorer. Lorsque je dis qu’il n’est pas prêt, à mon avis, c’est que, pendant tout le temps qu’il a fallu au gouvernement pour prendre une décision au sujet de Huawei, il est clair qu’il n’a rien fait parallèlement à ses délibérations sur Huawei pour se préparer à l’interdire. Ce projet de loi conférerait largement au le pouvoir de décider plus tard ce que le gouvernement devra faire pour interdire Huawei et réagir à d’autres types de cybermenaces.
Le projet de loi ne renferme pas beaucoup de détails, et ce n’est pas la première fois que le gouvernement agit de la sorte. Nous l’avons vu dans le cas d’autres initiatives, comme la prestation canadienne pour les personnes handicapées. On a rédigé un projet de loi qui ne contenait rien sur le programme. Le gouvernement semble s’attendre à ce que les autres lui fassent confiance et que les problèmes seront corrigés plus tard. Cependant, nous voyons aussi une litanie de problèmes dans la façon dont le gouvernement gère ses affaires, qu’il s’agisse de l’affaire SNC‑Lavalin et de la question des accords de suspension des poursuites ou d’autres questions d’éthique qui ont été soulevées dans le contexte de ce gouvernement.
Je pense que les Canadiens ont raison de se méfier du gouvernement. La réponse réside dans des mécanismes qui imposent la reddition de comptes au gouvernement, un élément clairement absent du projet de loi. En fait, non seulement cet élément est-il absent du projet de loi, mais le gouvernement se soustrait aussi très explicitement à certaines des formes de reddition de comptes qui existent actuellement.
Par exemple, il se soustrait à la Loi sur les textes réglementaires, qui permettrait au comité qui étudie les règlements parlementaires d’examiner les décrets que le peut prendre en vertu des nouveaux pouvoirs qui lui sont conférés par cette loi.
Par conséquent, non seulement il n’y aurait pas de nouvelles mesures de reddition de comptes proportionnelles aux nouveaux pouvoirs que le gouvernement se donnerait, mais ce dernier s’exempterait également de certains des mécanismes de reddition de comptes qui existent déjà. Le gouvernement informe aussi explicitement les Canadiens de son intention, dans le projet de loi, de se donner le pouvoir légal de garder ces décrets secrets. Par conséquent, nous devons envisager l’idée qu’il y aura toute une série de décrets et de lois adoptées en secret qui régissent l’industrie des télécommunications que les Canadiens ne connaîtront pas, et que les entreprises de télécommunications ne connaîtront peut-être pas suffisamment.
J’aimerais parler de façon un peu plus générale d’Internet et du droit à la vie privée sur Internet. Lorsque le nouvel accord commercial entre le Canada, les États-Unis et le Mexique a été signé, il contenait un certain nombre de dispositions qui allaient trop loin en renforçant le droit des entreprises de garder leurs algorithmes secrets, par exemple. Il y a d’autres types de protections en matière de propriété intellectuelle, ou de protections qui sont présentées comme telles, mais qui signifient en réalité qu’il est plus difficile d'avoir l'heure juste sur la façon dont les entreprises fonctionnent sur Internet et l’intelligence artificielle qu’elles utilisent pour naviguer sur Internet.
Il y a une façon d’aborder Internet pour accorder la priorité à la protection du secret commercial, mais ce même secret offre aussi plus de possibilités aux acteurs malveillants de mener leurs activités sur le Web sans révéler ce qu’ils font. Par contre, si nous nous tournons vers un autre modèle, l’Union européenne, on y trouve des mesures de protection beaucoup plus rigoureuses des renseignements personnels des consommateurs sur Internet et on impose beaucoup plus d’exigences en matière de reddition de comptes aux acteurs d'Internet.
Le problème de ce projet de loi tel qu’il est rédigé, c’est qu’il cherche à lutter contre le secret par le secret. Lorsque les pompiers arrivent pour lutter contre un incendie, ils ne se présentent habituellement pas avec un lance-flammes. Ils apportent de l’équipement qui combat l’incendie au lieu de l’accélérer.
Je ne pense pas que les Canadiens, qui s’inquiètent de la façon dont les acteurs malveillants peuvent exploiter les coins sombres d’Internet et s’infiltrer par les portes dérobées des logiciels, pensent aussi que la meilleure façon de lutter contre ces acteurs soit de laisser le gouvernement mener la lutte en secret sans rendre de comptes. Les Canadiens ne croient pas qu’avec moins d’information sur les acteurs de l’espace numérique ou sur les mesures prises par le gouvernement contre les menaces à la cybersécurité, ils soient en meilleure posture s’ils ne savent pas ce que font ces acteurs sur Internet ni ce que le gouvernement fait pour lutter contre eux.
Le problème qui se pose, avec le projet de loi dans sa forme actuelle, c'est l’entêtement à employer la même approche que nous avons vue dans l’ACEUM. Cette approche consistait à protéger la vie privée des acteurs d'Internet et du gouvernement dans sa façon de traiter le problème. On pourrait plutôt adopter une approche plus ouverte; une approche demandant aux acteurs numériques d’être francs quant au genre d’activités qu’ils mènent sur Internet, aux méthodes qu’ils adoptent et aux algorithmes qu’ils utilisent. De même, les gouvernements pourraient être assez transparents quant à la façon de traiter les gens qui dérogent aux règles.
Dans ce contexte plus général, les néo-démocrates tiennent à ce qu'on applique à Internet une approche selon laquelle la transparence et la reddition de comptes, tant pour les acteurs privés que publics, sont la voie à suivre. Les consommateurs numériques méritent d’avoir cette information à portée de main et ainsi de comprendre ce que les gens vont faire avec l’information qu’ils entrent dans leur ordinateur, que ce soit pour acheter un livre, obtenir un prêt ou faire n’importe quoi d’autre sur Internet. Ils devraient avoir encore plus le droit de savoir comment ces renseignements sont traités et ce que fait le gouvernement pour protéger leurs renseignements, plutôt que de se faire dire de ne pas s’inquiéter parce que les entreprises et le gouvernement ont leurs intérêts à cœur, et qu’ils n’ont pas besoin de savoir ce qui se passe.
C’est pourquoi le projet de loi devrait être renvoyé au comité; le Canada a besoin que son gouvernement ait le pouvoir d’appliquer la décision concernant Huawei et de faire mieux en matière de cybersécurité. Les membres du comité ont beaucoup de bon travail à faire à cet égard, et beaucoup d’amendements devraient être apportés au projet de loi pour qu’il soit adopté aux lectures subséquentes.
:
Monsieur le Président, j'ai le plaisir de parler aujourd'hui du projet de loi , Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d'autres lois.
Il est vraiment important de reconnaître que nous sommes très en retard dans le domaine de la cybersécurité. J’ai déjà fait savoir au gouvernement que j’étais très préoccupé par le fait que nous n’en faisions pas assez au Canada pour protéger les renseignements personnels numériques des Canadiens et j’avais alors demandé au gouvernement d'élaborer des cadres et des lignes directrices plus solides pour améliorer la cybersécurité au Canada. Ce sont des questions cruciales auxquelles il fallait s’attaquer et auxquelles il faut encore s’attaquer dans l'intérêt du Canada, car notre économie et notre commerce sont actuellement menacés, tout comme notre vie privée.
Quand ai-je demandé cela? C'était en 2016. Or, de 2016 à aujourd'hui, de nombreux changements numériques sont survenus qui font que nous vivons presque dans un autre monde maintenant.
J'ai reçu une réponse du gouvernement à l'époque disant essentiellement qu'il allait saisir les tribunaux de la question et attendre la décision.
L'un des cas les plus célèbres présenté à l'époque concernait l'Université de Calgary, qui aurait versé 20 000 $ en indemnisation à un groupe d'organisations que nous ne connaissons pas, pour remédier à l’importante atteinte à la sécurité qui les avait frappées.
L’issue de plusieurs cas et l’application de nos lois actuelles ont montré qu'il est acceptable de payer des criminels et de répondre à ce type de demandes d'extorsion sans même en parler aux personnes dont la vie privée a été violée. Nous ne sommes même pas obligés d’informer les organismes d’application de la loi qu’un crime a été commis. C'est, à tout le moins, très inquiétant. Cette loi est certes une mesure utile, mais il reste encore beaucoup à faire.
Nous, néo-démocrates, reconnaissons vraiment la nécessité de trouver un juste équilibre dans ce domaine. C'est pourquoi j'avais également écrit à la commissaire à la protection de la vie privée du Canada de l’époque, Jennifer Stoddart, au sujet des cyberattaques et des atteintes à la sécurité des données.
Nous sommes préoccupés par la quantité de données, les droits et les protections dont les Canadiens devraient bénéficier et l’information à laquelle tout citoyen vivant en démocratie devrait avoir accès. Ce n’est pas d'avancer une théorie du complot que d'exprimer ce genre de préoccupations.
Je citerai un cas célèbre. Comme les néo-démocrates le savent bien, et je pense que d’autres Canadiens le savent aussi, notre grand champion canadien des soins de santé, Tommy Douglas, a été lui-même espionné par la GRC à la même époque. L’opération était liée à l’assurance-maladie. L’affaire est très bien documentée. Nous n'avons pas encore tous les dossiers. Nous n'avons pas encore toutes les informations, mais l'affaire est très célèbre.
La mise en place de notre joyau le plus précieux, l’assurance-maladie, a conduit à l’espionnage par nos propres services d’un représentant élu qui a été en fait déclaré le meilleur Canadien par la population. Il ne faut pas oublier cette affaire parce que, lorsque des projets de loi comme celui-ci sont présentés, on peut réellement craindre que la capacité de chacun à se protéger et à protéger sa vie privée s’en trouve affaiblie, et que les grands changements qui surviendront pourraient menacer la protection de la vie privée.
Par la suite, j'ai également été très heureux, en 2020, de présenter une motion au Comité de l'industrie de la Chambre des communes, où nous avons étudié, pour la première fois dans l'histoire du Canada, les appels frauduleux au Canada.
Il y a beaucoup de cyberattaques par le biais de ce type de système d'exploitation, et nous devons nous rappeler que l'utilisation de ce type de système, offert par nos fournisseurs de services Internet et le secteur des télécommunications, se fait à l’extérieur de l'infrastructure publique et d’une réglementation de l'industrie.
Nous avons construit une bête, à bien des égards, qui a un faible degré de responsabilisation, et nous sommes enfin en train de corriger une partie du problème. Il y a aussi de nouveaux programmes qui arrivent, comme STIR/SHAKEN et d'autres types de rapports à présenter.
Je tiens à souligner que, depuis que nous avons fait cela, nous avons un autre rapport à déposer, ou du moins une lettre. Nous n'avons pas encore pris de décision; le travail se poursuit. Nous avons eu quelques réunions supplémentaires à ce sujet au comité de l'industrie et nous avons vraiment entendu de nombreux témoignages qui ont montré qu'il y a encore du travail à faire.
Un bon exemple provenant du rapport précédent concerne la recommandation numéro cinq, qui portait sur le partage de l'information entre la GRC et le CRTC, une recommandation à laquelle le gouvernement n’a pas donné suite.
Il est important de noter qu'avec ce projet de loi, nous avons beaucoup parlé des mesures que nous pouvons également prendre au niveau international. L'une des choses que je voudrais souligner et sur laquelle j'ai beaucoup insisté, car j'ai eu des stagiaires ukrainiens dans mon bureau pendant plusieurs années, c'est que nous pourrions utiliser beaucoup de nos moyens et de nos compétences en cybersécurité et en formation pour aider les Ukrainiens à faire face aux pirates russes et à d'autres acteurs étrangers malfaisants. En plus d’aider l'Ukraine dans sa guerre actuelle contre Russie, cela serait également utile pour les autres activités qui en découlent et serait bénéfique pour les économies mondiales en favorisant l’émergence de professionnels formés et solides, capables d'utiliser leur expertise et de se battre contre les cyberattaques actuelles et futures. Cela serait utile non seulement pour la population ukrainienne, mais aussi pour l'Union européenne, le Canada, les pays de l'Amérique du Nord et d'autres pays, qui continueront à lutter contre des types d’intelligence artificielle plus complexes et d'autres cyberattaques qui surviendront.
Je voudrais notamment attirer l'attention de la Chambre sur le nouvel article 15.2 que prévoit le projet de loi et qui donnerait au ministre de l'Industrie et au ministre de la Sécurité publique le pouvoir de prendre plusieurs types d'ordonnances. Cela permettrait d’obliger les télécommunicateurs à cesser, au besoin, de fournir des services. C'est un pouvoir fort que nous sommes heureux de voir dans ce type de projet de loi.
Ce qui nous préoccupe vraiment, comme l'a fait remarquer le député d', c'est qu'il n'y a pas de mécanisme général de surveillance comme on en retrouverait normalement dans d'autres types de projets de loi. On a parlé d'un examen minutieux des règlements. Pour ceux qui ne sont pas familiers avec les coulisses du Parlement, il existe un comité dont j'ai été l'un des vice-présidents à un moment donné: le comité d'examen de la réglementation. Ce comité supervise toutes les lois adoptées par la Chambre des communes et veille à ce que les organes bureaucratiques et gouvernementaux, y compris les ministres, quelle que soit leur allégeance politique à ce moment-là, donnent suite aux lois adoptées. Soustraire le projet de loi à ce type de processus est une erreur. Je dirais même que c'est imprudent, parce que le comité doit faire beaucoup de travail pour exercer un suivi régulier des règlements. L’exercice peut prendre beaucoup de temps, mais il sert de contrepoids, et il relève conjointement du Sénat et de la Chambre des communes. C’est malheureux qu’on tente de soustraire le projet de loi à cet exercice.
Le projet de loi ne prévoit pas non plus l'obligation de publier l'information dans la Gazette de façon à la rendre publique pour les différents organismes. C'est un problème, et il y a aussi beaucoup de lacunes en ce qui concerne les renseignements qui peuvent être retenus et partagés.
Pourquoi est-ce important pour la confiance dans le projet de loi? C’est d’abord et avant tout parce que les organisations qui risquent d'être prises pour cible ne sont pas issues du secteur privé, où des clients subissent des abus et où des entreprises ont les politiques laxistes qui ne protègent pas très bien les renseignements personnels. Beaucoup d'organisations qui n'appartiennent pas au secteur privé ont utilisé des techniques et des processus abusifs. Même à l'heure actuelle, il est étonnant de songer que des renseignements sont transmis et traités aux États-Unis. Le Sénat américain va de nouveau se pencher sur la question des billets de Taylor Swift et de Ticketmaster. Voilà une autre société qui a une mauvaise réputation pour la protection des renseignements personnels, la gestion de l’information et l’administration de ses affaires. Les gens peuvent revenir en arrière et se tourner vers Live Nation et ainsi de suite. Quoi qu'il en soit, les États-Unis sont également en cause dans cette affaire.
J'ai soulevé ces questions parce qu'il y a des problèmes légers comme ceux-là, mais qui deviennent très sérieux en ce qui concerne les cartes de crédit et les renseignements personnels des gens qui sont partagés. Cependant, partout dans le monde et au Canada, nous avons aussi des infrastructures municipales et des organismes gouvernementaux qui sont constamment attaqués. C'est très important, parce qu’il n’y a pas seulement la protection des consommateurs et les pertes commerciales, qui sont très importantes et se chiffrent en milliards de dollars, dont il faut tenir compte, il y a aussi tout le réseau public, allant des installations de traitement de l'eau aux établissements de soins de santé, dont les hôpitaux, et aux services publics d'électricité et d'hydroélectricité. Tous ces services peuvent servir de cibles pour porter atteinte à une population également, et nous aimerions donc voir une plus grande responsabilisation à cet égard. Il y a certainement plus à faire.
Je suis heureux que le gouvernement ait demandé au comité de réfléchir aux mesures à prendre pour sensibiliser la population. Je ne comprends pas très bien la démarche du gouvernement, mais il a au moins soumis la question au comité.
Les néo-démocrates sont intervenus la première fois pour ce projet de loi il y a plusieurs années, et c’est triste de constater que la disposition législative ne se concrétise que maintenant.
:
Madame la Présidente, je vais partager mon temps de parole avec le député de .
C’est un véritable privilège pour moi d’ajouter ma voix au débat sur le projet de loi , qui concerne la cybersécurité, au nom des résidants de ma circonscription, Davenport, dont beaucoup m’ont écrit au fil des ans pour me faire part de leurs inquiétudes quant à la cybersécurité et de la nécessité de mettre en œuvre des protections supplémentaires à tous les ordres de gouvernement.
Ce projet de loi représente la dernière étape du travail constant du gouvernement pour s’assurer que nos systèmes, nos règles et nos règlements sont solides et aussi à jour que possible. C’est particulièrement important lorsqu’il s’agit d’un sujet aussi fluide et qui évolue aussi rapidement que les cybertechnologies. Nous savons depuis longtemps que nous devons être constamment vigilants à cet égard.
En 2013, le gouvernement a mis sur pied le programme d’examen de la sécurité géré par le Centre de la sécurité des télécommunications. En 2016, nous avons mené des consultations publiques sur la cybersécurité. En 2018, nous avons lancé la Stratégie nationale de cybersécurité. En 2019, nous avons investi 144,9 millions de dollars dans le cadre du budget de 2019 pour élaborer un cadre des cybersystèmes essentiels. En 2021, nous avons terminé un examen interministériel de la sécurité de la 5G, qui a recommandé un cadre de sécurité actualisé pour protéger le système de télécommunications du Canada.
Une pierre angulaire du cadre mis à jour est une évolution du programme d’examen de la sécurité. Il permettrait un engagement continu avec les fournisseurs de services de télécommunications et les fournisseurs d’équipement canadiens pour assurer la sécurité des réseaux de télécommunications canadiens, y compris le réseau 5G. À la suite de ce travail pluriannuel, pour répondre aux préoccupations soulevées et améliorer la posture du Canada en matière de cybersécurité, y compris en ce qui concerne la technologie 5G, nous avons présenté le projet de loi .
Ce projet de loi vise à promouvoir la cybersécurité dans quatre secteurs d’infrastructures essentielles sous réglementation fédérale: les finances, les télécommunications, l’énergie et les transports.
Le projet de loi comprend deux parties bien distinctes. La partie 1 présente des modifications à la Loi sur les télécommunications qui ajouteraient la sécurité comme objectif stratégique et créeraient un cadre permettant au gouvernement fédéral de prendre des mesures pour sécuriser le système de télécommunications. La partie 2 introduit la Loi sur la protection des cybersystèmes essentiels, qui créerait un régime réglementaire obligeant les exploitants désignés dans les secteurs de la finance, des télécommunications, de l’énergie et des transports à protéger leurs cybersystèmes critiques.
Comme je l’ai mentionné, la 5G a le potentiel d’être une technologie transformatrice pour les Canadiens. Elle promet des vitesses Internet fulgurantes qui ne ressemblent à rien de ce que nous avons connu jusqu’à présent. Les avantages de la connectivité instantanée et en temps réel seront immédiats et d’une grande portée pour les Canadiens et les entreprises canadiennes.
La pandémie mondiale de COVID-19 a souligné l’importance de cette connectivité, que ce soit pour les classes virtuelles, le travail à domicile ou pour garder le contact avec les proches, mais nous devons être absolument sûrs que cette technologie est sûre et sécurisée au moment où elle est déployée au Canada.
Le Canada a déjà mis en place un système pour atténuer les risques en matière de cybersécurité dans notre réseau de télécommunications sans fil 3G et 4G LTE existant. Depuis 2013, le programme d’examen de la sécurité du Centre de la sécurité des télécommunications a permis d’atténuer les risques découlant de l’équipement et des services désignés dont on envisage l’utilisation dans les réseaux de télécommunications 3G, 4G LTE canadiens contre les cybermenaces.
Comme les générations précédentes, la technologie 5G présentera de nouveaux risques et vulnérabilités qui devront être réglés afin que les Canadiens puissent en exploiter tout le potentiel. La 5G est considérée comme plus sensible que la 4G parce qu’elle sera profondément intégrée à l’infrastructure essentielle et à l’économie du Canada, et qu’elle connectera beaucoup plus de dispositifs grâce à une architecture complexe. Cette intégration profonde, cette plus grande interconnexion et cette complexité augmentent à la fois la probabilité et l'incidence potentielle des menaces. C’est pourquoi l’examen de la technologie 5G émergente et des considérations sécuritaires et économiques connexes demeure très important.
Les organismes techniques du gouvernement du Canada, au sein du ministère de l’Innovation, des Sciences et du Développement économique, et les organismes de sécurité qui relèvent du portefeuille de la Sécurité publique, d’Affaires mondiales Canada, de la Défense nationale et d’autres, participent tous aux efforts du gouvernement fédéral pour élaborer une approche canadienne visant à assurer le déploiement sécuritaire de la technologie sans fil 5G. L’adoption de ce projet de loi fera avancer ce travail essentiel.
Entretemps, nos agences de sécurité nationale et de renseignement de calibre mondial continuent de protéger notre pays contre un large éventail de menaces. Comme nous le savons, ces menaces comprennent un nombre croissant d’attaques ciblées de la part d’acteurs étatiques et non étatiques, y compris les cybercriminels.
Les deux principaux organismes de sécurité nationale du Canada, le Service canadien du renseignement de sécurité et le Centre de la sécurité des télécommunications, travaillent sans relâche pour atténuer ces menaces.
Le Service canadien du renseignement de sécurité fournit des analyses pour aider le gouvernement fédéral à comprendre les cybermenaces ainsi que les intentions et les capacités des cyberacteurs qui opèrent au Canada et à l’étranger et qui constituent une menace pour notre sécurité. Ces renseignements aident le gouvernement à améliorer sa connaissance globale de la situation, à mieux repérer les cybervulnérabilités, à prévenir le cyberespionnage ou d’autres cybermenaces et à prendre des mesures pour sécuriser les infrastructures essentielles.
Pour sa part, le Centre de la sécurité des télécommunications est toujours à l’affût des menaces qui pourraient être dirigées contre le Canada et les Canadiens. Le Centre de la sécurité des télécommunications abrite le Centre canadien de cybersécurité, qui a été créé en tant qu’initiative phare de la stratégie nationale de cybersécurité de 2018. Avec le Centre de cybersécurité, les Canadiens disposent d’un endroit clair et fiable vers lequel se tourner pour les questions de cybersécurité. C’est l’autorité canadienne en matière de cybersécurité technique et opérationnelle; il s'agit d'une source unique et unifiée de conseils d’experts, d’orientation, de services et de soutien pour le gouvernement fédéral, les infrastructures essentielles pour les propriétaires et les opérations, le secteur privé et le public canadien. Il aide à protéger et à défendre les précieux cyberatouts du Canada et travaille côte à côte avec le secteur privé et le secteur public pour résoudre les problèmes cybernétiques les plus complexes du Canada.
Par exemple, le cybercentre s’est associé à l’Autorité canadienne pour les enregistrements Internet pour créer le Bouclier canadien de celle-ci. Le bouclier est un service DNS protégé gratuit qui empêche les utilisateurs de se connecter à des sites Web malveillants susceptibles d’infecter leurs appareils ou de voler des renseignements personnels. Avec l’adoption de la Loi sur la sécurité nationale en 2019, les lois canadiennes sur la sécurité nationale et le renseignement ont été modernisées et améliorées.
Par conséquent, le Service canadien du renseignement de sécurité et le Centre de la sécurité des télécommunications disposent maintenant des pouvoirs dont ils ont besoin pour faire face aux nouvelles menaces à la sécurité nationale, tout en veillant à ce que les droits des Canadiens garantis par la Charte soient protégés.
Ces mises à jour sont conformes au mandat du Service canadien du renseignement de sécurité, qui consiste à recueillir et à analyser les renseignements liés aux menaces pour la sécurité du Canada dans des domaines tels que le terrorisme, l’espionnage, les armes de destruction massive, la cybersécurité et la protection des infrastructures essentielles.
L’adoption de la Loi sur la sécurité nationale a également permis d’établir, pour la toute première fois, une loi autonome pour le Centre de la sécurité des télécommunications. Avec la Loi sur le Centre de la sécurité des télécommunications, le Centre de la sécurité des télécommunications a conservé ses pouvoirs antérieurs et a reçu l’autorisation d’exercer des activités supplémentaires.
Par exemple, le Centre de la sécurité des télécommunications est désormais autorisé à utiliser des méthodes et des techniques plus avancées pour recueillir des renseignements de cibles étrangères. Conformément à la Loi sur le Centre de la sécurité des télécommunications, le Centre de la sécurité des télécommunications a pour mandat de réduire, d’interrompre, d’influencer ou de contrecarrer les capacités de ceux qui aspirent à exploiter nos systèmes, ainsi que de prendre des mesures en ligne pour défendre les réseaux canadiens et arrêter de manière proactive les cybermenaces avant qu’elles n’atteignent nos systèmes. Il est également autorisé à aider le ministère de la Défense nationale et les Forces armées canadiennes dans le cadre de cyberopérations.
En tant que police nationale du Canada, la GRC joue également un rôle très important en matière de cybersécurité. Elle dirige les enquêtes sur les cyberincidents criminels présumés, y compris ceux qui sont liés à la sécurité nationale.
Les enquêtes sur la cybercriminalité sont foncièrement techniques et complexes. Elles exigent des compétences expertes en matière d’enquête et un effort coordonné. C’est pourquoi, dans le cadre de la stratégie nationale de cybersécurité du Canada de 2018 et en tant que deuxième initiative phare, la GRC a créé le centre national de coordination contre la cybercriminalité.
Ce centre est opérationnel depuis plus d’un an maintenant. Il sert tous les organismes canadiens d’application de la loi, et son personnel comprend des agents de la GRC et des civils de divers horizons. En collaboration avec des organismes d’application de la loi et des partenaires des secteurs public et privé, le centre remplit plusieurs rôles, dont celui de coordonner les enquêtes sur la cybercriminalité au Canada.
Tout cela s'est accompagné de nouveaux investissements considérables dans les deux plus récents budgets. Dans celui de 2019, nous avons prévu 144,9 millions de dollars pour soutenir la protection des cybersystèmes essentiels et nous avons par la suite investi près de 400 millions de dollars dans la création du Centre canadien pour la cybersécurité et du Groupe national de coordination contre la cybercriminalité, ainsi que dans l’augmentation de la capacité d’application de la GRC.
Que ce soit à l’échelle nationale ou internationale, j’ai pleinement confiance dans les capacités de toutes les personnes qui, dans nos agences nationales de sécurité et de renseignement, ne ménagent aucun effort, jour et nuit, pour préserver notre cybersécurité et nous protéger contre les préjudices en ligne. Je suis convaincue que le projet de loi contribuera grandement à la poursuite de ces efforts.
:
Madame la Présidente, je dis bonjour à tous mes collègues et je remercie la députée de de ses observations judicieuses au sujet du projet de loi.
Je suis heureux d’avoir l’occasion d’intervenir au sujet du projet de loi sur la cybersécurité, alors que nous poursuivons le débat à l'étape de la deuxième lecture. Le projet de loi C‑26 contribuera grandement à améliorer la sécurité de nos cybersystèmes et apportera des changements permettant de prendre des mesures dans notre système de télécommunications.
Cette loi comporte deux parties. La partie 1 modifie la Loi sur les télécommunications afin de promouvoir la sécurité du système canadien de télécommunications en tant qu’objectif stratégique. Un pouvoir d’ordonner lié à cet objectif serait conféré au gouverneur en conseil et au ministre de l’Industrie. Ce pouvoir pourrait être utilisé pour obliger les fournisseurs de services de télécommunications canadiens à prendre des mesures si cela est jugé nécessaire. Grâce à ces pouvoirs, le gouvernement serait en mesure d’agir pour la sécurité, tout comme les autres organismes de réglementation fédéraux peuvent le faire dans leurs secteurs respectifs d’infrastructures essentielles.
Le projet de loi permettrait de prendre des mesures contre une série de vulnérabilités de ces systèmes essentiels, notamment les catastrophes naturelles et l’erreur humaine. Le ministère de l’Innovation, des Sciences et du Développement économique exercerait des responsabilités en matière de réglementation, et un régime de sanctions administratives pécuniaires serait établi pour promouvoir la conformité aux décrets et aux règlements pris par le gouverneur en conseil ou le ministre de l’Industrie. Une fois que les modifications à la Loi sur les télécommunications auront reçu la sanction royale, le gouverneur en conseil ou le ministre pourraient prendre des décrets à l'endroit des fournisseurs de services.
La partie 2 du projet de loi prévoit la création de la Loi sur la protection des cybersystèmes essentiels. Cette loi serait mise en œuvre conjointement par six ministères et organismes: les ministères de la Sécurité publique, de l'Innovation, des Sciences et du Développement économique, des Transports, des Ressources naturelles et des Finances, ainsi que le Centre de la sécurité des télécommunications. Ils joueront tous un rôle clé. En effet, partout dans l'administration fédérale canadienne, on sait que la cybersécurité est une question horizontale et qu'elle doit être gérée par une intervention gouvernementale rationalisée dans tous les secteurs, tous ramant dans la même direction.
Les services et les systèmes qui sont essentiels à la sécurité nationale ou à la sécurité publique des Canadiens seraient désignés à l'annexe 1 de la loi. Actuellement, l'annexe 1 comprend les services de télécommunications et les systèmes de transport. Y figurent également, dans le secteur des finances, les systèmes bancaires et les systèmes de compensation et de règlement, et, dans le secteur de l'énergie, les réseaux de pipelines et de lignes de transport d'électricité interprovinciaux ou internationaux et les réseaux d'énergie nucléaire.
L'annexe 2 de la loi établirait les catégories d'exploitants des services et systèmes essentiels figurant à l'annexe 1, ainsi que l'organisme de réglementation responsable de ces catégories. Les exploitants compris dans une catégorie sont des exploitants désignés assujettis à la loi.
Conformément à la responsabilité qui lui incombe d'exercer un leadership dans les questions liées à la sécurité nationale et à la sécurité publique, le ministre de la Sécurité publique aurait la responsabilité générale de la loi et dirigerait un certain nombre de processus liés à son application.
La prise de décisions par le gouverneur en conseil en vertu de la Loi sur la protection des cybersystèmes essentiels garantirait la prise en compte d’un large éventail de facteurs pertinents, notamment la sécurité nationale, les priorités économiques, le commerce, la compétitivité et les accords et engagements internationaux lorsque des décisions ayant un impact sur l’ensemble des secteurs sont prises. Cette loi permettrait également de mobiliser le savoir-faire des organismes de réglementation et leurs relations avec les entités qu’ils réglementent déjà dans le cadre de la législation existante.
Le Centre canadien de la cybersécurité est chargé de fournir des avis et des orientations techniques en matière de cybersécurité au Canada, et cela ne changerait pas sous le régime de la nouvelle loi. Le Centre pour la cybsécurité obtiendrait des ressources pour fournir des avis, des orientations et des services aux exploitants désignés afin de les aider à protéger leurs cybersystèmes essentiels; aux organismes de réglementation afin de les aider à s’acquitter de leurs obligations et de leurs fonctions de surveillance et d’évaluation de la conformité; aux ministères responsables de la sécurité publique et à leurs ministres, au besoin, afin de les aider à exercer leurs pouvoirs et leurs fonctions en vertu de la loi.
La Loi sur la protection des cybersystèmes essentiels exigerait des exploitants désignés qu’ils établissent un programme de sécurité qui documente les moyens par lesquels la protection et la résilience de leurs cybersystèmes essentiels seront assurées. Les exploitants désignés devront établir un programme de cybersécurité dans un délai de 90 jours suivant leur assujettissement à la loi s’ils relèvent d’une catégorie d’exploitants désignés selon la liste publiée à l’annexe 2 de la loi.
Une fois établi, le programme de cybersécurité doit être mis en œuvre et maintenu par l’exploitant désigné afin qu'il soit maintenu à jour et adapté aux menaces changeantes et à l’évolution de la technologie. Le programme doit inclure des mesures raisonnables pour définir et gérer les risques organisationnels en matière de cybersécurité, y compris les risques associés à la chaîne d’approvisionnement d’un exploitant et à l’utilisation de produits et de services de tiers. Il doit aussi protéger leurs systèmes informatiques essentiels contre les préjudices, détecter les incidents de cybersécurité qui ont ou pourraient avoir une incidence sur les systèmes informatiques essentiels et réduire au minimum l’impact des incidents de cybersécurité sur les systèmes informatiques essentiels.
Le projet de loi aiderait aussi à régler les problèmes liés à la chaîne d’approvisionnement. En raison de la complexité croissante des chaînes d’approvisionnement et de la dépendance accrue aux produits et services de tiers, comme le stockage de données en nuage et l’infrastructure en tant que service, les exploitants désignés peuvent être exposés à d’importants risques liés à la cybersécurité provenant de ces sources.
Lorsqu’un exploitant désigné relève un risque de cybersécurité pour son système informatique essentiel relativement à sa chaîne d’approvisionnement ou à son utilisation de services ou de produits de tiers par l’entremise de son plan de cybersécurité, la Loi sur la protection des cybersystèmes essentiels exigerait que l’exploitant désigné prenne des mesures raisonnables pour atténuer ces risques. Prendre des mesures raisonnables pour atténuer le risque signifie réduire la probabilité que le risque se matérialise, par exemple protéger une chaîne d’approvisionnement en rédigeant soigneusement des ententes contractuelles afin d’accroître la visibilité de la fabrication de matériel ou en choisissant un autre fournisseur de matériel. Cela peut aussi se traduire par la réduction des effets d’un risque s'il devait se concrétiser.
La Loi sur la protection des cybersystèmes essentiels comprendrait également une nouvelle obligation de signaler au Centre de la sécurité des télécommunications les incidents de cybersécurité touchant ou susceptibles de toucher les cybersystèmes essentiels afin que le Centre pour la cybersécurité puisse utiliser ces données. Un seuil définissant cette obligation de signalement serait fixé par voie réglementaire. Le gouvernement disposerait ainsi d’une source d’information fiable sur les menaces qui pèsent sur les cybersystèmes essentiels. La disponibilité des rapports d’incidents améliorerait la visibilité de la menace globale pour le Centre pour la cybersécurité. Grâce aux conclusions des analyses des rapports d’incidents, il pourrait avertir les autres exploitants désignés et tout exploitant de cybersystèmes des menaces ou des vulnérabilités potentielles; cela aiderait à informer les Canadiens des risques de cybersécurité et des tendances à cet égard, ce qui permettrait à la détection d’une organisation de devenir la prévention d’une autre organisation.
La nouvelle loi conférerait également un nouveau pouvoir au gouvernement. En vertu de la loi, le gouverneur en conseil serait autorisé à émettre des directives de cybersécurité s’il juge que des mesures particulières doivent être prises pour protéger un cybersystème essentiel contre une menace ou une vulnérabilité connue. Les directives s’appliqueraient à certains exploitants désignés ou à certaines catégories d’exploitants désignés. Elles obligeraient ces exploitants désignés à prendre les mesures décrites et ce, dans un délai précis. Le non-respect des directives pourrait entraîner une sanction administrative pécuniaire ou constituer une infraction pouvant faire l’objet d’amendes ou entraîner une peine d’emprisonnement. La loi comprendrait également des mesures de protection afin de garantir que l’information sensible, comme des renseignements obtenus à titre confidentiel auprès d’alliés internationaux du Canada, est protégée contre la divulgation.
Tous ces éléments indiquent que nous sommes en présence d'une nouvelle mesure législative solide, et j'espère avoir décrit adéquatement ses deux parties. Je suis impatient de poursuivre nos discussions au sujet de ce projet de loi historique et j'invite tous mes collègues à appuyer, comme moi, le projet de loi aujourd'hui.
:
Madame la Présidente, je vais partager mon temps de parole avec le député de , qui est un bon ami à moi.
Je parle aujourd’hui du projet de loi et, d’entrée de jeu, je dirai que c’est à mon avis une mesure législative stupide. Pourquoi cela? Parce que je ne pense pas qu’elle tente d'atteindre l'objectif qu'elle affirme viser. Dans l'ensemble, je trouve qu’il s’agit d’une autre mesure législative — probablement la troisième ou la quatrième sur laquelle je suis intervenu au cours de cette session parlementaire — qui m'exaspère parce que le gouvernement ne semble pas faire le travail difficile qu'implique le fait de gouverner.
Gouverner, c'est concilier les divers intérêts et trouver comment exprimer clairement ce qu'on a à dire. En ce qui concerne l'État de droit, il faut aller au-devant des attentes de la population et déterminer quelles devraient être les règles, puis lire la loi et se dire: « Oh, voilà ce que nous sommes censés faire. »
Une fois de plus, nous sommes en présence d’un texte de loi qui cible un problème évident et reconnaissable. Les Canadiens ont été mis au fait d’un certain nombre de menaces à la cybersécurité au pays et dans le monde. Les Canadiens demandent au gouvernement de gouverner, de définir des paramètres et des lignes directrices pour établir les attentes à savoir qui est admis à évoluer dans le cyberespace et comment on devrait le faire.
Ce projet de loi reflète une mentalité typique: « Nous formons le gouvernement. Nous sommes là pour aider. Faites-nous confiance. Nous avons les choses en main. » Or, nous ne faisons pas confiance au gouvernement. Les conservateurs, en particulier, ne font pas confiance au gouvernement pour faire ce qu'il a à faire. Nous l’avons vu essayer de distribuer des milliards de dollars à ses amis. J’ai mentionné le scandale UNIS. Il a distribué de l’argent à ses amis de Baylis Medical. De nombreuses preuves attestent qu'il ne faut pas faire confiance au gouvernement.
En ce qui concerne la cybersécurité, c’est également un domaine où je ne fais pas confiance au gouvernement. Le gouvernement est au pouvoir depuis sept ans, et nous l’avons vu se traîner les pieds sans arriver à prendre une décision, pour toute une série de raisons, relativement à Huawei. Une entreprise particulière a-t-elle été autorisée à participer à la construction de l’infrastructure de notre réseau Internet?
C’est un problème majeur. Nous avons dit au gouvernement que, selon nous, cette entreprise contrôlée par le gouvernement du Parti communiste chinois ne devrait pas pouvoir participer à l’infrastructure Internet canadienne. Nous avons demandé au gouvernement d’interdire l’utilisation de la technologie de Huawei dans notre infrastructure Internet, mais il n'est pas arrivé à le faire. Le gouvernement a passé des années à se traîner les pieds, à se lamenter et à faire toutes sortes de simagrées. Quand les libéraux présentent un projet de loi comme le en disant de faire confiance au ministre, qu'il fera ce qu'il faut, je suis désolé, mais nous ne faisons pas confiance au ministre pour faire ce qu’il faut.
Nous avons été témoins d’un certain nombre de menaces à la sécurité de notre infrastructure de base. L’une d’entre elles, assez récente, mérite d’être soulignée: la fermeture d’un pipeline particulier. Parce que la cybersécurité d’un élément particulier d'une infrastructure de pipeline était déficiente, nous avons assisté à une flambée spectaculaire du prix du carburant dans toute l’Amérique du Nord. Encore là, c'est ce qui arrive quand on fait confiance au gouvernement, en particulier à ce gouvernement, pour faire son travail.
L’un des grands rôles du gouvernement, au Canada et ailleurs, consiste à maintenir la paix et la sécurité. Nous avons des forces armées, des forces policières et un système judiciaire à cet effet. Cependant, il faut se préoccuper de la paix et de la sécurité dans le cyberespace, car elles revêtent de plus en plus d'importance.
Nous devrions pouvoir avoir le sentiment que ce que nous possédons ne disparaîtra pas. Nous devrions pouvoir posséder des biens, nous devrions pouvoir les entretenir, et ainsi de suite. Nous attendons du gouvernement qu’il établisse des registres pour nous permettre d’enregistrer nos biens, afin que, s’ils disparaissent, le gouvernement dispose d’un registre et que nous puissions nous en servir pour les récupérer. Ils ne peuvent pas simplement nous être enlevés.
De la même manière, ce volet fait de plus en plus partie de la cybersécurité. La propriété des choses dans le cyberespace, la propriété des sites Web et même la propriété de nos propres comptes Twitter, par exemple, sont des éléments qui sont de plus en plus considérés comme relevant de la cybersécurité.
Le gouvernement semble ne pas être en mesure d'assurer la cybersécurité des Canadiens.
L'entreprise canadienne Ski‑Doo est emblématique. Je ne sais pas si les gens ici font de la motoneige, mais moi, j’aime en faire, et dans ce secteur, Ski‑Doo est une entreprise emblématique au Canada.
J’ignore si les gens le savent, mais récemment, Ski‑Doo a été victime d'une cyberattaque et perdu le contrôle de tout son réseau de concessionnaires. Son propre système informatique est tombé en panne. Elle n’a pas pu le récupérer. Maintenant, son réseau est entre les mains de quelqu’un d’autre, et elle est incapable de le récupérer.
À mon avis, il est vital de protéger ce type de systèmes et de données. Lorsqu’on présente un projet de loi sur la cybersécurité, c’est le genre de choses que le gouvernement devrait essayer de protéger. Il s’agit de biens canadiens. Il s’agit d’identités canadiennes. Il s’agit de marques canadiennes. Des biens pour lesquels nous devons nous assurer de pouvoir intenter des poursuites, traquer les auteurs de ces actes et assurer la cybersécurité.
Je pense que c’est en cela qu’un projet de loi tel que celui-ci me laisse plutôt insatisfait. On y dit beaucoup de choses agréables à lire ou à entendre au début. Le gouvernement arrive avec une déclaration générale sur la manière dont il va défendre la cybersécurité, sur l’importance de la cybersécurité et sur le fait que nous devrions tous voter en faveur de ce projet de loi. J’imagine que nous le ferons.
Toutefois, le projet de loi ne nous dit pas nécessairement ce que nous allons faire concrètement. L’interdiction de Huawei n’y est pas nécessairement énoncée. Il n’y a pas de critères sur ce à quoi doivent s’attendre les entreprises pour fonctionner dans cet environnement, plus précisément ce à quoi elles peuvent être liées et ce à quoi elles ne devraient pas être liées. Le message se limite à « faites-nous confiance, nous sommes le gouvernement et nous sommes là pour vous aider ».
En outre, ces dernières années, nous avons vu que le gouvernement avait la possibilité de consacrer des ressources à la capacité des forces de l’ordre à traquer les auteurs de certaines de ces attaques. Nous pouvons voir que des changements ont été apportés au Code criminel de façon à nous assurer que certaines attaques commises avec des logiciels malveillants ou des rançongiciels puissent être retracées et faire l’objet de poursuites ici au Canada. C’est une préoccupation majeure des entreprises qui envisagent d’investir à l’étranger. Elles étudient la capacité d’un pays à les protéger contre une cyberattaque, mais aussi à poursuivre les auteurs des cyberattaques.
J’ai un ami qui travaille pour la police municipale de Calgary, dans le domaine de la cybercriminalité. Il collabore souvent avec les forces de police du monde entier pour traquer ceux qui utilisent des rançongiciels contre des entreprises canadiennes.
Il me dit qu’on intente rarement de poursuites au Canada, voire jamais, parce que certaines dispositions de nos lois sont trop floues pour que ce soit possible. Comme il s’agit de crimes commis dans plusieurs pays, la poursuite est souvent intentée dans un pays dont les lois sont meilleures. Mon ami dit qu’il doit collaborer avec 23 organismes d’application de la loi pour porter une affaire devant les tribunaux en Europe, en Europe de l’Est ou en Israël parce que les lois de protection en matière de cybersécurité y sont bien meilleures.
:
Madame la Présidente, je suis heureux d’intervenir à la Chambre aujourd’hui pour parler d’un sujet très sérieux, la cybersécurité et la sécurité de notre pays en général.
Je dirai, sur une note plus légère, que le député de Peace River Westlock a parlé d’entreprises de motoneiges et de cyberattaques. J’ai eu l’occasion de faire de la motoneige chez lui, et je dirai que l’approche du gouvernement en matière de sécurité équivaut à sauter par-dessus un mur de soutènement de quatre pieds en motoneige, ce qui s’est peut-être produit, ou pas, la dernière fois que j’ai essayé de piloter une de ces machines.
La situation de la sécurité au pays mérite largement l’attention de la Chambre. Pratiquement depuis que je suis la politique et que j’en fais, on parle surtout, en matière de sécurité, des préoccupations relatives à notre état de préparation face à la menace terroriste et à ce que nous faisons pour la contrer. Cependant, il importe de prendre la mesure des changements intervenus et de constater que, s’il demeure des craintes au sujet du terrorisme et de notre réponse face à d'éventuels actes de terrorisme, la principale menace pour la sécurité de notre pays, ainsi que du reste du monde occidental, c’est le risque que nos affaires nationales fassent l'objet d'une ingérence étrangère avec l’aval et le soutien de certains États. Que divers États essaient d'interférer avec notre vie démocratique et d’influer sur elle pour amener non seulement nos institutions gouvernementales, mais aussi les institutions de la société civile à servir leur objectif devrait être un souci de tous les instants.
Les députés ministériels disent que cette ingérence vise à semer le chaos total et la confusion. Dans certains cas, l’ingérence étrangère vise en effet à semer le chaos, mais très souvent, elle vise simplement à corrompre et à contrôler la marche d’institutions pour servir la volonté et les intérêts d’une puissance étrangère quelconque. Nous avons parlé du fait que le Parti communiste chinois est le principal acteur en matière d’ingérence étrangère soutenue par un État, mais il est loin d’être le seul.
Nous avons vu des reportages sur l’ingérence du gouvernement chinois dans nos élections. Récemment, il a aussi été fait état de menaces de mort de la part du régime iranien à l'endroit de personnes qui se trouvent au Canada. Le SCRS et d’autres organisations ont nommé d’autres pays qui essaient de déjouer, de corrompre et d'influencer des institutions canadiennes — à vrai dire tous les pouvoirs publics —, ainsi que des organismes de la société civile, des universités et j’en passe.
Cette ingérence invisible — ou quelque peu perceptible, mais souvent difficile à détecter —, qui vise à orienter notre vie nationale vers des objectifs qui ne concordent pas avec ceux que les Canadiens ont établis, constitue une grande menace pour notre sécurité et notre souveraineté. C’est un problème qui devrait tous nous interpeller et auquel nous devrions tous chercher des solutions.
Il faut dire aussi que nous vivons ce que certains analystes qualifient de deuxième guerre froide. Bien sûr, nombre d’éléments du conflit actuel entre les valeurs démocratiques et autoritaires ne sont pas les mêmes que pendant la première guerre froide. Néanmoins, nous assistons à une intensification de la rivalité mondiale entre deux systèmes de valeurs distincts que différents pays représentent à différents moments, et certains pays qui se trouvent entre les deux sont tiraillés dans tous les sens.
Je suis porté à croire que ce qualificatif de guerre froide permet plutôt de comprendre les tensions qui règnent actuellement dans le monde. Dans le contexte de ces tensions, des puissances dont les valeurs politiques sont fondamentalement différentes des nôtres et dont le gouvernement entend préserver sa propre position cherchent à projeter leur influence dans le monde entier. Je le répète, il faut être vigilant. Le Canada doit réagir résolument.
J’ai été frappé par certaines des récentes observations du sur ces questions. Je pense qu’il fait preuve d’un véritable manque de transparence lorsqu'il s'agit de reconnaître ce qu’il savait et depuis quand, ou encore de répondre aux questions directes de l’opposition sur l’ingérence étrangère, ce qu'il refuse de faire, d'autant plus qu'il a déclaré très ouvertement que nous avons un sérieux problème d’ingérence étrangère. C’est une réalité que les députés de l’opposition, en particulier ceux du Parti conservateur, soulèvent depuis des années. Nous avons demandé au gouvernement d’en faire plus. Nous réclamons des cadres législatifs solides pour réagir au problème de l’ingérence étrangère soutenue par des États.
Nous avons également cherché à faire entendre la voix des victimes d’ingérence étrangère, des personnes qui ont fait l’objet de menaces et d’intimidations de la part d’acteurs étatiques étrangers désireux de les faire taire, estimant que les discours qu'ils tiennent sont contraires à leurs intérêts. Il a été largement rapporté que certaines de ces victimes ont vraiment du mal à obtenir l'aide qu'il leur faut parce que, souvent, on les traite comme une patate chaude.
Ces victimes s’adressent à leur police locale, qui n’est pas nécessairement en mesure de traiter un cas de campagne organisée de menaces et d’intimidation soutenue par un État étranger. Vont-elles s’adresser à Affaires mondiales? Vont-elles s’adresser au SCRS? Vont-elles s’adresser à la GRC? Lorsqu'il s'agit de venir en aide aux victimes d'ingérence étrangère soutenue par un État, il peut y avoir un peu de confusion et de renvoi de la balle.
Nous avons beaucoup de travail à faire en matière de lois et de politiques, ainsi que sur le plan de notre préparation générale et de notre compréhension de ces questions. Nous devons absolument intensifier nos efforts dans le but de mieux comprendre les menaces qui planent sur notre pays et d'y répondre efficacement.
Le et le gouvernement doivent cependant faire preuve de plus de transparence, car le fait d’être transparent sur cette réalité peut contribuer à atténuer les répercussions de l'ingérence étrangère. Si on sait qu’elle a lieu, si on sait ce qu’elle vise, on peut alors réagir plus efficacement.
Ce n’est pas seulement au gouvernement fédéral qu’il incombe de réagir. Les gouvernements provinciaux et les administrations municipales doivent être informés des problèmes d’ingérence étrangère. Les universités doivent également se mobiliser. Les entreprises privées doivent connaître les risques que supposent l’ingérence, le vol de technologie et le fait que certaines choses peuvent avoir un double usage militaire. Il faut une prise de conscience plus large de cette menace pour l’intérêt national qui met nos valeurs en péril dans tous les secteurs de la société, et une réponse plus large à celle-ci.
Le gouvernement a un rôle important à jouer pour diriger la réponse et apporter des changements à l’échelle nationale. Nous avons pris beaucoup de retard, au niveau fédéral, dans notre réponse à ces menaces. L’opposition conservatrice réclame depuis des années une réponse à l’ingérence étrangère. Maintenant, nous voyons le gouvernement commencer à en parler un peu plus.
J’ai remarqué que, dans certaines formulations de la stratégie indo-pacifique, par exemple, le gouvernement commence, ou tente de ressembler un peu plus aux conservateurs dans sa façon de parler de certains des défis que nous devons affronter et des mesures que nous devons prendre dans la région indo-pacifique. Le gouvernement adopte des parties de notre discours, mais il ne parvient pas à ajuster son approche de manière substantielle.
Nous sommes saisis aujourd’hui d’un projet de loi qui traite d’un domaine où nous devons nous engager et réagir au problème de l’ingérence soutenue par des États étrangers, à savoir la cybersécurité. Je soutiendrai ce projet de loi à ce stade pour le voir passer à l'étape du comité, principalement parce que nous avons manifestement besoin d’un nouveau projet de loi sur la cybersécurité. Nous avons manifestement besoin d’un nouveau cadre. L’étude du comité cernera certaines des lacunes importantes que nous constatons dans le projet de loi actuel, les améliorations à apporter et les nombreuses autres étapes nécessaires. Je noterai simplement qu’il est grand temps que nous ayons une proposition de cadre pour la cybersécurité qui, d’une certaine manière, donne au comité l’occasion de compléter et de développer ce que le gouvernement a initialement proposé.
C’est vraiment la première fois que nous voyons une proposition de loi du gouvernement qui aborde de manière substantielle le problème émergent de l’ingérence des États étrangers. Nous avons besoin d’un éventail de réponses beaucoup plus large de la part du gouvernement. Nous devons faire beaucoup plus pour contrer cette grave menace pour la sécurité.
Il s’agit de protéger notre pays. Il s’agit de préserver l’intégrité de nos institutions. Il s’agit de défendre le principe selon lequel l’orientation de notre démocratie et de notre société devrait être façonnée par la délibération ouverte des Canadiens, et non par des puissances étrangères qui ont des intérêts particuliers pouvant être contraires à nos intérêts et qui essaient d'influencer la direction de ce débat selon ce qu’elles préfèrent.
Nous y parviendrons avec le cadre proposé, dont le comité pourra débattre davantage, pour combler certaines lacunes et essayer de pousser le gouvernement à être plus précis dans ses mesures. Cette mesure arrive tard, elle manque de détails et elle ne représente qu’une petite partie de l'ensemble des mesures nécessaires.
Le gouvernement a pris tellement de retard. J’ai mentionné la décision concernant Huawei. Nous étions très en retard sur tous nos alliés dans cette décision. Il est important, à ce stade avancé où le gouvernement commence enfin à mentionner le problème, que nous prenions des mesures concrètes. Les conservateurs feront pression sur le gouvernement pour qu’il joigne le geste à la parole.
:
Madame la Présidente, je vais dire d'emblée que je partagerai mon temps de parole avec le député d'.
C’est un plaisir de prendre la parole sur ce projet de loi, qui était, je dois le dire, très attendu de la part de ma formation politique.
La cybersécurité est un sujet que nous avons notamment eu l'occasion d'étudier au Comité permanent de la sécurité publique et nationale. Nous avons entendu des experts à ce sujet venir nous dire ce qu'ils pensaient de la préparation du Canada ou de sa posture à l'égard de la sécurité afin de faire face à de potentielles cybermenaces. Cette idée est venue de mes collègues conservateurs. Elle était d'ailleurs très bonne.
Au vu de ce qui se passe en Ukraine avec la Russie, on sait que des menaces militaires existent encore au XXIe siècle. Cependant, il y a aussi l'avènement de nouvelles technologies, et donc de menaces non militaires. J'ai eu l'occasion de parler de ces menaces non militaires la semaine dernière à Varsovie, en Pologne, à l'occasion de l'Assemblée parlementaire de l'Organisation pour la sécurité et la coopération en Europe. J'ai parlé de ces menaces non militaires et de la manière dont les différents pays doivent se préparer ou se prémunir contre elles.
Ce qu'on entendait au Comité permanent de la sécurité publique et nationale, c'est à quel point il est difficile de se préparer à cela, parce que cela évolue tellement vite. Les gens n'étaient donc pas énormément positifs en ce qui concerne la préparation du Canada.
Je pense qu'il y a une bonne foi, et c'est ce que les experts sont venus nous dire: le Canada tente de se préparer et de se prémunir contre de potentielles cyberattaques. Je dis « potentielles », mais elles existent déjà. On sait que plusieurs infrastructures ou entreprises, notamment privées, ont été ciblées par des cyberattaques dans le passé, au Québec comme au Canada. Le Canada n'est pas tout à fait prêt à y faire face, mais, ce qu'on nous disait, c'est qu'il ne le sera peut-être jamais complètement. C'est la même chose pour tous les pays parce que, comme je le disais, cela évolue tellement vite.
Or, se prémunir d'un cadre pour la cybersécurité, je pense que c'est énormément positif. C'est ce que le gouvernement avait promis. Dans sa stratégie nationale en matière de cybersécurité, il s'était engagé à mieux réglementer les cybersystèmes du secteur privé relevant du fédéral. Le budget de 2019 accordait justement 144,9 millions de dollars pour élaborer ce nouveau cadre afin de protéger les infrastructures essentielles. C'est exactement ce que vient faire ce projet de loi, qui comporte deux principales parties visant à renforcer la sécurité du système canadien des télécommunications.
La première partie du projet de loi vient modifier la Loi sur les télécommunications. On y ajoute la promotion de la sécurité, notamment en permettant au gouvernement d'ordonner aux fournisseurs de services Internet de faire ou de ne pas faire toute chose nécessaire pour sécuriser le système canadien de télécommunication. La deuxième partie du projet de loi crée une nouvelle loi, la loi sur la protection des cybersystèmes essentiels, afin de créer ce fameux cadre dont on parle concernant la protection des cyberinfrastructures ou des entreprises essentielles lorsqu’elles relèvent du fédéral.
La Loi est donc essentiellement un cadre réglementaire. Il faudra voir de quelle manière, et mon collègue d'Abitibi—Témiscamingue l'a mentionné dans sa question à notre collègue conservateur, ce projet de loi pourra avoir un effet sur le Québec, notamment sur des entreprises ou des organisations comme Hydro‑Québec, puisque la Loi désigne les systèmes de lignes électriques interprovinciaux comme étant des services et des systèmes critiques. J'y reviendrai.
Il faudra aussi voir en comité si les vastes pouvoirs de prendre des règlements qui sont prévus par le projet de loi sont justifiés et ne contournent pas inutilement le Parlement. Des craintes ont été exprimées dans les médias par certains groupes qui nous ont également contactés à ce sujet. Ces craintes concernant le projet de loi sont assez fondées. J'y reviendrai un peu plus loin.
Je dirais qu'il est quand même important de procéder minutieusement et de la bonne façon avec ce projet de loi. En effet, toutes les modifications qui vont être inscrites au projet de loi auront une incidence directe sur toutes les installations de transmission des entreprises québécoises, y compris celles, par exemple, qui seront bientôt installées dans ma circonscription afin d'offrir un service de téléphonie cellulaire acceptable à ceux et à celles qui n'en ont toujours pas. C'est malheureusement encore le cas dans certaines circonscriptions au Canada en 2022. Puisque c'est le cas dans ma circonscription, cela aura quand même une incidence assez importante.
Les fournisseurs de services de téléphonie locaux devront se soumettre aux modifications de la loi, de même que les services de voix IP, les fournisseurs de service Internet, les fournisseurs de services interurbains et les services sans fil, entre autres.
En somme, cela signifie que les modifications accorderaient des pouvoirs permettant à la gouvernance de sécuriser le système, si on estime que la sécurité du système de télécommunication est menacée, soit par ingérence, manipulation ou perturbation. Il pourrait être interdit aux fournisseurs de services de télécommunication d’utiliser ou de fournir certains produits ou certains services dans ce cas-là.
Selon ma compréhension du libellé du projet de loi, qui est assez complexe, il serait même possible d’interdire aux fournisseurs de services de télécommunication de fournir des services à une personne en particulier. On comprendra ici que ce sont des pouvoirs quand même vastes et grands, et j’ose croire qu’à l’étape de l’étude en comité, le caractère du projet de loi sera assez détaillé pour déterminer les facteurs qui seront pris en considération pour s'octroyer de tels pouvoirs.
Comme je le disais un peu plus tôt, cette loi permettrait de désigner certains systèmes et services sous réglementation fédérale comme étant essentiels à la sécurité nationale ou à la sécurité publique. En ce qui a trait à cette nouvelle loi sur la protection des cybersystèmes essentiels, elle aurait pour objet de protéger ces cybersystèmes essentiels dans le secteur privé.
La question est de savoir ce qu'est un cybersystème essentiel. C'était assez difficile pour moi de trouver une définition claire en français de ce qu'est un cybersystème essentiel, mais le gouvernement le définit lui-même d'une certaine façon dans son projet de loi. Il semble le définir comme un système « dont la compromission [...] pourrait menacer la continuité ou la sécurité d'un service critique ou d'un système critique ».
Ce projet de loi énumère six services et systèmes critiques dans son annexe. On parle évidemment des services de télécommunication, des systèmes de pipelines et de lignes électriques interprovinciaux ou internationaux, des systèmes d'énergie nucléaire, des systèmes de transport sous responsabilité fédérale, des systèmes bancaires, des systèmes de compensation et de règlements.
C'est ce qui sera interpellé dans ce projet de loi. C'est quand même plusieurs éléments à vérifier et cela implique plusieurs acteurs. Plusieurs ministres pourront avoir leur mot à dire par la suite dans cette réglementation. C'est donc quand même important de s'y pencher comme il faut.
À ce stade-ci, plusieurs questions peuvent être posées. Par exemple, on s'interroge sur l'impact que cela pourrait avoir sur certaines infrastructures interprovinciales, comme les lignes électriques et les réseaux de distribution. La loi pourrait exercer une influence sur Hydro-Québec et sur d'autres infrastructures non fédérales, comme les alumineries. Ce que je comprends, c'est que le projet de loi désignerait les lignes électriques interprovinciales comme des services critiques. Cela pourrait donc avoir un impact.
Le principe de la loi ne pose pas problème pour ma formation politique. C'est en convoquant des experts à l'étude en comité qu'on pourra déterminer si ce projet de loi a un impact positif ou non. Je crois que cela pourrait être très positif, mais il faudra en voir la portée.
Le Bloc Québécois a fréquemment soutenu la nécessité pour le gouvernement de resserrer le contrôle en matière de radiodiffusion pour certaines infrastructures critiques qui sont potentiellement dans la ligne de mire d’États étrangers. On peut penser à la Chine et à la Russie comme je l'ai mentionné plus tôt. Il y a la saga avec Huawei et le développement du réseau 5G. L'indécision du gouvernement qui a duré plusieurs années prouve qu'il fallait agir en amont plutôt que toujours en réaction. La montée en puissance de la Chine et ses tentatives d'ingérence à multiples reprises et les vulnérabilités du Canada en matière de cybersécurité sont des faits prouvés. À titre d'exemple, on sait qu'Hydro-Québec a été la cible potentielle d'espionnage chinois. Cela pourrait être la même chose directement dans les infrastructures également. Je pense que c'est un projet de loi qui a sa raison d'être. Nous sommes très contents que le gouvernement l'ait déposé. C'est pourquoi le Bloc québécois va voter en faveur de son renvoi en comité parlementaire pour pouvoir entendre les experts à ce sujet.
Je me permettrais de prendre cette dernière minute pour évoquer les craintes émises par certains groupes. Notamment, le professeur Christopher Parsons de l'Université de Toronto disait que le projet de loi était si imparfait qu'il permettrait à des gouvernements autoritaires dans le monde de le citer pour justifier leurs propres lois répressives. C'est une affirmation assez préoccupante. Je me permettrais d'en dire un peu plus lors des questions et observations.
:
Madame la Présidente, j'ai le plaisir de prendre la parole sur le projet de loi qui viendra renforcer la sécurité des infrastructures essentielles et du système canadien des télécommunications.
Depuis le mois de juin, plusieurs experts s'affairent à prendre connaissance des dispositions de cette loi et à déterminer la valeur des propositions que nous a fait le gouvernement.
D'abord, ce projet de loi n'est pas structuré de manière habituelle. J'observe le caractère urgent que comporte la gestion de la cybersécurité qui a été prise en compte. Ainsi le ministre aura de nouvelles responsabilités, mais le gouverneur en conseil sera également en mesure d'agir. D'ailleurs, la loi est essentiellement un cadre réglementaire permettant surtout au gouvernement de prendre des règlements pour assurer la sécurité des cybersystèmes essentiels.
J'attire l'attention sur la deuxième partie du projet de loi, car l'adoption de celui‑ci va créer une nouvelle loi sur la protection des cybersystèmes essentiels qui conférera un cadre de protection des cyberinfrastructures ou des entreprises essentielles lorsqu'elles sont sous la compétence fédérale. Les secteurs impactés de notre économie y sont identifiés comme des exploitants désignés. On peut facilement déterminer les entreprises et les organisations touchées
Ici, le gouvernement a bien fait de préciser à qui s'adresse les obligations de renforcer: aux personnes, aux sociétés de personnes ou aux organisations non dotées de la personnalité morale, qui appartiennent à une des catégories d'exploitants figurant à l'annexe 2 de la nouvelle loi, lesquelles seront identifiées par décret.
Chaque catégorie d'exploitants se verra attribuer un organisme réglementaire correspondant, soit le ministre de l’Innovation, des Sciences et de l’Industrie, le ministre des Transports, le Bureau du surintendant des institutions financières, la Régie de l'énergie du Canada, la Banque du Canada ou la Commission canadienne de sûreté nucléaire.
C'est dans l'annexe 1 de la nouvelle loi qu'on retrouve les services et les systèmes critiques qui seront à la base de ces désignations, lesquelles pourront être ajoutées ultérieurement: les services de télécommunication, les systèmes de pipelines et de lignes électriques interprovinciaux ou internationaux, les systèmes d'énergie nucléaire, les systèmes de transport relevant de la compétence législative du Parlement, les systèmes bancaires et les systèmes de compensations et de règlements.
J'aimerais attirer l'attention de mes collègues sur Hydro-Québec. Un élément important du projet de loi qui nous préoccupe, au Bloc québécois, est la partie sur les services essentiels et les systèmes essentiels qui pourrait potentiellement impliquer les lignes électriques interprovinciales et les réseaux de distribution. Il est de la plus haute importance que cette section du projet de loi soit étudiée et clarifiée en comité afin d'évaluer si et en quoi cela aura un impact sur Hydro-Québec.
Cependant, nous ne sommes pas opposés aux principes et aux objectifs sous-jacents de la sécurisation et de la protection des infrastructures interprovinciales. Selon les rapports, Hydro-Québec est victime de plus de 500 cyberattaques par année, soit environ 41 attaques par mois. C'est plus d'une attaque par jour. Cela met en danger notre réseau électrique et, par conséquent, la vie et la santé économique de tous les Québécois. Cela met également en danger les renseignements personnels des clients, bien que cela soit généralement un objectif secondaire de toute attaque contre la société d'État d'énergie.
Bien qu'Hydro-Québec ait réussi à repousser ces attaques et à s'en protéger en investissant dans les systèmes, des pare-feux et la formation aux employés, pourquoi n'agirait-on pas de manière proactive? Se protéger et réagir à l'assaut constant des attaques de cybersécurité prend non seulement beaucoup de temps aux entreprises, qu'il s'agisse d'Hydro-Québec ou Desjardins, mais cela coûte également très cher. Il faut espérer que ce projet de loi puisse aider à prévenir ou à limiter ces attaques pour commencer en agissant en amont pour réglementer et promouvoir desnouveaux cadres de cybersécurité parmi les fournisseurs de services Internet. Cela est particulièrement important si on considère la menace accrue que des acteurs malveillants d'États étrangers comme la Russie ou la Chine font peser sur nos infrastructures.
Il faut espérer que, contrairement à aujourd'hui, les entreprises puissent se tourner vers des sources de renseignements sur les cyberattaques.
Il y a là aussi un enjeu de sécurité nationale. Ces États se sont enhardis, non seulement par l'absence de mesures prises à leur encontre par le gouvernement canadien, mais aussi par le vide de réglementation. Il suffit de regarder Huawei et la menace qu'elle représente et les dommages qu'elle a causés à la sécurité nationale des pays du monde entier, particulièrement en Afriqu;, les exemples sont assez marquants. En vertu de la loi, la Chine a forcé toute entreprise à contribuer à l'avancement des objectifs des services de renseignements chinois, ce qui est particulièrement alarmant si on considère que ce pays opère par le biais d'une diplomatie coercitive au mépris flagrant des normes internationales.
Même si le gouvernement fédéral a finalement interdit la technologie Huawei, de nombreuses années d'incertitude ont précédé cette décision en raison de la pression, du pouvoir et des interférences que la Chine pourrait malheureusement exercer contre nous.
Cette décision a montré à quel point nous sommes vulnérables aux acteurs malveillants sur la scène mondiale. C'est pourquoi nous avons besoin d'un cadre réglementaire, d'un moyen de répondre aux menaces de cybersécurité, en particulier de la part des puissances étrangères qui détiennent une position de pouvoir et qui utiliseront la faiblesse des autres pour faire avancer leurs propres positions.
J'ai rencontré ce matin des représentants de Shakepay, une société de technologie financière québécoise qui exploite une plateforme visant entièrement le bitcoin avec plus de 1 million de clients canadiens. L'une des choses m'ayant frappé, lors de cette rencontre, c'est l'importance qu'ils accordent à la sécurité et à la protection de leurs clients. J'étais évidemment dans l'esprit du projet de loi Ils m'ont dit que tous les fonds des clients sont détenus en fiducie selon un ratio de 1:1 auprès d'institutions financières canadiennes et de dépositaires de cryptomonnaies de premier plan. J'ai appris qu'ils s'efforcent continuellement d'améliorer et de promouvoir l'application de mesures de cybersécurité afin de protéger leurs systèmes.
En préparation pour mes remarques d'aujourd'hui au sujet du projet de loi C‑26, j'en suis venu à penser que nous devons examiner comment nous pouvons nous inspirer des normes de sécurité d'entreprises québécoises comme ShakePay et que nous devons déterminer si l'industrie du bitcoin et de la cryptomonnaie devrait également être prise en considération dans le cadre du projet de loi C‑26. Qu'on le veuille ou non, la technologie et les habitudes des clients nous amèneront peut-être par là.
J'aimerais parler de cyberrésilience. Je comprends que ce projet de loi ne sera pas étudié au Comité permanent de l'industrie et de la technologie, auquel je siège. Cependant, je vois des enjeux qui touchent les industries qui gravitent dans ce créneau de protection des systèmes contre les cyberattaques. Il y a ici deux choses qu'il faut garder à l'esprit: les agresseurs s'en prennent aux données avec des méthodes qui étaient auparavant inimaginables, et ils affectionnent ce qui retarde considérablement la capacité à restaurer les opérations de production. On vise comme conséquences une atteinte à la réputation et des retombées financières.
La complexité inhérente aux systèmes mis en place à l'heure actuelle nécessite des ressources de plus en plus spécialisées. Il faudra s'assurer d'encourager l'innovation, la recherche et le développement, bref tout l'écosystème de cette industrie qui travaille sur la cyberrésilience des systèmes à très hauts risques. Il faut s'assurer d'attirer les meilleurs talents au monde. Les responsabilités du gouvernement doivent s'exercer au même rythme qu'il introduit ces changements. Il faut se rappeler que nous sommes toujours à une occasion d’interrompre la continuité de nos activités à cause d'une cyberattaque, alors que les occasions se multiplient.
Y a-t-il urgence d'agir? Oui, évidemment. Est-ce que le gouvernement est sur la même page que les gens qui gravitent dans cette industrie? Il a malheureusement pris du retard.
Depuis un an, le Comité permanent de l'industrie et de la technologie a étudié des sujets qui l'ont mené au cœur des technologies de pointe utilisées dans les secteurs visés par ce projet de loi. La complexité inhérente des environnements qui sont exploités dans ces secteurs expose les données critiques et les configurations système à des risques plus élevés que jamais, à tel point qu'on n'en est malheureusement plus à évaluer la probabilité de réussite d’une cyberattaque, mais plutôt la façon dont on s'en relèvera. En effet, si les infrastructures de technologie de l'information sont devenues de plus en plus complexes, les cyberattaques sont pour leur part devenues de plus en plus sophistiquées.
Je n'ose pas imaginer ce qu'il en sera dans les prochaines années, lorsque l'intelligence artificielle sera pleinement développée et qu'on aura accès à l'informatique quantique. Ce que j'entends, c'est que des centaines de données informatiques d'utilisateurs sont stockées chaque jour dans des serveurs à l'international. On est incapable de les traiter en profondeur présentement, mais qu'en sera-t-il lorsque les ordinateurs quantiques seront capables de traiter ces données? Nous serons peut-être très vulnérables relativement aux actions que nous accomplissons aujourd'hui en approuvant banalement une application ou en autorisant la prise de nos données. Bref, nous paierons peut-être dans cinq ans ce que nous donnons aujourd'hui.
En conclusion, le Bloc Québécois appuie le projet de loi, afin qu'il soit envoyé en comité pour y être étudié de façon détaillée, comme le disait ma collègue d'. Je salue également les occasions qui se pointent pour les spécialistes au sein des industries du Québec qui se distinguent par leur savoir-faire.
:
Madame la Présidente, je suis heureuse de prendre la parole aujourd'hui au sujet du projet de loi sur la cybersécurité. Je partagerai mon temps de parole avec le député d'.
Les Canadiens reconnaissent que nous devons faire quelque chose dans le domaine de la cybersécurité. Nous avons tous déjà été confrontés à une forme ou une autre de piratage. J'ai moi-même été victime de pirates informatiques; j'ai acheté quelque chose en ligne puis, soudainement, ma carte de crédit est piratée et toutes mes transactions préautorisées doivent être modifiées. Cela prend beaucoup de temps. J'ai été piraté à maintes reprises sur Facebook, comme c'est le cas de beaucoup de personnes, j'en suis sûre, ainsi que sur Instagram et d'autres plateformes. Ce sont des incidents rapportés par les Canadiens.
Pensons aux cas plus graves de piratage informatique, où des systèmes gouvernementaux sont piratés et des fuites de renseignements ont lieu. Les entreprises vivent ces situations. J'ai un ami qui est un spécialiste en cybersécurité. Il se fait payer 2 500 $ par jour pour parcourir le monde et aider les entreprises qui ont été piratées à améliorer leurs protections.
Il faut faire quelque chose. J'aimerais parler aujourd'hui des mesures qui doivent être prises, puis de la façon dont le projet de loi répond ou non à ce besoin.
Tout d’abord, nous devons repérer les systèmes critiques. Quelles sont les choses que nous voulons protéger? Si quelqu’un pirate mon compte Netflix, cela n’a rien de dramatique. Cependant, il y a des choses qui sont importantes, et je pense que tout le monde s’entend pour dire que les bases de données qui protègent notre identité ou qui contiennent des données sur notre identité sont névralgiques.
Les institutions financières et les données financières des gens sont névralgiques. En ce qui concerne les renseignements médicaux, nous avons consacré beaucoup de temps à l’élaboration de lois et de règlements sur la protection de la confidentialité des données médicales. Pour moi, ce sont là trois éléments, mais il est certain qu’il faut déterminer quels systèmes sont critiques.
Nous devons nous assurer que des protections adéquates sont en place. Toutes les entreprises et tous les ordres de gouvernement n’ont pas le même degré de protection et de technologie en place. Il faut définir ce qu’est une protection adéquate et aider les gens à y parvenir.
En ce qui concerne les brèches, les enquêtes et les mesures à prendre, le projet de loi accorde des pouvoirs très étendus au ministre. Il permet au gouvernement fédéral d’ordonner secrètement aux fournisseurs de télécommunications « de faire ou de s’abstenir de faire toute chose qu’il précise […] et qu’il estime nécessaire pour sécuriser le système canadien de télécommunication, notamment face aux menaces d’ingérence, de manipulation ou de perturbation ».
Ces trois termes ne sont pas bien définis, alors je pense qu’il y a du travail à faire pour mieux les définir, mais je ne crois pas vraiment que nous voulions donner au gouvernement le pouvoir de faire tout ce qu’il veut. Il est certain que la fermeture d’un système à des fins de protection est importante en cas de menace réelle et pas seulement d'éventuelle menace future ou de menace potentielle. Dans le cas d’une menace, le gouvernement doit avoir la capacité d’agir, mais nous devons certainement resserrer le libellé du projet de loi à cet égard.
Après une brèche, il faut prendre des mesures correctives et préventives. L’action préventive consisterait à ajouter des murs technologiques ou des contrôles pour garantir une protection accrue à l’avenir. L’action corrective consiste à réparer les failles dans lesquelles les gens se sont engouffrés et à punir les pirates informatiques. Il semble que rien de tout cela ne se produise aujourd’hui. Le projet de loi n’aborde pas cet aspect, mais il devrait y avoir des démarches prévues pour la prise de mesures correctives.
J’ai parlé du pouvoir absolu et de mes préoccupations à cet égard. Nous ne pouvons pas laisser le gouvernement présenter continuellement des projets de loi dans lesquels il n’a pas vraiment défini ce qu’il va faire, mais il nous dit de ne pas nous inquiéter parce que le gouverneur en conseil, après coup et sans aucune surveillance parlementaire, déterminera ce que nous allons faire.
Le gouverneur en conseil signifie les ministres libéraux. Je pense que nous sommes à un point où les gens ne font plus confiance au gouvernement parce qu’il n’y a pas de transparence. Le projet de loi permet au gouvernement d’adopter des décrets secrets, sans dire aux gens ce qui se fait. Le public ne peut pas le voir et se méfie parce que les gens ont vu le gouvernement cacher des choses dans de nombreux cas.
Nous venons de vivre une situation liée à la Loi sur les mesures d’urgence, qui a coûté 19 millions dollars. Les ministres libéraux et le savaient qu’ils ne divulgueraient jamais les documents qui prouveraient ou réfuteraient le respect du seuil, car ils allaient invoquer le secret professionnel de l'avocat.
Ils l’ont déjà fait auparavant, en invoquant le secret du Cabinet, comme dans le cas du laboratoire de Winnipeg. Nous avions essayé d’obtenir des documents dans ce dossier. Les libéraux ont même poursuivi le Président afin de cacher cette information aux Canadiens.
Dans le scandale de SNC-Lavalin, nous les avons vus invoquer le secret du Cabinet. Même chose dans le cas du scandale de WE Charity. Je suis donc un peu inquiet de constater que, dans ce projet de loi sur la cybersécurité, les libéraux disent que le gouvernement peut adopter des décrets secrets dont le public ne prendra jamais connaissance. Je pense que c’est très dangereux. C’est l’une des raisons pour lesquelles nous assistons à une érosion de la confiance au Canada.
Un récent sondage qui a servi à mesurer l'indice de confiance au Canada et qui a été publié par la Presse canadienne nous montre que seulement 22 % des Canadiens font confiance au gouvernement ou aux politiciens. Cela signifie que quatre Canadiens sur cinq ne font pas confiance au gouvernement ou aux politiciens, et c’est en partie à cause de ce qui s’est passé auparavant, quand on a pris des mesures comme geler les comptes bancaires des citoyens et les surveiller avec des drones. Les gens ont perdu confiance, donc je ne pense pas qu’ils seront prêts à donner carte blanche au gouvernement pour qu’il fasse ce qu’il veut en matière de cybersécurité, pour qu’il prenne le contrôle d'entreprises ne faisant pas partie de l'État afin de les obliger à cesser leurs activités, par exemple. Les limites doivent être beaucoup plus strictes à cet égard.
Les gens s'inquiètent de leurs libertés civiles, et je sais qu’il y a eu beaucoup de discussions sur le manque de protection de la vie privée au pays. Des textes de loi régissent ce domaine, comme la Loi sur la protection des renseignements personnels et la Loi sur la protection des renseignements personnels et les documents électroniques. Mon médecin ne peut pas révéler mes informations médicales; mon employeur ne peut pas révéler mes informations médicales, mais pendant la pandémie, des pouvoirs publics ont permis à n'importe quelle barmaid et n'importe quel propriétaire de restaurant de connaître mes renseignements médicaux privés et de conserver une liste de tels renseignements, ce qui est totalement contraire à la loi. Par conséquent, en ce qui concerne la cybersécurité, nous allons devoir nous assurer que la confidentialité des renseignements des Canadiens est mieux protégée, et je ne vois pas cet élément dans le projet de loi...