Résumé

  • Ottawa peut imposer le retrait de matériel sans ouvrir à l'opérateur un droit à une indemnisation fédérale pour les pertes causées par l'ordre. La sécurité du réseau peut donc remettre en jeu l'argent déjà investi.
  • L'ordre peut rester confidentiel, mais pas être soustrait à toute notification. Qui doit être averti, et quand, dépend du type de décision ; les obligations de signaler un incident suivent encore un autre chemin.

Un opérateur achète du matériel pour faire fonctionner son réseau. Si Ottawa en ordonne ensuite le retrait pour des raisons de sécurité, la loi ne lui ouvre aucun droit à une indemnisation de l'État fédéral pour les pertes financières dues à l'adoption de cet ordre. Le pouvoir de changer un réseau s'accompagne donc d'une question très concrète : qui en supporte les conséquences ?

Il n'est pas question ici d'un retrait identifié, d'une perte chiffrée ou d'une hausse annoncée de la facture des abonnés. C'est la répartition légale du risque. Elle donne un autre relief aux règles sur l'information : une entreprise pourrait subir une contrainte financière tout en se voyant interdire de révéler l'ordre.

La loi sur les télécommunications permet de restreindre les produits d'un fournisseur ou d'imposer leur retrait. D'autres mesures visent à garder le réseau sûr : établir un plan, chercher ses faiblesses et y remédier, appliquer des normes ou prévoir un dispositif de secours.

Le ministre peut les imposer. Une consigne peut même l'emporter sur une décision incompatible du CRTC, dans la mesure du conflit : le choix antérieur du régulateur n'est alors plus le dernier mot.

Le secret a ses propres destinataires

La confidentialité n'accompagne pas automatiquement chaque ordre : la loi prévoit des critères avant de l'imposer. Pour un ordre non confidentiel, le ministre doit adresser aux personnes qui y sont désignées une notification contenant l'ordre, dans les sept jours. Si l'ordre interdit la divulgation, deux organes de contrôle, NSICOP et NSIRA, doivent être informés de son adoption dans les 90 jours.

Le Parlement reçoit un autre type d'information. Le rapport annuel prévu à l'article 15.21 doit couvrir notamment le nombre et la nature des ordres, les opérateurs concernés, leur respect, les révocations et les motifs, ainsi que les conflits avec les décisions du CRTC. Un dispositif distinct, à l'article 15.81, prévoit un résumé en ligne dans les dix jours suivant le dépôt de son rapport devant les deux chambres. Ces voies de contrôle ne promettent pas à chaque client une explication immédiate et complète.

La sanction royale n'a pas tout déclenché

Le 15 juin 2026, la sanction royale a transformé C-8 en loi. Selon Public Safety Canada, les modifications relatives aux télécommunications ont pris effet immédiatement. Le même texte crée pourtant un second régime, le Critical Cyber Systems Protection Act, ou CCSPA, dont la mise en œuvre est progressive.

La version officielle au 30 septembre 2026 indique encore que le CCSPA n'est pas entré en vigueur. À cette date documentée, avoir adopté la loi ne suffisait donc pas à déclencher ses devoirs. Cet article ne conclut pas à l'absence d'un texte ultérieur en octobre.

Il reste en effet des questions distinctes : quand les règles commencent-elles, quelles catégories d'entreprises visent-elles et quelles modalités doivent-elles respecter ? L'entrée en vigueur, la désignation des exploitants et les règlements y répondent séparément. Être une entreprise de télécommunications ne suffit pas à régler les trois.

Même le délai de 72 heures mérite cette précision. Le CCSPA confie aux règlements la fixation du délai de signalement d'un incident, qui ne pourra dépasser 72 heures. Le signalement va au Communications Security Establishment, puis l'organisme de réglementation compétent doit être immédiatement averti et recevoir copie. Ce n'est pas un compte à rebours universel lancé le jour de la sanction royale.

Les pouvoirs sur les réseaux ont aussi des limites écrites : nécessité et caractère raisonnable au regard de la gravité de la menace, prise en compte des effets sur l'exploitation, les finances, la continuité du service et la vie privée. La disposition ministérielle ne permet pas d'ordonner l'interception au titre du paragraphe 15.2(2), ni le déchiffrement d'une communication privée chiffrée ; la Privacy Act reste préservée.

Ces garanties ne démontrent pas à elles seules que le contrôle fonctionne bien. Elles montrent où chercher la différence entre une mesure de protection justifiée et une contrainte insuffisamment expliquée. L'enjeu concret est là : un pouvoir capable de changer le réseau doit aussi pouvoir faire l'objet d'un examen.

Rectification du 21 octobre 2026 : les pouvoirs légaux sont distingués des ordres effectivement pris et les conditions de signalement sont précisées. Le constat sur l'entrée en vigueur du CCSPA se rapporte expressément à la consolidation au 30 septembre 2026.