Résumé

  • La partie 1 de la loi C-8 a ajouté des pouvoirs de sécurité à la Loi sur les télécommunications, avec effet dès la sanction royale.
  • La partie 2 crée un régime distinct pour les exploitants désignés; la dernière version consolidée indique qu’elle n’est pas encore en vigueur.

La sanction royale ne met pas tout le texte en mouvement

La loi C-8 a reçu la sanction royale le 15 juin 2026. Elle modifie la Loi sur les télécommunications et édicte la Critical Cyber Systems Protection Act (CCSPA). Mais les deux parties suivent des calendriers différents. La partie 1 est entrée en vigueur dès la sanction. La partie 2 prévoit une entrée en vigueur à une ou plusieurs dates fixées par le gouverneur en conseil. La version officielle consolidée au 21 septembre 2026 la marque toujours « not in force ».

La différence délimite les obligations actuelles. La partie 1 autorise déjà le gouverneur en conseil à restreindre l’usage de produits ou de services fournis par une personne déterminée, voire à ordonner le retrait de produits d’un réseau. Le ministre de l’Industrie dispose d’autres moyens : plans de sécurité, évaluation et réduction des vulnérabilités, normes, examen des achats ou systèmes de secours. Une directive doit être nécessaire et raisonnable au regard de la gravité de la menace. Ses effets opérationnels, financiers, sur la continuité du service et sur la vie privée doivent être pris en compte.

La CCSPA organise autre chose. Elle prévoit des obligations de programme de cybersécurité, d’atténuation des risques liés aux fournisseurs et de notification des incidents pour des exploitants qui seront désignés par catégorie. Le simple fait qu’un service soit télécom ne transforme pas tous les opérateurs en « designated operators ». Son délai de signalement, plafonné à 72 heures mais à préciser par règlement, appartient à cette architecture future : il ne s’agit pas d’une échéance déjà applicable.

Le pouvoir de directive a un circuit de visibilité

Une directive de la partie 1 peut interdire la divulgation de son existence ou d’une partie de son contenu. Cette restriction n’est pas automatique. Le décideur doit examiner si la divulgation compromettrait l’objectif, si le secret est nécessaire, s’il peut être limité, les effets sur la transparence et la responsabilité publiques, ainsi que les observations de l’opérateur concerné.

La loi prévoit ensuite deux voies. Pour une directive non secrète, les personnes visées doivent en recevoir notification sous sept jours. Lorsqu’une clause de non-divulgation est incluse, le Comité des parlementaires sur la sécurité nationale et le renseignement ainsi que l’Office de surveillance des activités en matière de sécurité nationale et de renseignement doivent être avisés sous 90 jours. Le rapport annuel au Parlement doit indiquer le nombre et la nature des directives, les révocations, le nombre de fournisseurs concernés, leur niveau de conformité et les raisons de nécessité, de raisonnabilité et d’utilité.

Il doit aussi rendre compte des fois où une directive a prévalu sur une décision du CRTC. Un résumé public est prévu après le dépôt.

Cette reddition de comptes permet d’évaluer l’usage du pouvoir sans exiger la publication immédiate de chaque détail sensible. Les indicateurs décisifs seront la ponctualité des rapports, leur capacité à expliquer les effets pour les clients et les opérateurs, et la fréquence à laquelle une directive modifie la portée d’une décision réglementaire.

La cybersécurité ne supprime pas les limites juridiques

La partie 1 interdit au ministre d’ordonner l’interception d’une communication privée. La CCSPA prévoit elle aussi une limite équivalente; les dispositions citées préservent également la Loi sur la protection des renseignements personnels. Le pouvoir touche les réseaux, les achats et la réduction de risques, mais ne doit pas être présenté comme un pouvoir général d’interception.

Les deux calendriers doivent rester distincts : les directives télécom sont possibles maintenant; les exigences de programme et de déclaration applicables aux exploitants désignés attendent la mise en vigueur et les désignations. Les entreprises doivent se préparer à la structure adoptée sans annoncer comme devoir courant ce qui relève encore de la CCSPA non en vigueur. L’administration, de son côté, doit rendre lisibles la date d’entrée en vigueur, les catégories visées et le régulateur compétent.

L’angle de la Note 73 de Heng Lu est limité : la participation et l’exposition à une décision ne remplacent pas l’identification de l’autorité qui peut la prendre, ni les preuves permettant d’en suivre l’exercice. Les faits juridiques viennent du texte canadien, pas de la note.

Sources