EVIDENCE TÉMOIGNAGES OTTAWA, Monday, November 18, 2024 OTTAWA, le lundi 18 novembre 2024 The Standing Senate Committee on National Security, Defence and Veterans Affairs met with videoconference this day at 4 p.m. [ET] to study Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts; and to examine and report on issues relating to national security and defence generally. Le Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants se réunit aujourd’hui, à 16 heures (HE), avec vidéoconférence, pour étudier le projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois; et afin d’examiner, pour en faire rapport, les questions concernant la sécurité nationale et la défense en général. Senator Hassan Yussuff (Chair) in the chair. Le sénateur Hassan Yussuff (président) occupe le fauteuil. [English] [Traduction] The Chair: Good afternoon, senators. Before I begin, I would like to ask all senators and other persons in the room to consult the cards on the table for guidelines to prevent audio feedback incidents.

You may see a little thing right beside you there, so if you can refer to that, it will be helpful. Le président : Bon après-midi, chers collègues. Avant de commencer, j’invite les sénatrices et les sénateurs ainsi que tous les autres participants sur place à consulter les fiches disposées sur la table pour prendre connaissance des directives à respecter pour prévenir les incidents de rétroaction acoustique. Elles devraient être facilement accessibles, donc je vous prie de vous y référer. Welcome this meeting of the Standing Senate Committee on National Security, Defence and Veterans Affairs. I’m Hassan Yussuff.

I’m from Ontario and the chair of the committee. I am joined today by my fellow committee members, who will introduce themselves starting on my right with our colleague and deputy chair. Bienvenue à cette séance du Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants. Je m’appelle Hassan Yussuff. Je viens de l’Ontario et je préside le comité. Je suis accompagné aujourd’hui de mes collègues du comité, que j’invite à se présenter, en commençant par le vice- président, à ma droite. [Translation] [Français] Senator Dagenais: Jean-Guy Dagenais from Quebec.

Le sénateur Dagenais : Jean-Guy Dagenais, du Québec. [English] [Traduction] Senator Richards: Dave Richards, New Brunswick. Le sénateur Richards : Dave Richards, du Nouveau- Brunswick. Senator M. Deacon: Welcome. Marty Deacon, Ontario. La sénatrice M. Deacon : Bienvenue. Marty Deacon, de l’Ontario. Senator McNair: John McNair, New Brunswick. Le sénateur McNair : John McNair, du Nouveau-Brunswick. Senator Ross: Krista Ross, New Brunswick. La sénatrice Ross : Krista Ross, du Nouveau-Brunswick. Senator Dasko: Donna Dasko from Ontario. La sénatrice Dasko : Donna Dasko, de l’Ontario. Senator LaBoucane-Benson: Welcome.

Patti LaBoucane- Benson, Treaty 6 Territory, Alberta. La sénatrice LaBoucane-Benson : Bienvenue. Patti LaBoucane-Benson, du territoire du Traité n o 6, de l’Alberta. Senator Kutcher: Stan Kutcher, Nova Scotia. Le sénateur Kutcher : Stan Kutcher, de la Nouvelle-Écosse. Senator Cardozo: Andrew Cardozo from Ontario. Mr. Chair, I look forward to your first meeting as chair. Congratulations. Le sénateur Cardozo : Andrew Cardozo, de l’Ontario. Monsieur le président, j’attends avec impatience que commence votre première séance en tant que président.

Félicitations. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:1

The Chair: Thank you. I have the gavel. Le président : Merci. En effet, c’est moi qui ai le marteau. Today we continue our consideration of Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Aujourd’hui, nous poursuivons notre étude du projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. We will hear from these three panels of witnesses who will share their insight on this bill. In the first panel, I’m pleased to welcome in the room today with us, David Shipley, Chief Executive Officer and Co-Founder, Beauceron Security Inc.; Todd Warnell, Chief Information Security Officer, Bruce Power; and Sharon Polsky, President, Privacy and Access Council of Canada. Nous allons entendre trois groupes de témoins qui nous présenteront leur point de vue sur le projet de loi.

J’ai le plaisir d’accueillir, dans le premier groupe de témoins, tous ici présents, David Shipley, chef de la direction et cofondateur, Beauceron Security Inc.; Todd Warnell, directeur de la sécurité de l’information, Bruce Power; et Sharon Polsky, présidente, Conseil du Canada de l’accès et la vie privée. Thank you very much for joining us today. We invite you to provide opening remarks to be followed by questions from our members. I remind you that each of you will have five minutes to present. We’ll begin today’s presentation with Mr. David Shipley. Please proceed when you’re ready.

Merci à vous tous de vous joindre à nous, aujourd’hui. Nous vous invitons maintenant à faire votre déclaration préliminaire, qui sera suivie des questions des membres du comité. Je vous rappelle que vous avez chacun cinq minutes pour faire votre déclaration. Nous allons commencer par M. David Shipley. Veuillez commencer dès que vous serez prêt. David Shipley, Chief Executive Officer and co-founder, Beauceron Security Inc.: Thank you so much. I appreciate the opportunity to be here today. David Shipley, chef de la direction et cofondateur, Beauceron Security Inc. : Merci beaucoup. Je suis très content d’être ici.

My name is David Shipley, and I am the chief executive officer and co-founder of Beauceron Security Inc. I am also a co- chair of the Canadian Chamber of Commerce’s cyber council. Je m’appelle David Shipley, et je suis le chef de la direction et le cofondateur de Beauceron Security Inc. Je suis également coprésident du conseil de cybersécurité de la Chambre de commerce du Canada.

Beauceron Security works with global banks, national telecommunications companies, provincial and municipal governments, higher education and more, helping educate and motivate individuals to make good decisions about technology so they can reduce their cyber risk and thrive in a digital world. We serve more than 1,090 clients, primarily in Canada but also in the United States, Europe and Africa.

Beauceron Security travaille avec des banques mondiales, des entreprises de télécommunications nationales, des gouvernements provinciaux, des administrations municipales, des établissements d’éducation supérieure et bien d’autres entités, afin d’éduquer les gens et de les encourager à prendre de bonnes décisions en matière de technologie afin de réduire leurs risques de cybersécurité et de pouvoir s’épanouir dans un monde numérique. Nous aidons plus de 1 090 clients, principalement au Canada, mais également aux États-Unis, en Europe et en Afrique. I support the need for this legislation.

We need this now more than ever. We’re far behind our allies, and we’re risking the safety and prosperity of Canadians every day that we delay. Je crois, moi aussi, que le projet de loi est nécessaire. Cela n’a jamais été autant nécessaire. Nous sommes loin derrière nos alliés, et nous risquons la sécurité et la prospérité des Canadiens chaque jour où nous tardons à l’adopter. I draw your attention to April 2023 when we learned through a U.S. intelligence leak that a Canadian pipeline provider was hacked by the Russian hacking group Zarya.

Zarya’s intent was to cause economic damage, and its attack could also have risked human life. Here we are, a year and a half later, still working through the laws that we hope someday will reduce this risk. J’aimerais vous rappeler que, en avril 2023, nous avons découvert, grâce à une fuite de renseignement américain, qu’un groupe de cyberpirates russes, Zarya, avait attaqué un fournisseur de pipelines. Zarya voulait causer des dommages économiques, et son attaque aurait également pu mettre en péril des vies humaines.

Nous voici, un an et demi plus tard, toujours en train de travailler sur des lois qui, nous l’espérons, réduiront un jour ce risque. 65:2 National Security, Defence and Veterans Affairs 18-11-2024

I was recently informed there were other attacks on Canadian critical infrastructure that did not garner attention that could have posed safety risks. J’ai récemment appris qu’il y avait eu d’autres attaques contre l’infrastructure critique du Canada, qui sont passées sous silence, et qui auraient pu présenter des risques en matière de sûreté. I want to acknowledge that important changes I, my colleagues on the cyber council and others advocated during parliamentary hearings and have been reflected.

The deletion of clause 10 and subsequent restoration of the due diligence defence, the removal of the requirement for immediate reporting of cybersecurity incidents and the harmonization with existing obligations in North America were all needed changes. J’aimerais reconnaître que d’importants changements proposés, par moi-même, mes collègues du conseil de la cybersécurité et d’autres personnes pendant les séances parlementaires, ont été acceptés.

La suppression de l’article 10 et le rétablissement subséquent de la défense de diligence raisonnable, le retrait de l’obligation de signaler immédiatement des incidents de cybersécurité et l’harmonisation avec les obligations existantes en Amérique du Nord étaient tous des changements nécessaires. I do believe there are more changes that could be made to this bill to ensure that it serves its purpose best, although I’m cautious that any amendment process could potentially jeopardize the bill passing in a timely fashion. However, it is worth noting that the proposed addition in

Part 1, clause 6, no compensation, to the Telecommunications Act should be considered for an amendment to look at compensation for telecommunications service providers under the following circumstances.

For example, if an order required a change of a technology vendor at immediate cost to the business without the ability of the organization to phase out the technology or service in a planned fashion in accordance with their technology life cycle plans or over a period of multiple years so that changes can be budgeted and accounted for so they can be entitled to some compensation, particularly when thinking of regional service providers who don’t have the wallets to do these kinds of changes at a moment’s notice.

Je crois que, pour que le projet de loi atteigne ses objectifs, d’autres changements devraient être apportés, mais je sais qu’un quelconque processus d’amendement pourrait retarder l’adoption du projet de loi. Toutefois, il est important de noter que l’ajout proposé à l’article 6 de la

partie 1 de la

Loi sur les télécommunications, intitulé Aucune indemnité, devrait être amendé et qu’il faudrait examiner les indemnités pour les fournisseurs de services de télécommunications dans les cas suivants.

Par exemple, si un décret imposé à une entreprise de changer à ses frais de fournisseur de technologie, sans lui donner la possibilité d’abandonner progressivement la technologie ou le service, en suivant un plan, et en respectant le cycle de vie de la technologie, ou à le faire sur multiples années afin de pouvoir budgéter les changements pour avoir droit à certaines indemnités, et je pense en particulier aux fournisseurs de service régionaux qui n’ont pas assez d’argent pour faire ce genre de changements sans préavis. The sections of the law that deal with individual liability remain hugely problematic.

I can personally attest to several senior cybersecurity leaders, specifically chief information security officers, in critical infrastructure who have indicated they intend to quit their jobs if the law passes at it stands, which will only serve to make things more dangerous in our critical infrastructure sectors. The number of experienced cybersecurity leaders looking to leave the field due to stress and burnout is already at crisis levels, with nearly half looking to leave the role. Les articles de la loi qui concernent la responsabilité personnelle demeurent extrêmement problématiques.

J’ai personnellement constaté que plusieurs hauts dirigeants en cybersécurité, en particulier les dirigeants principaux de la sécurité de l’information, dans l’infrastructure critique, ont dit qu’ils allaient démissionner si la loi était adoptée telle quelle, ce qui ne peut que faire augmenter les risques dans nos secteurs d’infrastructure critiques. Nous faisons déjà face à une crise, puisque de nombreux hauts dirigeants chevronnés, soit presque la moitié, envisagent de quitter le domaine en raison du stress et de l’épuisement professionnel.

I believe individual liability, if it is to be maintained in the law, should solely be limited to directors of a corporation as this is the group charged with setting the risk appetite, ensuring governance structures and ensuring resources required to comply with the law. Je crois que la responsabilité personnelle, si elle reste dans la loi, devrait uniquement s’appliquer aux administrateurs de la société, puisque ce sont eux qui déterminent l’appétit pour le risque, établissent les structures de gouvernance et réunissent les ressources nécessaires pour respecter la loi.

The importance of two-way information sharing. As it stands, the legislation only contemplates one-way reporting, and it remains is a huge missed opportunity. La communication bidirectionnelle est également importante. Actuellement, le projet de loi envisage seulement le signalement dans une direction, et cela reste une belle occasion manquée. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:3

I would be remiss if I didn’t take the opportunity to point out that while I strongly support the need for this legislation, it represents the bare minimum legislatively that the federal government can do to help protect Canadians. Je m’en voudrais de ne pas en profiter pour dire que, même si je crois fermement que le projet de loi est nécessaire, il demeure le strict minimum que peut faire le gouvernement fédéral pour protéger les Canadiens.

By focusing Bill C-26 on federally regulated sectors in telecommunications, financial services, energy transmission and transportation, the government focused on federal responsibility over national security in the broadest sense. These sectors are already the best resourced and best defended in the country.

Le gouvernement, en axant le projet de loi C-26 sur les secteurs des télécommunications, des services financiers, de la transmission énergétique et des transports, qui sont réglementés par le gouvernement fédéral, a mis l’accent sur la responsabilité fédérale plutôt que sur la sécurité nationale dans son ensemble. Ces secteurs jouissent déjà des meilleures ressources et de la meilleure protection au pays. This law does nothing to protect our health care system, which has borne the brunt of repeated major disruptive attacks, such as what happened in Newfoundland and more recently in Ontario.

These attacks go beyond terrible impacts on privacy, such as the leak of reproductive health choices or nude images of people battling various cancers, they can have life-threatening impacts as has been recently stated by the head of the World Health Organization and in recent U.S. research on health care ransomware attacks. La loi ne protège pas notre système de soins de santé, qui a subi à répétition la majorité des attaques dévastatrices, par exemple à Terre-Neuve et, plus récemment, en Ontario.

Ces attaques n’ont pas seulement d’énormes répercussions sur la confidentialité, comme la publication des choix en matière de santé reproductive ou d’images de personnes nues qui luttent contre divers cancers; elles peuvent également, selon la direction de l’Organisation mondiale de la santé et de récentes recherches américaines sur les attaques de rançongiciels contre le secteur de la santé, mettre en péril la vie des gens. Our increasingly high-tech agricultural sector, which now has fully automated smart tractors that are vulnerable to severe disruption, remains without a proper strategy or focus.

Notre secteur agricole, de plus en plus à la fine pointe de la technologie, utilise aujourd’hui des tracteurs intelligents entièrement automatisés qui risquent d’être la cible de graves perturbations, et n’a toujours pas adopté une stratégie adéquate ni défini d’objectif pour ce secteur. Nor does this law help Canadian small businesses and everyday citizens who are suffering from an increasing plague of AI-powered cyber fraud. La loi n’aide pas non plus les petites entreprises canadiennes et les citoyens victimes de l’épidémie grandissante de fraudes informatiques soutenues par l’IA.

These are but three glaring examples of the growing national threats due to cybersecurity at a time when the federal government has still yet to publicly announce its updated strategy from 2018. Ce sont seulement trois exemples frappants de la menace nationale grandissante à la cybersécurité, alors que le gouvernement fédéral n’a toujours pas annoncé publiquement la mise à jour de sa stratégie de 2018. I urge the Senate to publicly study the ransomware plague, the crisis in health care cybersecurity and the future national security implications of an increasingly hostile digital world.

J’implore le Sénat d’étudier publiquement l’épidémie de rançongiciels, la crise de la cybersécurité du secteur de la santé et les conséquences à venir sur la sécurité nationale d’un environnement numérique de plus en plus hostile. I look forward to discussing Bill C-26 with you further and answering what questions you may have for me. Thank you. J’ai bien hâte de discuter davantage avec vous du projet de loi C-26 et de répondre à vos questions. Je vous remercie. The Chair: Thank you, Mr. Shipley. Le président : Merci, monsieur Shipley. Todd Warnell, Chief Information Security Officer, Bruce Power: Thank you, Mr.

Chair and members of the committee. My name is Todd Warnell, and I am the chief information security officer at Bruce Power. Todd Warnell, directeur de la sécurité de l’information, Bruce Power : Merci, monsieur le président et merci à tous les membres du comité. Je m’appelle Todd Warnell, et je suis le directeur de la sécurité de l’information de Bruce Power.

Established in 2001, Bruce Power is Canada’s only private sector nuclear generator, annually producing about one third of Ontario’s power and life-saving medical isotopes used globally L’entreprise Bruce Power, qui a été fondée en 2001, est le seul exploitant de centrale nucléaire du secteur privé, au Canada, et elle produit environ un tiers de l’énergie de l’Ontario et des 65:4 National Security, Defence and Veterans Affairs 18-11-2024

to fight cancer around the world and sterilize medical equipment globally. isotopes médicaux vitaux utilisés mondialement pour combattre le cancer et désinfecter les équipements médicaux. I am grateful for the invitation to participate in your review of Bill C-26. Today, I will focus my comments on the imperative need for proceeding with the implementation of this legislation, particularly

Part 2 of the bill, namely the critical cyber systems protection act, or CCSPA. Je suis heureux d’avoir été invité à participer à votre étude du projet de loi C-26. Aujourd’hui, je vais insister sur le besoin impératif d’adopter le projet de loi, et en particulier la

partie 2 du projet de loi, à savoir la

Loi sur la protection des cybersystèmes essentiels. Bill C-26 represents a pivotal first step in fortifying the resilience and security of Canada’s critical infrastructure to ensure the safety, reliability and integrity of essential services for all Canadians. This legislation is not merely a policy proposal but a commitment to safeguarding the backbone of our nation’s economy and security in an increasingly complex and evolving global cyber threat landscape.

Le projet de loi C-26 est une première étape importante vers le renforcement de la résilience et de la sécurité des infrastructures canadiennes essentielles pour assurer la sécurité, la fiabilité et l’intégrité des services essentiels pour tous les Canadiens. Ce n’est pas une simple proposition, c’est un engagement à protéger l’épine dorsale de l’économie et la sécurité de la nation, dans un environnement de menace de cybersécurité mondiale de plus en plus complexe et en constante évolution.

Within Canada’s nuclear industry, we have demonstrated that through collaboration with government, regulators, industry, academia and individual Canadians, we can successfully establish and regulate cyber systems that are crucial to the safe and reliable operation of critical services.

Dans l’industrie nucléaire canadienne, nous avons montré que, grâce à la collaboration avec le gouvernement, les organismes de réglementation, les universitaires et tous les Canadiens, nous sommes capables de mettre sur pied et de réglementer les systèmes de cybersécurité qui sont nécessaires au fonctionnement sécuritaire et fiable des services essentiels. Bill C-26 aims to secure essential systems, encourage proactive risk management and enable responsible government intervention in cases of significant cyber-threats.

The critical cyber systems protection act will introduce a broad framework from which all critical sectors in collaboration with government and regulators can develop and implement risk-informed and performance-based regulations to enhance the reliability and resilience of critical services. L’objectif du projet de loi C-26 est de sécuriser les systèmes essentiels, d’encourager la gestion proactive du risque et d’assurer une intervention responsable du gouvernement en cas de cybermenaces importantes. La

Loi sur la protection des cybersystèmes essentiels établit un cadre général à partir duquel tous les secteurs essentiels, aux côtés du gouvernement et des organismes de réglementation, peuvent élaborer et mettre en œuvre des règlements fondés sur le risque et sur le rendement pour assurer la fiabilité et la résilience des services essentiels. There are several key benefits to proceeding with Bill C-26. Namely, strengthening national security and safety.

Bill C-26 is crucial for protecting national security by requiring both private and public organizations within critical infrastructure sectors to adopt robust cybersecurity practices. As cyber-threats evolve and become more sophisticated, securing critical infrastructure and services is paramount to maintaining national security and public safety. L’adoption du projet de loi C-26 se traduit par plusieurs avantages, et surtout par le renforcement de la sécurité et de la sûreté nationale.

Le projet de loi C-26 est essentiel à la protection de la sécurité nationale parce qu’il oblige les organismes privés et publics œuvrant dans les secteurs des infrastructures critiques à respecter de solides pratiques en matière de cybersécurité. Alors que les cybermenaces continuent d’évoluer et de se perfectionner, il est essentiel d’assurer la sécurité dans l’infrastructure et des services afin de maintenir la sécurité nationale et la sécurité du public. Enhanced risk management.

By enforcing mandatory risk management practices, the bill helps organizations move away from a reactive posture to a proactive approach that minimizes risks before they escalate into actual incidents. Une meilleure gestion des risques. Le projet de loi, en obligeant l’adoption de pratiques de gestion des risques, aide les organisations à délaisser leur position réactive en faveur d’une approche proactive, qui réduit au minimum les risques avant qu’ils ne deviennent des incidents réels. Government authority in high-risk scenarios.

The bill empowers government authorities to intervene in critical infrastructure during severe threats. This capability is crucial for responding swiftly to imminent attacks or breaches, preventing Les autorités du gouvernement dans les situations à risque élevé. Le projet de loi permet aux autorités gouvernementales d’intervenir dans l’infrastructure critique en cas de menaces graves. Ce pouvoir essentiel lui permet de réagir rapidement aux 18-11-2024 Sécurité nationale, défense et anciens combattants 65:5

or minimizing potential damage to essential services, and maintaining public trust. attaques imminentes ou aux fuites, afin de prévenir ou de réduire au minimum les dommages possibles aux services essentiels et de conserver la confiance du public. Alignment with global allies. Our allies are implementing or strengthening similar cybersecurity laws in their nations. Bill C-26 allows Canada to align with international partners and makes it easier for Canadian companies to operate globally within secure and trusted frameworks. S’harmoniser avec nos alliés mondiaux.

Chez eux, nos alliés mettent en œuvre ou améliorent des lois semblables en matière de cybersécurité. Le projet de loi C-26 permet au Canada de s’harmoniser avec ses partenaires internationaux et aux entreprises canadiennes de mener plus facilement leurs activités partout dans le monde, à l’intérieur de cadres sûrs et éprouvés. Finally, economic security. Cyberattacks on critical sectors can have far-reaching economic implications.

By ensuring key industries and services are protected, Canada also safeguards its economic stability, helping prevent the cascading consequences that could arise from disrupted infrastructure. Pour finir, il y a la sécurité économique. Les cyberattaques contre les secteurs essentiels peuvent avoir des répercussions considérables sur l’économie. Le Canada, en assurant la protection des industries et des services clés, protège également sa stabilité économique, et permet d’éviter les conséquences en cascades d’une perturbation de l’infrastructure.

In conclusion, Bill C-26 is a well-intentioned first step to address the pressing issue of cybersecurity in Canada’s critical infrastructure sectors. Thank you for the opportunity to address the committee, and I look forward to your questions today. En conclusion, le projet de loi C-26 est une première étape bien intentionnée si l’on veut régler la question urgente de la cybersécurité des secteurs de l’infrastructure critiques du Canada. Merci de m’avoir invité à discuter avec le comité, et j’ai bien hâte d’entendre vos questions. The Chair: Thank you, Mr. Warnell. Le président : Merci, monsieur Warnell.

Sharon Polsky, President, Privacy and Access Council of Canada: Thank you so much for the invitation to address the committee today. I’m Sharon Polsky, president of the Privacy and Access Council of Canada, or PACC, an independent, non- profit, non-partisan organization that is not funded by government or industry. Sharon Polsky, présidente, Conseil du Canada de l’accès et la vie privée : Merci beaucoup de m’avoir invitée à comparaître devant le comité, aujourd’hui.

Je m’appelle Sharon Polsky, et je suis présidente du Conseil du Canada de l’accès et la vie privée, un organisme indépendant et sans but lucratif qui n’est pas financé par le gouvernement ni par l’industrie. Since its launch more than 30 years ago, the internet has become an integral part of our everyday lives. It enables research, commerce, communication and democratic freedoms.

The internet also facilitates harmful conduct such as harassment, ransom demands, hostile activities by unfriendly states — all sorts of behaviours that existed long before the internet enabled such abhorrent activity to be carried out with great ease and broad reach. Depuis son lancement, il y a de ça plus de 30 ans, Internet est devenu

partie intégrante de notre quotidien. Internet nous offre la liberté en matière de recherche, d’échanges commerciaux, de communication et de démocratie. Internet facilite également les comportements préjudiciables, comme le harcèlement, les demandes de rançon, les activités hostiles d’États ennemis, toutes sortes de comportements qui existaient bien avant qu’Internet ne permette à ce genre d’activités odieuses de se faire plus facilement et d’atteindre un grand nombre de personnes.

Bill C-26 is one of several bills advanced by Canada’s government to protect Canadians from such harms, but it also illustrates how proposed cures can be worse than the disease itself. In the name of strengthening cybersecurity, the bill grants the government sweeping power to order telecommunication providers — the very same telecoms that are now the repositories of our most intimate, sensitive and health-related data — “. . . to do a specified thing or refrain from doing a specified thing . . . .” Similar powers, of course, apply to operators designated under

Part 2 of the bill. Le projet de loi C-26 est l’un des multiples projets de loi proposés par le gouvernement canadien afin de protéger les Canadiens de tels préjudices, mais il montre également que le remède peut être pire que le mal. Afin de renforcer la cybersécurité, le projet de loi accorde un pouvoir très étendu au gouvernement, qui peut ordonner aux fournisseurs des services de télécommunications — ceux-là mêmes qui stockent nos données de santé les plus intimes et les plus délicates — « ... de faire ou de s’abstenir de faire toute chose qu’il précise... » Bien sûr, des pouvoirs semblables sont accordés aux exploitants définis à la

partie 2 du projet de loi. 65:6 National Security, Defence and Veterans Affairs 18-11-2024

Bill C-26’s omission of vital democratic checks and balances to constrain such alarmingly broad powers rightfully sparked an avalanche of criticism, because this is not a zero-sum game. I think we can all agree on the need for cybersecurity, but not when it’s at the cost of our civil liberties. I do want to acknowledge the work of members in the other place in curbing some of this bill’s most egregious excesses, but even with that, Bill C-26 contains significant flaws that risk-compromising civil liberties and cybersecurity. Let me give you a few practical examples.

L’absence, dans le projet de loi C-26 d’un système de freins et contrepoids essentiel à la démocratie pour limiter ces pouvoirs dangereusement larges, a déclenché une avalanche de critiques, parce que ce n’est pas un jeu à somme nulle. Je crois que nous reconnaissons tous l’importance de la cybersécurité, mais pas au détriment de nos libertés civiles.

Je tiens à souligner le travail des membres de l’autre endroit, qui ont contré les excès les plus flagrants du projet de loi, mais malgré cela, le projet de loi C-26 comprend d’importantes lacunes qui risquent de compromettre les libertés civiles et la cybersécurité. Je vais vous donner deux ou trois exemples concrets. First, Bill C-26 gives the government the power to order telecommunication providers to adopt standards that actually weaken encryption and privacy with it.

This endangers the freedom of everyone in Canada, including political representatives, to safely engage in national and international commerce and communications and enjoy private communications. Premièrement, le projet de loi C-26 permet au gouvernement d’ordonner aux fournisseurs de services de télécommunications de se plier à des normes qui, en réalité, affaiblissent le chiffrement et la confidentialité.

Cela met en danger la liberté de tous les Canadiens, y compris des représentants politiques, de prendre part en toute sécurité aux communications et aux échanges commerciaux nationaux et internationaux et de jouir de communications privées. Second, Bill C-26 allows the government to indefinitely keep secret any order made to telecoms and other designated operators. While secrecy might be warranted in some circumstances, it should not be the default or allowed to remain indefinitely.

Such excessive secrecy shields accountability, undermines trust and precludes our members and, indeed, all Canadians from being able to understand how government uses its powers and hold it to account. Deuxièmement, le projet de loi C-26 permet au gouvernement de garder secrète, jusqu’à nouvel ordre, toute ordonnance visant les fournisseurs de services de télécommunication et d’autres exploitants désignés. Même si la non-divulgation pouvait être justifiée dans certaines circonstances, elle ne devrait pas être l’option par défaut ni être permise jusqu’à nouvel ordre.

Un secret excessif à ce point empêche la reddition de comptes, mine la confiance et empêche nos membres et, en fait, tous les Canadiens, de comprendre comment le gouvernement utilise ses pouvoirs et de lui demander des comptes. Third, Bill C-26 allows the minister to require telecoms and designated operators to disclose personal and de-identified information. Once collected, the information can be shared across “government 2.0” and with foreign entities, and easily re- identified in many cases. PACC members work hard every day to safeguard privacy.

It is alarming to know that their work risks being undercut by the secret stroke of a minister’s pen. Troisièmement, le projet de loi C-26 permet au ministre d’obliger les fournisseurs de services de télécommunication et les exploitants désignés à divulguer des informations personnelles et dépersonnalisées. Une fois recueillie, l’information pourrait être diffusée dans l’ensemble du « gouvernement 2.0 » et communiquée à des entités étrangères, et, dans de nombreux cas, elle est facilement repersonnalisable.

Les membres du Conseil du Canada de l’accès et la vie privée mettent les bouchées doubles, chaque jour, pour protéger les renseignements personnels. C’est alarmant de savoir que leur travail risque d’être miné par un trait de crayon secret du ministre. Fourth, Bill C-26 dramatically expands the Canadian Security Establishment Canada’s, or CSE’s, ability to obtain personal information from telecoms, financial institutions and many other companies that Canadians now trust, but it lacks the safeguards needed to constrain how the CSE can use that information.

Indeed, the testimony of CSE officials makes it clear that they fully intend to use the information that they gather for both offensive and defensive purposes, and share it with their Five Eyes partners.

Quatrièmement, le projet de loi C-26 augmente nettement la capacité du Centre de la sécurité des télécommunications Canada d’obtenir des informations personnelles auprès d’entreprises de télécommunications, d’institutions financières et de nombreuses autres entreprises auxquelles les Canadiens font présentement confiance, mais aucune mesure de protection n’est mise en place pour limiter l’utilisation que le CST peut en faire.

En effet, les témoignages des fonctionnaires du CST montre clairement qu’ils veulent utiliser l’information recueillie tant pour l’attaque que la défense, et qu’ils vont la partager avec leurs partenaires du Groupe des cinq. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:7

In short, this legislation remains fundamentally flawed from a privacy perspective. That’s why we, along with other civil society organizations and experts across Canada, have submitted recommendations to address these flaws. Bref, le projet de loi est fondamentalement vicié, d’un point de vue de la protection des renseignements personnels. C’est pourquoi nous, avec d’autres organisations de la société civile et experts, de tout le Canada, avons émis des recommandations afin de régler ces problèmes. Let me be clear and echo my colleagues here on the panel. We want to fix this legislation, not kill it.

We recognize that cybersecurity is a team sport and that public trust is critical for this to be a win. But a bill that fails the democratic legitimacy test will fail to strengthen cybersecurity and trust. I know there has been some discussion about not letting the perfect be the enemy of the good, but in its current form, with respect, Bill C-26 is far from good. It needs fixing, and it is fixable. Comprenez-moi bien. Je fais l’écho de ce que mes collègues ont dit ici, pendant la séance. Nous voulons corriger le projet de loi, pas le rejeter.

Nous savons que la cybersécurité est un sport d’équipe et que la confiance du public est essentielle pour que cela soit une réussite. Mais un projet de loi qui échoue au test de la légitimité démocratique ne sera pas en mesure de renforcer la cybersécurité et la confiance. Je sais que certains ont dit qu’il ne fallait pas laisser le mieux devenir l’ennemi du bien, mais, dans sa forme actuelle, le projet de loi C-26, sans vouloir vous offenser, est loin d’être bon. Il doit être corrigé et il peut l’être.

If adopted, our proposed amendments, which are balanced, practical and achievable, will result in a cybersecurity framework that all Canadians can trust. Given the Senate’s constitutional role, you have a critical part to play in ensuring that Bill C-26 delivers strong cybersecurity. S’ils sont adoptés, les amendements que nous proposons, qui sont équilibrés, concrets et réalisables, se traduiront par un cadre de cybersécurité auquel les Canadiens peuvent avoir confiance.

Compte tenu du rôle constitutionnel du Sénat, vous avez un rôle critique à jouer afin d’assurer que le projet de loi C-26 débouche sur une cybersécurité robuste. Senators, you have the ability to amend Bill C-26 to broaden oversight of its implementation and operation to ensure it protects privacy, delivers genuine accountability and upholds the rights of everyone in Canada. I look forward to your questions.

Mesdames les sénatrices, messieurs les sénateurs, vous pouvez amender le projet de loi C-26 pour élargir la supervision de sa mise en œuvre et de son application pour vous assurer qu’il protège les renseignements personnels, établit une véritable responsabilisation et défend les droits de tous les Canadiens. J’ai hâte d’entendre vos questions. The Chair: Thank you. Ms. Polsky. Le président : Merci, madame Polsky. We will now we will proceed to questions. As usual, four minutes allotted to each question, including the answer.

I ask that you keep your questions succinct in an effort to allow as many interventions as possible. I offer our first question to our deputy chair, Senator Dagenais. Nous allons maintenant passer aux questions. Comme à l’habitude, vous aurez quatre minutes pour poser vos questions et entendre la réponse. Veuillez faire preuve de concision afin de permettre le plus grand nombre d’interventions possibles. J’offre à notre vice-président, le sénateur Dagenais, la première question. [Translation] [Français] Senator Dagenais: My question is for Mr. Shipley.

Just last week, the government authorized its agencies to advertise on TikTok, yet it is telling us to proceed with caution if we use it. That’s surprising, especially considering the warnings issued by the former director of the Canadian Security Intelligence Service, David Vigneault. Le sénateur Dagenais : Ma question s’adresse à M. Shipley. Pas plus tard que la semaine dernière, le gouvernement a autorisé ses agences à faire de la publicité sur le réseau social TikTok, dont il nous demande de nous méfier comme utilisateurs.

C’est pour le moins surprenant, surtout quand on se rappelle les mises en garde de l’ancien directeur du Service canadien du renseignement de sécurité, David Vigneault. Basically, government agencies can advertise on a platform they consider hazardous to Canadian citizens. Does this indicate that the government doesn’t always take cybersecurity issues affecting its citizens very seriously? I’d like your thoughts on that. En résumé, les agences gouvernementales pourront faire de la publicité sur un réseau qu’ils considèrent comme dangereux pour les citoyens canadiens.

Est-ce qu’on est devant un gouvernement qui ne prend pas toujours au sérieux les enjeux de cybersécurité pour ses citoyens? J’aimerais savoir ce que vous en pensez. 65:8 National Security, Defence and Veterans Affairs 18-11-2024

[English] [Traduction] Mr. Shipley: Thank you so much for the opportunity to talk about this. I have spoken to the media about this particular issue. There is, obviously, an incongruity between what I think is a very significant national security threat — because it certainly takes a great deal of action to get a minister of the Crown to take the actions they have now proposed to take with TikTok to shutdown business operation.

If we take that on the surface as true and valid — there is a body of evidence to support that TikTok’s ownership structure ties back to the Chinese Communist Party and is bad for Canada — then it is foolish to spend money on advertisements there. As I pointed out to the reporter, first of all, if you’re saying you can’t trust this company, and you’re going to give them millions of dollars in ad money to run ads, how do you know they even ran the ads? You can’t trust them. It’s not the first time that we have seen national security and political interests on two different tracks.

I think it would be great if we could have a consistent message. M. Shipley : Merci de me donner l’occasion d’en parler. J’ai parlé aux médias de cet enjeu en particulier. Il y a, évidemment, une incohérence entre ce que je crois être une importante menace de sécurité nationale... Parce que, il faut déployer beaucoup d’efforts pour convaincre un ministre de la Couronne de mettre en œuvre les mesures proposées pour TikTok, soit de mettre fin aux activités de l’entreprise.

Si nous jugeons que cela est vrai et valide — et les preuves montrent que les propriétaires de TikTok sont liés au Parti communiste de la Chine et que l’application est mauvaise pour le Canada —, eh bien, il est absurde de dépenser de l’argent pour faire de la publicité sur la plateforme. Comme je l’ai dit au journaliste, premièrement, si vous dites que vous ne pouvez pas faire confiance à l’entreprise, et que vous leur donnez ensuite des millions de dollars en recettes publicitaires pour qu’elle diffuse vos publicités, comment pouvez-vous savoir qu’elle a bel et bien diffusé les publicités?

Vous ne pouvez pas lui faire confiance. Ce n’est pas la première fois que la sécurité nationale et les intérêts politiques sont sur des voies divergentes. J’aimerais bien qu’il y ait un message cohérent. Unfortunately, with the change in government expected in the United States, the TikTok expulsion is probably not going to happen now. I think the whole issue of social media ownership, beneficial ownership and manipulation requires a serious adult conversation in this country, and we’re not getting that leadership right now.

Malheureusement, en raison des changements de gouvernement attendus aux États-Unis, l’interdiction de TikTok n’aura probablement pas lieu. Je crois que le Canada doit tenir des discussions sérieuses sur les questions de la propriété des réseaux sociaux, de la propriété effective et de la manipulation, et nous ne voyons pas présentement ce genre d’initiative. [Translation] [Français] Senator Dagenais: You’ve already commented publicly on the theft of personal information in the health sector, for example. I’m talking about major pharmacy chains that have that kind of sensitive information on their computers.

Are you satisfied that Bill C-26 does enough to address that? Does it reassure you in that regard? What risks are Canadian citizens exposed to in terms of their personal medical information? Le sénateur Dagenais : Vous avez déjà fait publiquement des commentaires sur les vols de données personnelles dans le domaine de la santé, entre autres. Je parle ici des ordinateurs de grandes chaînes de pharmacies qui ont ce genre d’informations sensibles. J’aimerais savoir si le projet de loi C-26 vous satisfait et vous rassure à ce sujet.

Quels sont les risques que courent les citoyens canadiens en ce qui a trait à leurs données médicales personnelles? [English] [Traduction] Mr. Shipley: This bill does absolutely nothing to protect Canadian health care system privacy or the availability of health care in this country, purposely so because it was determined to limit to the federal scope. M. Shipley : Rien dans le projet de loi ne protège la confidentialité du système de santé ou l’accessibilité des soins de santé, au Canada, en particulier parce que l’on a voulu limiter la portée des compétences fédérales.

My ardent support of getting this done is born out of hope that we can move on to much-needed other conversations. When we talk about this, in Newfoundland, an interviewer — and I encourage you to go back and see the CBC coverage of this — as the crisis unfolded, he asked if the information included people’s reason for being admitted to a hospital in Newfoundland, to which the answer was “yes.” That meant every person who went for an abortion in that province had that information potentially exposed.

Si je soutiens cela avec autant d’ardeur, c’est parce que j’espère que nous pourrons passer à d’autres discussions très importantes. Lorsque nous avons parlé de cela, à Terre-Neuve, un journaliste — et je vous encourage à consulter la couverture de CBC/Radio-Canada sur le sujet —, quand la crise s’est déclarée, a demandé si l’information comprenait les motifs d’admission à l’hôpital de Terre-Neuve, et la réponse a été : « oui ».

Cela signifie que l’information de toutes les femmes de la province qui avaient subi un avortement pourrait avoir été divulguée. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:9

Not just that, we think about privacy and we think of the horrible implications. Years ago, we had a LifeLabs breach that involved people’s sensitive blood tests. We also have five hospitals in Ontario that were crippled for a period of time. What we know from U.S. studies and the World Health Organization is that when hospitals go down, patient outcomes suffer. People die. I could not put it more plainly. Nous pensons également à la confidentialité et aux répercussions désastreuses. Il y a plusieurs années, des données sensibles sur les prises de sang ont été divulguées en raison d’une fuite à LifeLabs.

Également, en Ontario, cinq hôpitaux ont été paralysés pendant un certain temps. Selon des études américaines et l’Organisation mondiale de la santé, lorsque les hôpitaux arrêtent de fonctionner, cela a des répercussions sur les patients. Des patients meurent. Je ne peux pas le dire plus explicitement. The inability of this country to get beyond a Constitution that was thought of in the 19th and 20th centuries to contend with 21st century problems is a big issue. I don’t care that health care is a province’s jurisdiction. If I can tie outcomes to hip surgery, I can tie cybersecurity to federal government funding.

I don’t understand what it takes to get the government to care. L’incapacité du Canada à aller au-delà de la Constitution, qui a été pensée aux XIXe et XXe siècles, pour régler les problèmes du XXIe siècle, est un enjeu important. C’est sans importance pour moi que le système de soins de santé relève de la compétence provinciale. Si je peux lier des résultats à une chirurgie de la hanche, je peux lier la cybersécurité au financement du gouvernement fédéral. Je ne sais pas ce qu’il faut faire pour que le gouvernement s’en soucie. Senator Kutcher: Thank you very much for being here.

I just want to follow up on Senator Dagenais’s issues around the health care issue. Any of you may please comment on this. Le sénateur Kutcher : Merci beaucoup d’être venus ici. Je veux simplement enchaîner sur ce que le sénateur Dagenais a dit à propos des soins de santé. Vous êtes tous invités à commenter la question. The reality is that health care is primarily a provincial and territorial responsibility, and it is fiercely guarded as such. The federal government does have primary authority for some parts of health care, such as the military, the RCMP and Indigenous populations.

Dans les faits, les soins de santé relèvent principalement de la compétence provinciale et territoriale, et cela est férocement défendu. Le gouvernement fédéral a le dernier mot pour certains aspects de la santé, ceux qui concernent par exemple l’armée, la GRC et les populations autochtones.

Cybersecurity issues around health care — my way of thinking, and I could be wrong on this — cluster into two areas, one being personal health data — the privacy side — and the other being the health care infrastructure — the ability to run your hospital, make sure that the electricity doesn’t shut off the intensive care unit, or ICU, beds, et cetera. Les questions de la cybersécurité en santé — c’est ce que je pense, et je peux me tromper — se classent dans deux groupes. Il y a d’une

part les données médicales personnelles — les renseignements personnels — et de l’autre, l’infrastructure de la santé — la capacité à faire fonctionner l’hôpital, à s’assurer que l’électricité n’est pas coupée dans les unités de soins intensifs, dans les chambres, et cetera. Given those multiple challenges and given that this legislation is federal, do you have suggestions or thoughts as to how we can deal with this health care conundrum through this piece of legislation?

Compte tenu de ces nombreux défis et du fait qu’il s’agit d’un projet de loi fédéral, avez-vous des suggestions ou des commentaires sur la façon dont ce projet de loi permettrait de résoudre ce dilemme des soins de santé? Ms. Polsky: I would love to offer a few comments. Mme Polsky : J’aimerais beaucoup m’exprimer sur le sujet. One of the things that I have seen is that, yes, security is important, but we don’t have enough people who know what they are doing or are properly trained to actually make sure that systems are secure. There are vulnerabilities.

Every system, even a key-lock system, has workarounds because whatever the technology is, the biometric is to let you into the office and I don’t happen to have that, whether it’s a fingerprint, an eye scan or whatever, there has to be a workaround. Otherwise, you might be considered to be discriminating against me for health reasons. So there is always a flaw. L’une des choses que j’ai vues est que, oui, la sécurité est importante, mais il n’y a pas assez de gens qui savent ce qu’ils font ou qui sont suffisamment formés pour assurer réellement la sécurité des systèmes. Il y a des vulnérabilités.

Tous les systèmes, même un système de verrouillage à clé, peuvent être contournés, parce que, peu importe la technologie, le but des systèmes biométriques est de vous donner accès au bureau, et si je n’ai pas ça, une empreinte digitale, un balayage oculaire, peu importe, il doit y avoir un moyen de le contourner. Autrement, on pourrait dire que vous faites de la discrimination fondée sur l’état de santé. Donc, il y a toujours une faille. 65:10 National Security, Defence and Veterans Affairs 18-11-2024

That’s one side of it. That’s the operational side. C’est l’un des aspects. C’est l’aspect opérationnel. From a privacy side, when anybody goes onto a website — and this is regarding a vast majority of websites, including the Canadian Association for Mental Health. I did a quick scan of their website over a year ago, then a few months later and a few months later. Never mind the massive amount of cookies — like 58 of this type and 35 of that type — which are sending information to other websites.

Before you even see the website, the fact that you are there requesting that website has been communicated secretly to Meta, which is Facebook. You fill in a form that says, “I want to contact you.” Why would I want to contact you? Incest, suicide, mental health — whatever — that information has been communicated. Du point de vue de la protection des renseignements personnels, lorsqu’une personne visite un site Internet — et cela s’applique à la grande majorité des sites Internet, y compris celui de l’Association canadienne pour la santé mentale.

J’ai consulté rapidement son site Internet, il y a plus d’un an, puis, quelques mois plus tard, et deux ou trois autres mois plus tard. L’important, ce n’est pas le nombre incroyable de témoins, par exemple 58 cookies de ce type et 35 cookies de cet autre type, qui transmettent l’information à d’autres sites Web. Avant même que s’ouvre le site Web, le fait que vous l’avez recherché a été secrètement communiqué à Meta, qui est Facebook. Vous envoyez un formulaire qui dit : « Je veux communiquer avec vous. » Pourquoi voudrais-je communiquer avec eux?

Inceste, suicide, santé mentale, peu importe, l’information a été transmise. If somebody gets a hold of that, it’s not just whether I went to a hospital and why; this is a completely different matter. This is around mental health issues. That makes somebody vulnerable if there is an interested party who wants to use that information. Si l’information tombe entre les mains de quelqu’un, il ne s’agit pas simplement d’informations concernant ma visite à l’hôpital et le motif de ma visite; c’est une question tout autre. Il est question de santé mentale. La personne est à risque si une

partie intéressée souhaite utiliser l’information. That is a huge risk. Yes, it’s health information, but it’s federal because it falls under the Personal Information Protection and Electronic Documents Act, or PIPEDA, and — forgive me for straying — Bill C-27 won’t improve that situation. C’est un énorme risque. Oui, ce sont des données médicales, mais elles relèvent de la compétence fédérale, conformément à la

Loi sur la protection des renseignements personnels et les documents électroniques, et — je m’excuse d’avoir dévié du sujet — le projet de loi C-27 n’améliorera aucunement la situation. Mr. Warnell: I’ll offer a perspective to your question, senator. M. Warnell : Sénateur Kutcher, je vais donner mon point de vue sur votre question. We define 10 critical infrastructure sectors in Canada. This bill expressly talks to four that the federal government has more direct control over.

It is an important first step in driving the conversation around the requirements and the capabilities to ensure safe outcomes in those sectors, and it can set a trailblazing path toward informing and working through collaboration with the various levels of government, whether provincial or municipal, on the importance of this topic. Nous avons défini 10 secteurs d’infrastructure critiques, au Canada. Le projet de loi parle explicitement des quatre secteurs sur lesquels le gouvernement fédéral a un contrôle plus direct.

C’est une première étape importante si l’on veut discuter des exigences et des capacités et assurer des résultats sécuritaires dans ces secteurs. Cela pourrait être une nouvelle façon d’informer les différents ordres du gouvernement et de collaborer avec eux, que ce soit les gouvernements provinciaux ou les administrations municipales, dans cet important dossier. We could, as individual Canadians and in this body, talk about how we can make the bill more inclusive and cast its net wider, but at the same time, the threat landscape continues to evolve.

Standing still in defence of “hey, we should go further into health or further into food or water systems,” I think, would be a disservice to the threat that is happening right now. The first step will be the most important step, and then we can continue to tackle and model what “good” looks like across other critical infrastructure sectors as well. Nous pourrions, en tant que Canadiens et membres d’un organisme, discuter de la manière de rendre le projet de loi plus inclusif et de lui donner plus de portée, mais, en même temps, l’environnement de la menace est en constante évolution.

Je crois que ne rien faire et dire : « hé, nous devrions traiter plus en détail des systèmes de la santé, de l’alimentation et de l’eau », serait désavantageux, étant donné la menace actuelle. La première étape sera la plus importante, et puis, nous pourrons continuer de définir et de modéliser ce qu’est une « bonne chose » également dans l’ensemble des secteurs de l’infrastructure critique. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:11

Mr. Shipley: There are things the government could do very quickly. They could actually form a centre of excellence in what ideal state health care cybersecurity at a provincial level should look like. They could get agreements with each of the provinces — because no province says no to more money — to say that, in exchange for this net new funding, here are the digital security standards we could get to. Health Canada could play a better role in making sure that medical devices are actually secure by design and updated. They could coordinate better with the provinces on that. M.

Shipley : Le gouvernement peut prendre des mesures rapidement. Il pourrait créer un centre d’excellence pour déterminer l’idéal en matière de cybersécurité des soins de santé, à l’échelon provincial. Il pourrait conclure une entente avec chaque province — parce qu’aucune province ne refuserait de l’argent supplémentaire — pour dire que, en échange du nouveau financement, voilà les normes en matière de sécurité numérique que vous devez respecter. Santé Canada pourrait jouer un plus grand rôle afin d’assurer que les appareils médicaux sont conçus de manière sécuritaire et mis à jour.

Le ministère pourrait collaborer davantage avec les provinces à ce chapitre. We could be forming better agreements with the provinces to respond and share lessons learned through a cybersecurity review board that, when a hospital gets hit, asks how it happened. We should be as transparent with a hospital ransomware incident as we are with a plane crash, because it causes harm and we need to learn everything we can from it.

Nous pourrions conclure de meilleures ententes avec les provinces et faire circuler les leçons apprises par l’entremise d’un comité d’examen de la cybersécurité qui, lorsqu’un hôpital est attaqué, se demanderait comment cela a pu être possible. Nous devrions faire preuve de transparence pour les incidents de rançongiciel des hôpitaux, comme nous le faisons pour les accidents d’avion, parce que c’est ce qui cause des préjudices et que nous devons en tirer le plus de leçons possible. Those are all things they could do now. Ce sont toutes des choses qui pourraient être faites maintenant. Senator M.

Deacon: Thank you for being here today. La sénatrice M. Deacon : Merci d’être présents aujourd’hui. I would like to address my first question to Mr. Warnell, if you don’t mind. It concerns international cooperation. J’aimerais poser ma première question à M. Warnell, si vous le permettez. Elle concerne la coopération internationale. Last year, the Bruce Power site took

part in a blended cyber and physical mock attack with industry peers at the Los Alamos National Laboratory in New Mexico, something I understand that was a first-of-its-kind simulation. I am wondering how important peer-to-peer cooperation is for you. Is it easy enough to share this kind of information with trusted international peers in your industry? Also, does this bill in any way assist, enhance or hinder security cooperation?

L’année dernière, les installations de Bruce Power ont participé à une simulation d’attaque mixte informatique et physique avec des pairs du laboratoire national de Los Alamos, au Nouveau-Mexique; si j’ai bien compris, il s’agissait de la première simulation de ce genre. Quelle importante accordez- vous à la coopération entre pairs? Est-ce facile de communiquer ce genre d’information avec des pairs auxquels vous faites confiance à l’international, au sein de votre industrie? Aussi, est- ce que ce projet de loi va d’une façon ou d’une autre améliorer ou freiner la coopération en matière de sécurité? Mr.

Warnell: Thank you for your question. M. Warnell : Merci de la question. The exercise we did complete through the Canadian national labs in conjunction with national labs down in the United States was, in fact, the first blended joint cyber-physical full-scale security exercise in the nuclear industry. It demonstrated a number of key elements. Cross-border allyship is important to driving lessons learned and expanding our body of knowledge around where we can enhance our defences and capabilities from a different point of view from what we had solely in the Canadian nuclear landscape.

L’exercice que nous avons effectivement fait dans les laboratoires nationaux canadiens en collaboration avec les laboratoires nationaux aux États-Unis était, oui, le premier exercice de sécurité mixte complet jumelant une attaque informatique et physique dans le secteur de l’énergie nucléaire. Il a montré un certain nombre d’éléments clés.

Il est important d’avoir des alliés de l’autre côté de la frontière pour profiter des leçons retenues et améliorer nos connaissances sur la façon dont nous pouvons améliorer nos défenses et nos capacités en fonction d’un autre point de vue que le seul que nous avons du paysage nucléaire canadien. We benefit within the nuclear industry of having both national and international networks of operational experience sharing what we have benefitted from, for decades.

We draw upon that, whether it’s about getting better at work-management practice in Dans l’industrie nucléaire, nous avons la chance d’avoir des réseaux tant nationaux qu’internationaux où nous partageons nos expériences opérationnelles, et nous en bénéficions depuis des décennies. Nous nous appuyons sur ces réseaux, que ce soit pour 65:12 National Security, Defence and Veterans Affairs 18-11-2024

the factory or power plant, or in a better supply chain practice or cybersecurity practice. That ability to share across borders and with trusted international partners is paramount to securing capabilities and driving maturity of what we do every single day. We’ve had that in place for many decades. établir de meilleures pratiques de gestion du travail dans les usines ou les centrales électriques ou de meilleures pratiques liées à la chaîne d’approvisionnement ou à la cybersécurité.

Cette capacité de communiquer de l’information de l’autre côté des frontières à des partenaires internationaux auxquels nous faisons confiance est essentielle pour renforcer nos capacités et devenir meilleurs dans ce que nous faisons chaque jour. Nous le faisons depuis de nombreuses décennies.

This particular legislation, as it becomes part of Canada’s landscape, sends a signal to our international partners that we are taking cybersecurity seriously, and it welcomes us to the table of those important conversations where those practices and learnings about the threat landscape — that could be changing or emerging — gets shared. It could be a preventative approach for the Canadian landscape versus being left on the outside. Ce projet de loi, qui fera

partie du paysage du Canada, envoie un signal à nos partenaires internationaux et les informe que nous prenons la question de la cybersécurité au sérieux; nous serons alors accueillis aux tables où se tiennent ces conversations importantes sur les pratiques et les apprentissages au sujet du paysage des menaces, lesquelles pourraient changer ou se renouveler. Il pourrait s’agir d’une approche préventive pour le paysage canadien, qui pourrait autrement être laissé de côté.

I think it very much is an important element of international cooperation to ensure that we can be best informed to either prevent and/or respond to events as they unfold. Il faut nous assurer d’être le mieux informés possible pour prévenir les incidents ou y réagir quand ils surviennent. Je pense que c’est vraiment un élément important de la coopération internationale. Senator M. Deacon: Thank you. La sénatrice M. Deacon : Merci. Mr.

Shipley, in the past, you’ve appropriately expressed some concerns around the regulatory making process that will follow this bill, stating to the Canadian Chamber of Commerce earlier this year that the regulations, such as the Office of the Superintendent of Financial Institutions, or OFSI, are experienced, but others are being given this responsibility for cyber for the first time. Monsieur Shipley, par le passé, vous avez à juste

titre exprimé des préoccupations au sujet du processus de réglementation qui suivra ce projet de loi, et vous avez déclaré, plus tôt cette année, devant la Chambre de commerce du Canada que les organismes de réglementation, comme le Bureau du surintendant des institutions financières, le BSIF, ont de l’expérience, mais que d’autres sont chargés de la cybersécurité pour la première fois. The minister, when he appeared, said there will be a very thorough consultation process in crafting the regulations.

I’m wondering if that statement eases some of your concerns, heightens some of your concerns or what you might suggest to the government to lead them in the right direction? Le ministre, quand il a comparu, a dit qu’il y aurait un processus de consultation complet pendant l’élaboration de la réglementation. Est-ce que cette déclaration dissipe quelque peu vos préoccupations et en aggrave-t-elle d’autres? Que suggéreriez-vous au gouvernement pour qu’il prenne la bonne direction? Mr. Shipley: I am open to the regulatory review process and what that could unfold.

I think my concern is going to be more about how things get executed at the departmental level, and I don’t think regulations are going to do that. It’s going to come down to who they have and the talent, the resourcing and experience that they’ll have. M. Shipley : Je suis ouvert à l’idée d’un examen réglementaire et à ce que celui-ci pourrait révéler. Je crois que je m’inquiète davantage de la façon dont les choses sont faites au sein des ministères et je ne pense pas que les règlements vont remplacer cela.

Tout reposera en fin de compte sur le personnel de ces organisations, leurs talents, leurs ressources et leur expérience. Telecommunications is really important to us, and they previously had a very collaborative relationship through the Canadian Security Telecommunications Advisory Committee, or CSTAC, so industry and government working side by side.

Now, you are going to have a regulator responsibility, and if we have people that don’t have the experience on the government side making a regulatory call, they could potentially cause more harm Les télécommunications sont très importantes pour nous, et par le passé, le secteur collaborait beaucoup grâce au Comité consultatif canadien pour la sécurité des télécommunications, le CCCST, de sorte que l’industrie et le gouvernement travaillaient côte à côte.

Maintenant, il y aura un responsable sur le plan de la réglementation, et, si on a des gens au gouvernement qui n’ont pas d’expérience et qui prennent des décisions en matière de 18-11-2024 Sécurité nationale, défense et anciens combattants 65:13

than good if they don’t have the experience. It’s going to take years for them to build that up. réglementation, cela pourrait faire plus de mal que de bien, s’ils n’ont pas l’expérience. Cela va leur prendre des années, acquérir cette expérience. We are expecting Innovation, Science and Economic Development Canada, or ISED, to arrive at the same specification that OSFI has had 30 years to build to. It’s in the execution of this that we will succeed or fail.

On s’attend à ce qu’Innovation, Sciences et Développement économique Canada, ou ISDE, arrive au même résultat que le BSIF, qui a eu 30 ans pour arriver à ce résultat. C’est l’exécution qui sera une réussite ou un échec. Senator Cardozo: My question is for Mr. Warnell. Le sénateur Cardozo : Ma question s’adresse à M. Warnell.

I wonder if you could just tell us a little bit more about the cybersecurity threat that you face, without going into too much detail — this is a public meeting — and how you cooperate with the other partners across the country who are either producing or dealing with nuclear power in one way or another?

Pourriez-vous nous en dire un peu plus sur la menace de cybersécurité à laquelle vous faites face, sans aller trop dans les détails — il s’agit d’une réunion publique — et sur la façon dont vous coopérez avec les autres partenaires dans tout le pays qui produisent de l’énergie nucléaire ou qui utilisent de l’énergie nucléaire d’une façon ou d’une autre? Mr. Warnell: Absolutely. Thank you for your question. M. Warnell : Absolument. Merci de la question. Given that this is a public forum, I’ll keep it to what has been publicly disclosed.

What has been disclosed in the threat landscapes facing critical infrastructure in North America over the last two years have been unprecedented. The volume of unclassified information — you might have heard of threat actors known as Volt Typhoon and Salt Typhoon, for example. You will hear large disclosures through our joint partners in the Five Eyes around the threat these Chinese national state actors and aligned actors are prepositioning in critical infrastructure, including the electrical distribution network, in the event of a larger scale geopolitical challenge.

Comme il s’agit d’une tribune publique, je vais m’en tenir à ce qui a été divulgué publiquement. Ce qui a été divulgué en ce qui concerne les paysages de menace pour les infrastructures essentielles en Amérique du Nord ces deux dernières années est sans précédent. Le volume d’informations non classifiées... Vous avez peut-être entendu parler des auteurs de menaces connus sous le nom de Volt Typhoon et Salt Typhoon, par exemple.

Vous allez entendre de nos partenaires du Groupe des cinq beaucoup d’informations au sujet de la menace que représentent ces acteurs nationaux chinois relevant de l’État et d’États associés qui se préparent à attaquer des infrastructures essentielles, y compris le réseau de distribution électrique, si jamais il y a un enjeu géopolitique de grande envergure. This would have been previously — I would say — very tightly held pieces of information.

The threat is so imminent and so real that our intelligence communities have been able to work through the various channels to get that information declassified, to talk about the importance of it to the public and to us in areas of particular influence or power to make differences and to drive change. That’s to speak to the threat landscape. Je dirais que cette information aurait jadis été gardée très secrète.

La menace est si imminente et si réelle que nos organismes de renseignement ont pu déclassifier cette information, par divers moyens, pour pouvoir nous la donner, au public et à nous, qui œuvrons dans des sphères d’influence et de pouvoir précis et qui pouvons faire une différence et favoriser le changement. Voilà ce que j’avais à dire du paysage de la menace.

Through that, we work — much like other critical infrastructure industries — with our industry peers to share operating experience or operating intelligence across our organizations to see if a particular threat of someone knocking at our door is impacting other infrastructure operators.

As well, through the Energy Security Technical Advisory Committee, or E-STAC — which is the equivalent to CSTAC — has formed, coming out of the events last year at Suncor, where they suffered a major ransomware event and really pushed the energy providers outside of nuclear to come together and start to operate as one party in defence of our operations.

À cet égard, nous travaillons — comme beaucoup d’autres industries liées aux infrastructures essentielles — avec nos pairs de l’industrie pour échanger notre expérience opérationnelle et nos renseignements opérationnels avec toutes les organisations pour savoir si une menace précise, si quelqu’un qui frappe à la porte, a une incidence sur d’autres exploitants des infrastructures.

Aussi, quand le Energy Security Technical Advisory Committee, ou l’E-STAC, qui est l’équivalent du CCCST, s’est formé, à la suite des événements survenus l’année dernière à Suncor, victime d’un incident majeur impliquant un rançongiciel, ce qui a vraiment forcé les autres fournisseurs d’énergie autres que d’énergie nucléaire à se relever les manches tous ensemble et à commencer à agir comme une seule entité pour défendre nos activités. 65:14 National Security, Defence and Veterans Affairs 18-11-2024

It’s been a really good change, over the last 18 months to 2 years. The threat is real. It has been publicly disclosed, and, again, it is why standing still is not an option for Canada or for any other allied nation. Cela a été un changement très positif, au cours des 18 derniers mois, voire des deux ans qui ont passé depuis. La menace est réelle. Cette information a été divulguée publiquement, et encore une fois, c’est pour cette raison que le Canada ou n’importe quel autre des pays alliés n’ont pas l’option de ne rien faire. Senator Cardozo: Thanks.

If I have a little bit of time, just make this a quick response by Mr. Shipley and Ms. Polsky. Le sénateur Cardozo : Merci. S’il me reste encore un peu de temps, j’aimerais que M. Shipley et Mme Polsky répondent rapidement à ma question. In terms of other sectors, is it possible that we get to this down the road when we deal with the sectors we’re covering here? Ms. Polsky, I think you’re saying that’s not the issue. There are just some issues around civil liberties that need to be fixed that cannot be fixed later.

En ce qui concerne les autres secteurs, est-il possible de mettre cela en œuvre, plus tard, dans les autres secteurs dont il est question ici? Madame Polsky, je pense que vous dites que ce n’est pas le problème. Il y a seulement des problèmes concernant les libertés civiles qui doivent être réglés maintenant, et pas plus tard. Ms. Polsky: Issues around civil liberties need to be addressed now, but I also look at the practical side of implementing this legislation.

Really, every organization in Canada, whether it’s federally regulated or not — health care — they all, long ago, were supposed to be doing all of the things that we’re talking about today: Securing their networks, training their people and having policies in place so they can comply with the privacy laws. Mme Polsky : Les problèmes qui touchent les libertés civiles doivent être réglés maintenant, mais je pense aussi à l’aspect pratique de la mise en œuvre de ce projet de loi.

Vraiment, chaque organisation au Canada, qu’elle relève du fédéral ou pas — la santé — était depuis longtemps censée faire toutes les choses dont nous parlons aujourd’hui : sécuriser ses réseaux, former son personnel et mettre en œuvre des politiques afin de respecter les lois sur la protection des renseignements personnels. This is going to be another massive onus and huge obligation on organizations of all sorts. They’re already behind the eight ball. Ce sera un autre fardeau énorme et une grande obligation pour toutes les organisations. Elles sont déjà en retard. Mr.

Shipley: We need to get this done, because we can’t keep the lights on and the natural gas flowing. That’s a primal survival issue for us. We have to get moving, as Mr. Warnell said. Again, we almost had a pipeline explode in this country, so we must move. We can’t stop here, and if we wait another 10 years, there is so much Canadian suffering we are not going to prevent. M. Shipley : Il faut que cela se fasse, parce que nous ne pouvons pas laisser l’éclairage allumé et le gaz naturel couler. C’est un enjeu de survie primordial pour nous. Nous devons vraiment faire quelque chose, comme l’a dit M. Warnell.

Encore une fois, un oléoduc a failli exploser, dans notre pays, donc nous devons agir. Nous ne pouvons pas nous arrêter ici, et si nous attendons encore 10 ans, nous ne pourrons pas empêcher que les Canadiens souffrent. With respect to the privacy laws — which my colleague is more suited to — I’ll say this: Our laws are toothless. There are no consequences in this country. The reason people don’t spend money is because when organizations realize there is no consequence, they go to other risks.

En ce qui concerne les lois sur les renseignements personnels — un sujet que mon collègue connaît mieux —, voici ce que je dirais : nos lois n’ont pas de mordant. Il n’y a pas de conséquence dans notre pays. Les gens ne dépensent pas d’argent parce que, quand les organisations réalisent qu’il n’y a pas de conséquence, elles passent à d’autres risques. Privacy and security are linked. If there are no consequences, they don’t invest in privacy, and when they don’t invest in privacy, they aren’t secure either. La protection des renseignements personnels et la sécurité sont liées.

S’il n’y a pas de conséquences, on n’investit pas dans la protection des renseignements personnels, et lorsque l’on n’investit pas dans la protection des renseignements personnels, ceux-ci ne sont pas non plus en sécurité. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:15

[Translation] [Français] Senator Carignan: My question is about how confident the government can be that it is in control of elements of cybersecurity. I’m talking about how the government handles attacks and its cybersecurity vulnerabilities. Le sénateur Carignan : Ma question porte sur la confiance du gouvernement en vue de s’assurer d’avoir un bon contrôle des éléments de cybersécurité. J’en viens à la manière dont le gouvernement se comporte lui-même par rapport aux attaques ou à ses vulnérabilités en matière de cybersécurité.

When cybersecurity drills were done, also known as cybernetic simulations, only 25% of the departments did those simulations. Lorsqu’ils ont fait les exercices de cyberpratique, qu’on appelle de la simulation cybernétique, seulement 25 % des ministères ont fait ces exercices de simulation. Is there a chance companies will lose confidence in the government, which isn’t even up to standard itself? Will people and businesses have so little confidence in the government that it will be difficult to enforce Bill C-26?

Est-ce qu’il n’y a pas un risque de manque de confiance de la part des entreprises par rapport au gouvernement, qui est lui- même déficient? Les gens et les entreprises auront-ils si peu confiance dans le gouvernement que ce sera difficile d’assurer l’application du projet de loi C-26? [English] [Traduction] Mr. Shipley: I want to be very clear that I have a lot of faith in the civil servants in this country, the hard-working men and women in various departments that are doing everything they can to protect the Government of Canada.

I have had the privilege of meeting a great deal of them, and we have some tremendous talent. M. Shipley : J’aimerais dire clairement que je fais tout à fait confiance aux fonctionnaires de notre pays, aux hommes et aux femmes qui travaillent dur dans divers ministères et qui font tout ce qu’ils peuvent pour protéger le gouvernement du Canada. J’ai eu le privilège d’en rencontrer un bon nombre, et nous avons énormément de talents.

What we lack in this country is a political interest in this issue, and you can see that in that they have a strategy that they just can’t be bothered to decide how much they want to spend and release. Ce qui nous manque, au Canada, c’est un intérêt politique pour cet enjeu, et vous pouvez le voir dans la stratégie qu’ils ont élaborée, mais sans vouloir décider combien ils veulent dépenser ou divulguer.

You can see that when Joe Biden got upset at what happened with the Colonial Pipeline in the United States and said, “We will respond to this threat with the whole of government,” which is the same as they respond to terrorism, and we’ve never had our Prime Minister hold a summit in this country about the crisis. Newfoundland, Ontario, London Drugs — on and on and on — and British Columbia fully compromised by a foreign nation state to the extent of years worth of damage, and we can’t get a meeting at the senior political level.

On peut le voir quand Joe Biden s’est fâché à cause de ce qui est arrivé au Colonial Pipeline aux États-Unis et qu’il a dit « nous allons réagir à cette menace avec tout le poids du gouvernement », qui est la réponse qu’il donne lorsqu’il est question de terrorisme, et notre premier ministre n’a jamais tenu de sommet dans notre pays au sujet de la crise.

Terre-Neuve, l’Ontario, London Drugs, et ainsi de suite, et la Colombie- Britannique, ont tous été victimes d’une attaque lancée par un pays étranger et ont subi des dommages qu’il faudra de nombreuses années pour effacer, et les plus hauts fonctionnaires sont incapables de se réunir. It is to the government’s credit that Jennifer O’Connell is now a parliamentary secretary, which is progress.

She’s phenomenal, but we need prime ministerial attention because it matters when a prime minister gets up and says, “We’re not going to be your punching bag or ATM anymore for cybercrime; we’re getting serious.” Australia has done exactly that, and they’re not that different from us. We’re not getting out of bed, and in the world we’re walking into in 2025, that means it’s open season on the maple leaf, and it’s not going to be good for us. C’est grâce au gouvernement que Jennifer O’Connell occupe maintenant le poste de secrétaire parlementaire, et c’est un pas dans la bonne direction.

Elle est extraordinaire, mais nous devons avoir l’attention du premier ministre, parce que c’est important quand un premier ministre se lève et dit « nous n’allons pas être le souffre-douleur ni le guichet automatique des cybercriminels; nous prenons ça au sérieux maintenant ». C’est exactement ce qu’a fait l’Australie, et ce pays n’est pas différent du nôtre. Nous ne nous réveillons pas assez vite, et bientôt en 2025, cela veut dire que la guerre contre l’unifolié est ouverte, et ce ne sera pas bon pour nous. 65:16 National Security, Defence and Veterans Affairs 18-11-2024

Ms. Polsky: That’s putting it gently, but I also look at the other side. When there is a breach — never mind an exercise to earn the public’s trust — the Office of the Privacy Commissioner of Canada is notified, and that’s as far as it goes. The public has no way of knowing that there has been a breach. There is one place in the world that I have found where a breach notification is publicized: California. Other than that, nowhere. Mme Polsky : Ce n’est pas peu dire, mais je regarde aussi l’envers de la médaille.

Lorsqu’il y a une faille — ne parlons même pas d’un exercice pour gagner la confiance du public —, on avise le Commissariat à la protection de la vie privée du Canada et c’est tout. Le public n’a aucune façon de savoir qu’il y a eu une faille. Il n’y a qu’un endroit dans le monde où j’ai vu que l’on avisait les gens qu’il y avait eu une faille : la Californie. Sinon, il n’y en a pas. We’re always told to make sure where your information is going. The onus is put on us individually, not the tech companies, not governments. How can you or I make that determination when it’s opaque? As Mr.

Shipley said, it’s a matter of political will, which has not been evident for a very long time. We have fallen behind, and we’re scrambling to catch up. That’s never a good position to be in because reactive is in panic mode instead of being thoughtful, proportionate, reasonable and practical. On nous dit toujours de faire attention aux endroits où on laisse nos renseignements. Le fardeau nous est imposé à nous, individuellement, et non pas aux entreprises technologiques ni aux gouvernements. Comment vous et moi pouvons-nous prendre cette décision quand c’est opaque? Comme l’a dit M.

Shipley, c’est une question de volonté politique, laquelle n’est pas claire depuis très longtemps. Nous sommes à la traîne, et nous peinons à rattraper notre retard. Ce n’est jamais bien d’être dans cette position parce que nous réagissons dans la panique plutôt que de réfléchir, de soupeser, d’être raisonnables et d’être pratiques. Senator Richards: You just answered my question, Ms. Polsky. In a way, this is an existential threat, and this bill is only — as has been said — a first step. Security measures might become more extreme and revamped as time passes. As a matter of fact, they’re going to have to be.

How can we ever keep up with the ongoing threat? If we do that, how do we better coordinate privacy and national security? Le sénateur Richards : Vous venez de répondre à ma question, madame Polsky. D’une certaine façon, c’est une menace existentielle, et ce projet de loi, comme il a été dit, n’est qu’une première étape. Les mesures de sécurité pourraient devenir plus strictes et être mises à jour au fur et à mesure. En fait, elles devront l’être. Comment allons-nous pouvoir rester au fait des menaces continues?

Si nous faisons cela, comment pouvons-nous mieux coordonner la protection des renseignements personnels et la sécurité nationale? Ms. Polsky: Having the obligation and the liability on the executive is a tremendous idea. Think back to Enron, if anyone remembers that. Again, as Mr. Shipley said, our laws are toothless. Jennifer Stoddart said as she was leaving office that the privacy law could use more teeth. There is no penalty. Organizations can now do as they wish.

That’s the private sector and also the public sector, because if there is a fine it comes out of this taxpayer pocket of dollars and goes into that taxpayer pot. It’s all taxpayer dollars being shuffled like a shell game, but nothing has been changing — to our detriment individually and collectively. Mme Polsky : Ce serait une bonne idée d’imposer cette obligation aux hauts dirigeants et de leur demander de rendre des comptes. Rappelez-vous Enron, si quelqu’un s’en rappelle. Encore une fois, comme M. Shipley l’a dit, nos lois n’ont pas de mordant. Quand elle a quitté son poste, Mme Jennifer Stoddart a dit que la

Loi sur la protection des renseignements personnels pourrait être plus sévère. Il n’y a pas de conséquence. Les organisations peuvent maintenant faire ce qu’elles veulent. C’est comme ça pour le secteur privé et le secteur public parce que, s’il y a une amende, le contribuable la paie de sa poche et l’argent retourne dans les poches du même contribuable. On fait un tour de passe-passe avec l’argent des contribuables, mais rien ne change — à notre détriment, tant personnel que collectif. Senator Richards: Mr.

Shipley, can you say that this bill is good enough or that it will be revamped within a couple of years, and will we be able to keep up with the ongoing threat? Le sénateur Richards : Monsieur Shipley, pouvez-vous dire que ce projet de loi est suffisant, qu’il sera remanié d’ici quelques années ou serons-nous en mesure de faire face à la menace actuelle? Mr. Shipley: This law started in 2022, and we’re still not even through the Royal Assent phase so that we can get to the regulatory work to have it implemented to even know when the phase-in date will be.

As much as I wish that there were still changes to be made, I would sacrifice those changes at this point to at least get the ball moving farther and hopefully advance the M. Shipley : Cette loi est sur la table depuis 2022, et nous n’avons même pas obtenu la sanction royale qui nous permettrait d’entamer le travail réglementaire nécessaire à sa mise en œuvre, et nous ne savons même pas quand la date d’entrée en vigueur sera fixée.

Même si j’aimerais qu’il y ait encore des changements à apporter, je les sacrifierais, à ce stade, pour au moins faire 18-11-2024 Sécurité nationale, défense et anciens combattants 65:17

political conversation and say, “Okay, we have our plan for the four sectors. What are we doing about health care? What are we doing about agriculture? What are we doing about personal car safety?” avancer les choses et, je l’espère, faire avancer la conversation politique et dire : « D’accord, nous avons notre plan pour les quatre secteurs. Que faisons-nous pour les soins de santé? Que faisons-nous pour l’agriculture? Que faisons-nous en matière de sécurité automobile? »

It’s one thing to say that we’re going to ban Chinese electric vehicles because we’re worried about it, but I guarantee there are bigger problems across every car manufacturer that is connected to the internet right now. C’est une chose de dire que nous allons interdire les véhicules électriques chinois parce que cela nous inquiète, mais je vous garantis qu’il y a des problèmes plus graves, chez tous les constructeurs automobiles, qui sont connectés à Internet en ce moment. We can’t have any of those conversations if we can’t even tie our shoes.

Nous ne pouvons avoir aucune de ces conversations si nous ne pouvons même pas lacer nos chaussures. Senator Richards: At which stage would you say that national security is with this? Le sénateur Richards : À quelle étape diriez-vous que la sécurité nationale se trouve dans cette affaire? Mr. Shipley: We are at the whim of people who want to cause us harm. The only thing that keeps us safe right now is whether someone wants to take a swing at us. Our face is out there, and we’re going to take it on the nose. M. Shipley : Nous sommes à la merci de personnes qui veulent nous faire du mal.

La seule chose qui nous protège en ce moment, c’est de savoir si quelqu’un veut s’en prendre à nous. Nous sommes une cible, et on ne nous manquera pas. Senator Richards: Thank you. Le sénateur Richards : Merci. Senator Batters: First of all, I want to make a comment regarding this discussion in which we are saying, “Hurry up; get it done; it’s good enough; let’s get something done.” I agree that this is a very important topic, but the Senate has only had this bill for about two months, because we received it on the very last day we were sitting in June, and we started sitting again in September.

Public consultations on this bill began as far back as 2016. It then took two years for this federal government to generate a national cybersecurity strategy, and then it took four years to introduce this bill and another two years to get to the Senate. It’s our job to make bills better than they are when we get them, so we should take a little bit of time to be able to do that properly. La sénatrice Batters : Tout d’abord, j’aimerais faire une remarque concernant la discussion dans laquelle nous disons : « Dépêchons-nous, faisons-le, c’est déjà bien, faisons quelque chose. »

Je reconnais qu’il s’agit d’un sujet très important, mais le Sénat n’a pas reçu ce projet de loi qu’il y a environ deux mois, puisque nous l’avons reçu à notre tout dernier jour de séance, en juin, et que nous avons recommencé à siéger en septembre. Les consultations publiques sur ce projet de loi remontent à 2016. Il a fallu ensuite deux ans au gouvernement fédéral pour élaborer une stratégie nationale de cybersécurité, puis quatre ans pour présenter ce projet de loi et encore deux ans pour qu’il arrive au Sénat.

Il est de notre devoir de rendre les projets de loi meilleurs qu’ils ne le sont au moment où nous les recevons, et nous devrions donc prendre un peu de temps afin de le faire correctement. In that regard, I’d like to ask Ms. Polsky from the Privacy and Access Council of Canada a question. When you referred to the proposed amendments to detail some of these very concerning issues — and I agree with you that some of them are very concerning — I’m assuming that that’s contained in here. I’d like to give you a bit of time to describe what you think are the two most important ones, if you had to narrow it down.

I know it’s difficult to do, but if you have to do it, which ones would you focus on, and if you could describe for us and for Canadians how those could improve this bill. À cet égard, j’aimerais poser une question à Mme Polsky, du Conseil du Canada de l’accès et la vie privée. Quand vous avez fait référence aux amendements proposés pour détailler certaines de ces questions très préoccupantes — et je suis d’accord avec vous pour dire que certaines sont très préoccupantes —, je suppose que c’est contenu dans la documentation.

J’aimerais vous donner un peu de temps pour décrire les deux amendements que vous trouvez les plus importants, si vous deviez réduire la liste. Je sais que c’est difficile à faire, mais, si vous aviez à le faire, sur lesquels vous concentreriez-vous? Pourriez-vous aussi nous décrire et décrire aux Canadiens comment ces amendements pourraient améliorer le projet de loi? 65:18 National Security, Defence and Veterans Affairs 18-11-2024

Ms. Polsky: I’m sorry, I hate questions like that. We’ve narrowed it down to the top most important ones, and they are all important; it’s a short list. Following from the previous question is on the consultation side. Mme Polsky : Je suis désolée, je déteste ce genre de questions. Nous avons réduit la liste à ceux qui sont les plus importants, et ils sont tous importants; la liste est courte. La question précédente portait sur la consultation.

At this point, to earn the public’s trust to ensure that this piece of legislation actually does what it’s designed and intended to do is to have a much more open consultation process as opposed to saying, “We consulted Canadians.” Which ones? À ce stade, pour gagner la confiance du public et nous assurer que le projet de loi fait réellement ce qu’il est censé faire, il faut un processus de consultation beaucoup plus ouvert que celui qui consiste à dire : « Nous avons consulté les Canadiens. » Lesquels? We’re not entitled to find out. Our government doesn’t say these things.

Allowing consultation, ensuring consultation with the requirement that the consultation results actually be considered and implemented as opposed to saying, “Thank you very much, we consulted; consultation ends today, and we’re putting it in tomorrow.” That’s what we’ve seen until now. Nous n’avons pas le droit de le savoir. Notre gouvernement ne dit pas ces choses-là.

Permettre la consultation, assurer qu’il y a des consultations en exigeant que ses résultats soient réellement pris en compte et mis en œuvre, plutôt que de dire : « Merci beaucoup, nous avons consulté; la consultation se termine aujourd’hui, et nous y donnerons suite demain. » C’est ce que nous avons vu jusqu’à présent. Accountability and transparency are absolutely vital. We haven’t had that until now. There’s so much in this piece of legislation that is opaque and secret, and people are going to wonder why.

We can look to the United States with the Foreign Intelligence Surveillance Act, or FISA, court orders — the secret orders — where people weren’t allowed to contact a lawyer to say, “I received this order; what do I do?” because that was prohibited. We can’t allow that level of secrecy. Whatever happened to open courts, regular rule of law and democratic processes? We don’t know whom this shields, and that’s part of the problem. It creates a shield against accountability, which will engender mistrust. La responsabilité et la transparence sont absolument essentielles. Nous n’en avons pas eu jusqu’à présent.

Il y a tant de choses opaques et secrètes dans ce projet de loi que les gens vont se demander pourquoi. Il suffit de regarder ce qui se passe aux États-Unis avec les ordonnances judiciaires, secrètes, de la

loi sur la surveillance des activités de renseignement, Foreign Intelligence Surveillance Act, qui interdisait à quiconque de contacter un avocat pour lui dire : « J’ai reçu une ordonnance judiciaire; que dois-je faire? ». Nous ne pouvons pas permettre un tel niveau de secret. Qu’est-il advenu de la transparence judiciaire, de la primauté du droit et des processus démocratiques? Nous ne savons pas qui cela protège, et c’est une

partie du problème. Cela crée un bouclier contre la responsabilité, ce qui engendrera de la méfiance. Senator Batters: I agree with you, and the issue of potentially secret courts, orders that defendants can’t even know about or know what they might be facing, is something that I raised in my second reading speech about this bill. I’m the critic of the bill.

La sénatrice Batters : Je suis d’accord avec vous, et la question des tribunaux potentiellement secrets, des ordonnances dont les défendeurs ne peuvent même pas avoir connaissance et qui ne savent pas ce qui les attend, est un point que j’ai soulevé en deuxième lecture à propos de ce projet de loi. Je suis la critique de ce projet de loi. That’s something I’d like you to explain a bit more for us. How would your amendments on that issue help to improve this bill? C’est une chose que j’aimerais que vous nous expliquiez un peu plus.

Comment vos amendements sur cette question contribueraient-ils à améliorer le projet de loi? The Chair: Sorry, Ms. Polsky. I hate to cut you off, but Senator Batters is out of time. If we have a chance to come back, we’ll have an opportunity. If not, you might have to submit it in writing. I apologize. Le président : Désolé, madame Polsky, je dois vous interrompre, car le temps de la sénatrice Batters est écoulé. Si nous avons l’occasion d’y revenir, nous y reviendrons. Sinon, vous pourriez soumettre cela par écrit. Je vous prie de m’excuser.

Senator McNair: Thank you to the panellists for being here today and your testimony today in front of us. You’ve all made clear your views on whether the legislation should go forward or not. Le sénateur McNair : Je remercie les témoins d’être présents aujourd’hui et d’avoir témoigné devant nous. Vous avez tous exprimé clairement votre point de vue sur l’opportunité d’adopter ou pas le projet de loi. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:19

Mr. Warnell’s comment was that this is a well-intentioned first step and that we’re taking cybersecurity seriously. Two of you have mentioned the fact that we’re not keeping up or we’re lagging behind our Five Eyes allies. What’s the impact of that? Do you see it getting to a point where they aren’t going to be sharing information with us anymore if this legislation isn’t passed as a first step? M. Warnell a déclaré qu’il s’agissait d’une première étape bien intentionnée et que nous prenions la cybersécurité au sérieux.

Deux d’entre vous ont mentionné que nous ne sommes pas à la hauteur ou que nous sommes à la traîne par rapport à nos alliés du Groupe des cinq. Quel sera l’impact? Croyez-vous qu’ils en arriveront à ne plus partager d’information avec nous si ce projet de loi n’est pas adopté, dans un premier temps? Mr. Warnell: I’ll share a point of view on that, senator, without any insider knowledge or perspective. I would argue that when one party in a group is not pulling its weight, they usually get left behind.

I would expect that a similar behaviour or outcome could be facing Canada if we do not create the right tool and capabilities in our national law to be able to stay at least aligned with our most important allies. M. Warnell : Je vais vous faire part de mon point de vue à ce sujet, monsieur le sénateur, sans aucune connaissance ou perspective d’initié. Je dirais que, lorsqu’une

partie d’un groupe ne fait pas sa part, elle est généralement laissée pour compte. Je crois qu’un comportement ou un résultat similaires attendent le Canada si nous ne créons pas les outils et les capacités adéquates dans notre législation nationale afin de rester au moins en phase avec nos alliés les plus importants. Ideally, I’d like to see us leading the pack. We have amazing capabilities, leaders and technologists in the organizations that do this on a day-to-day basis on behalf of the Government of Canada. We need to be able to help them do their best, not only in Canada but for nations around the world.

Idéalement, j’aimerais nous voir en tête du peloton. Nous disposons de capacités, de dirigeants ou de technologues extraordinaires, dans les organisations qui travaillent au quotidien pour le gouvernement du Canada. Nous devons être en mesure de les aider à donner le meilleur d’eux-mêmes, non seulement au Canada, mais aussi dans les pays du monde entier. Mr. Shipley: I think we don’t necessarily risk the intelligence side, although I don’t have specific expertise on that.

My greatest thing is if you’re the weakest kid in the group and someone wants to send a message, you’re the kid that’s going to get the beating. This is the risk that we run in terms of the schoolyard that are global affairs now and is going to be really brutal. I don’t want to be that. M. Shipley : Je crois que nous ne mettons pas nécessairement en péril l’aspect du renseignement, mais je n’ai pas d’expertise spécifique en la matière. Ce qui m’importe le plus, c’est que, si vous êtes l’enfant le plus faible du groupe et que quelqu’un veut faire passer un message, c’est vous qui allez prendre les coups.

C’est le risque que nous courons dans la cour d’école que sont aujourd’hui les affaires mondiales, et ce risque sera vraiment brutal. Je ne veux pas vivre cela. If you want to see what it looks like to be the squeaky toy of the Russians, look at what they did to Ukraine before they invaded. They crippled their power grid twice to 200,000 people in the winter to send a message. We’re next if we don’t get serious. Si vous voulez savoir à quoi cela ressemble d’être le jouet des Russes, regardez ce qu’ils ont fait à l’Ukraine avant de l’envahir.

Ils ont paralysé deux fois le réseau électrique de 200 000 personnes, pendant l’hiver, afin de faire passer un message. Si nous n’agissons pas, nous serons les prochains. Senator Dasko: Thank you, witnesses. I have a follow-up on your comments, Mr. Shipley, about the lack of political will. Would you say that the fact that there is a bill indicates that there is political will? La sénatrice Dasko : Merci à tous les témoins. J’aimerais revenir sur ce que vous avez dit à propos de l’absence de volonté politique, monsieur Shipley.

Diriez-vous que le fait qu’il y a un projet de loi indique qu’il y a volonté politique? Mr. Shipley: No. I will raise the point raised by a senator earlier about the time it takes a bill to get there. You saw political will with Bill C-70 on foreign interference. You saw the speed at which we finally oriented to the threat that we were taking seriously. M. Shipley : Non. Je mentionnerai le point soulevé par une sénatrice, tout à l’heure, concernant le temps qu’il faut pour qu’un projet de loi soit déposé. La volonté politique s’est manifestée avec le projet de loi C-70 sur l’ingérence étrangère.

Vous avez vu à quelle vitesse nous nous sommes finalement intéressés à la menace, que nous prenions au sérieux. This bill is here through probably a lot of blood, sweat and tears from the people working behind the scenes to protect this country. It’s here in spite of a largely political will, I feel, at this point. I would love to be wrong. Ce projet de loi est le fruit du sang, de la sueur et des larmes de ceux qui travaillent en coulisses pour protéger notre pays. Ce projet de loi est là en dépit d’une volonté essentiellement politique, me semble-t-il, à cette étape.

J’aimerais avoir tort. 65:20 National Security, Defence and Veterans Affairs 18-11-2024

Senator Dasko: You spoke about the regulatory framework that’s behind this and that lays down the road. Of course, with some bills, a lot of the regulatory work has already been done. La sénatrice Dasko : Vous avez parlé du cadre réglementaire qui sous-tend ce projet de loi et qui définit la voie à suivre. Bien entendu, pour certains projets de loi, une grande

partie du travail réglementaire a déjà été effectuée. What is your perception of how much of that work is done? It may be the case that as soon as the bill it passed, the regulatory framework could be close behind, if I can put it that way. That is the case in some situations. In other situations, there is a lot of work left to be done. What is your sense of the work that’s been done? Quelle est votre perception de l’ampleur de ce travail? Il est possible que, dès que le projet de loi sera adopté, le cadre réglementaire arrivera, si je peux le dire ainsi. C’est parfois le cas.

D’autres fois, il reste beaucoup de travail à faire. Quelle est votre opinion sur le travail qui a été accompli? Mr. Shipley: From the conversations I have had with officials and others, I think our best-case scenario is within a year of Royal Assent that the regulation process could be done. I don’t think it will be any faster than that. That means we have at least another year after the law passes before the regulations are finalized, and then whatever coming into force period may come in. We’re still talking about two years from now, when there might be some accountability and additional tools to protect us.

That is why my sense of urgency is so high, notwithstanding the flaws in the bill. We are still a year or two away from this actually meaning anything. That’s where my perspective is on the time frame. M. Shipley : D’après les conversations que j’ai eues avec des responsables et d’autres personnes, je crois que, dans le meilleur des cas, le processus de réglementation pourrait être achevé dans l’année qui suit la sanction royale. Je ne crois pas que cela aille plus rapidement.

Cela veut dire qu’il nous reste encore au moins un an, après l’adoption de la loi, avant que le règlement soit prêt, et qu’ensuite la période d’entrée en vigueur, quelle qu’elle soit, commence. Ce sera toujours de deux ans à partir de maintenant, quand il pourrait y avoir une certaine responsabilité ou des outils supplémentaires pour nous protéger. Voilà pourquoi je ressens une telle urgence, nonobstant les lacunes du projet de loi. Il faudra encore un an ou deux pour que cela signifie quelque chose. Voilà mon point de vue en ce qui concerne l’échéancier. Senator Dasko: Mr.

Warnell, Bruce Power obviously has very sophisticated systems already. Is this bill going to do anything or change anything that your company is doing? La sénatrice Dasko : Monsieur Warnell, Bruce Power dispose déjà, de toute évidence, de systèmes très sophistiqués. Ce projet de loi fera-t-il quelque chose ou changera-t-il quoi que ce soit à ce que fait votre entreprise? Mr. Warnell: In respect to this bill, I think the nuclear industry in Canada is an indication of what “good” could look like.

In fact, we’ve already been working for the better part of two decades hand-in-hand with our regulator, the Canadian Nuclear Safety Commission, with nuclear operators, with the nuclear supply chain partners, and with academics both internationally and within Canada to develop performance-based standards. We’re fortunate that we are out-of-the-gate early, and we want to be there because it’s the right thing to do and it’s the safe thing to do. M. Warnell : En ce qui concerne le projet de loi, je crois que l’industrie nucléaire au Canada est une indication de ce à quoi « bon » pourrait ressembler.

D’ailleurs, nous travaillons déjà depuis près de 20 ans, en collaboration avec notre organisme de réglementation, la Commission canadienne de sûreté nucléaire, avec des exploitants nucléaires, des partenaires de la chaîne d’approvisionnement nucléaire et avec des chercheurs, tant au niveau international qu’au Canada, pour élaborer des normes axées sur le rendement. Nous avons la chance d’avoir commencé tôt, et nous voulons être là, car c’est la chose bonne et prudente à faire. This bill will have an impact on all industries.

However, I think we are at a state of higher maturity to the ones that would be impacted the least from a degree of change. But we welcome the other industries that are both directly affected by this bill and those that we want to be effect through influence through the other critical infrastructure sectors to learn from what we’ve done, why we did it that way and why we believe it’s an effective way to work forward on a safer Canada. Ce projet de loi aura des répercussions sur toutes les industries.

Cependant, je crois que nous avons atteint un niveau de maturité plus élevé que les industries qui seraient le moins affectées par un certain changement. Nous invitons les autres industries, celles directement touchées par ce projet de loi et celles que nous voulons influencer par le truchement des autres secteurs d’infrastructure critiques, à apprendre de ce que nous avons fait et des raisons pour lesquelles nous l’avons fait de cette manière et croyons que c’est une manière efficace de travailler vers un Canada plus sûr. Senator Dasko: Basically your work is almost entirely done already.

La sénatrice Dasko : En gros, vous avez déjà fait presque tout le travail que vous vouliez faire. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:21

Mr. Warnell: I wish I could say that. The job we do is never done because the landscape and the threat is always changing. M. Warnell : J’aimerais pouvoir dire cela. Le travail que nous faisons n’est jamais réellement terminé, car le contexte et la menace changent toujours. Going back to one of the questions from a senator earlier, one of the primary critiques of this bill in its early stages is that it’s very broad and wide. That is purposeful.

I would expect the intention is not to trample civil liberties but to be quick to respond to a very fast-changing landscape and the threat dynamics that are changing hourly, daily and constantly. I have trust in Canadians at all levels of government, regulators, et cetera, to drive the right outcomes, and the broadness of the bill is actually the purpose to be able to respond. If you tried to regulate and legislate every scenario, every moment, we’ll be talking about cybersecurity on Commodore 64s in 2032. It will take that long to get through the legislative process.

The broadness is an important facet of enabling us to be a safer Canada. Pour revenir à l’une des questions posées par un sénateur, tout à l’heure, une des critiques principales formulées à l’encontre de ce projet de loi dans les premières étapes est qu’il est très large. C’est voulu. Je pense que l’intention n’est pas d’empiéter sur les libertés civiles, mais de pouvoir répondre rapidement dans un environnement qui évolue très rapidement et face à la dynamique des menaces qui change toutes les heures, tous les jours et constamment.

Je fais confiance aux Canadiens de tous les ordres du gouvernement, organismes de réglementation, et cetera, pour obtenir les bons résultats, et la portée de ce projet de loi est en fait la portée voulue pour pouvoir réagir. Si vous essayez de réglementer et de légiférer chaque scénario, chaque moment, nous parlerons de la cybersécurité des Commodore 64 en 2032. Il faudra tout ce temps pour que le processus législatif aboutisse. L’ampleur de ce projet de loi est un aspect important, pour être un Canada plus sûr. Senator Ross: Mr. Shipley, you used the term “bare minimum” in your testimony. Mr.

Warnell, you used the words “first steps.” Could each of you suggest additional safeguards that could or should have been included in Bill C-26? What would they be? La sénatrice Ross : Monsieur Shipley, dans votre témoignage, vous avez utilisé le terme « strict minimum ». Monsieur Warnell, vous avez parlé de « premières étapes ». Pourriez-vous tous les deux proposer des mesures de protection supplémentaires qui pourraient ou auraient dû être incluses dans le projet de loi C-26? Quelles seraient-elles? Mr.

Warnell: I’m happy to reiterate what I said in my opening comment about embracing and driving performance- based standards and not prescriptive standards. It’s easy for someone to say that your should have a firewall in the regulations. If a firewall is no longer relevant two years from now, having that in the regulations because the law told us to do so is ineffective. Moving to performance-based, the organizations will take action to defend against this type of threat or that type of capability, and that will be changing over time.

I would highly recommend that the language lean towards performance-based standards as it would serve Canadians well. M. Warnell : Je suis heureux de répéter ce que j’ai dit dans mon commentaire d’ouverture sur le fait d’adopter et d’encourager des normes axées sur la performance et non pas des normes prescriptives. Il est facile de dire qu’il devrait y avoir une barrière de sécurité dans le règlement. Si cette barrière n’est plus pertinente deux ans plus tard, le fait qu’elle soit inscrite dans le règlement parce que la loi nous a dit de le faire est inefficace.

En adoptant des normes axées sur la performance, les organisations prendront des mesures pour se défendre contre ce type de menace et ce type de capacité, qui changeront au fil du temps. Je recommande fortement que le libellé soit axé davantage sur les normes fondées sur la performance, car cela serait utile aux Canadiens. Senator Ross: Thank you. La sénatrice Ross : Merci. Mr. Shipley: In terms of additional safeguards, I think Mr. Warnell said it very well. The breadth of this legislation enables the kind of flexible thinking we need to have. I wouldn’t add anything else to this bill. M.

Shipley : Pour ce qui est des mesures de protection supplémentaires, je pense que M. Warnell l’a très bien exprimé. La portée de cette loi permet le type de réflexion souple que nous devons avoir. Je n’ajouterais rien d’autre au projet de loi. I would like to have narrowed the scope of individual accountability. I’m not in favour, in general, of piercing the corporate veil. We started down this road with the Canadian anti- spam legislation because there were known bad actors using corporate structures.

I understand having the stick to drive compliance, but I don’t necessarily believe it was warranted in this case or that it absolutely should be directed at people who J’aurais aimé que l’on réduise la portée de la responsabilité individuelle. En général, je ne suis pas en faveur de lever le voile sur les sociétés. Nous nous sommes engagés dans cette voie avec la

Loi canadienne anti-pourriel, car nous savions que des mauvais acteurs utilisaient des structures organisationnelles. Je comprends que l’on veuille utiliser le bâton pour favoriser la conformité, mais je ne crois pas nécessairement que ce soit 65:22 National Security, Defence and Veterans Affairs 18-11-2024

are not directors of a company. I’m willing to let that one go and get dealt with in the future. justifié dans ce cas-ci ou que l’on doive absolument l’utiliser sur les personnes qui ne sont pas des administrateurs d’une entreprise. Je suis prêt à abandonner cet élément et à veiller à ce qu’on s’en occupe dans l’avenir. I still think it’s profoundly unfair to small Canadian telecommunications carriers that through no fault of their own are told they have to get rid of their gear and they’re stuck with the bill. I think there could have perhaps been a means-based approach or a fairness piece to that.

But again, in the urgency — and I hear the senators’ frustration — six years, which is ridiculous, to get this done, but now we’re in a bad neighbourhood globally and we’d better get moving. Je pense toujours que c’est très injuste pour les petites entreprises canadiennes de télécommunications qui, sans que ce soit leur faute, se font dire qu’elles doivent se débarrasser de leur équipement et se retrouvent avec la facture. Je pense que l’on aurait dû adopter une approche axée sur les moyens ou faire preuve d’équité à cet égard.

Mais encore une fois, dans l’urgence — et j’entends la frustration des sénateurs — six ans, ce qui est ridicule, pour faire avancer ce dossier... mais nous nous trouvons maintenant dans un mauvais voisinage à l’échelle mondiale et ferions mieux d’avancer. Senator Ross: Telecom companies here in Canada outsource a lot of their operations. It enables them to reduce some costs, but it also costs jobs in Canada. Can you speak to how this might threaten privacy protection, weaken telecommunications services or open ourselves up to cyber-threat?

La sénatrice Ross : Les entreprises de télécommunications au Canada confient en sous-traitance beaucoup de leurs activités. Cela leur permet de réduire certains coûts, mais cela coûte aussi des emplois au Canada. Pouvez-vous nous dire comment cette pratique pourrait menacer la protection de la vie privée, affaiblir les services de télécommunications ou nous exposer à des cybermenaces? Ms. Polsky: When your information is being accessed by someone in some other country and you have no recourse and no way of knowing even where it’s being accessed, there are no controls.

I appreciate it’s to reduce costs, but at what cost? In this case, personal information. If that information is misappropriated and used for purposes that you really didn’t intend — I was on the phone with my telecommunications carrier a few years ago, and they’re in Singapore, and they said, don’t worry, we have to abide by corporate polities. That was their justification. They knew they were golden because of corporate policies. I know they are frontline people, I don’t expect them to know all of the laws, but they’re using our information somewhere else.

Mme Polsky : Lorsqu’une personne d’un autre pays accède à vos renseignements et que vous n’avez aucune ressource ni aucun moyen de savoir même à quoi elle accède, il n’y a pas de contrôles. Je reconnais que cela vise à réduire les coûts, mais à quel prix? Dans ce cas-ci, il s’agit des renseignements personnels. Si ces renseignements sont détournés et utilisés à des fins que vous n’aviez vraiment pas prévues...

Il y a quelques années, j’étais au téléphone avec mon fournisseur de services de télécommunications, qui se trouve à Singapour, et il a dit, ne vous inquiétez pas, nous devons respecter les politiques d’entreprise. C’était sa justification. Il savait qu’il était protégé à cause des politiques organisationnelles. Je sais que ce sont des gens de première ligne. Je ne m’attends pas à ce qu’ils connaissent toutes les lois, mais ils utilisent nos renseignements ailleurs. When it comes to artificial intelligence and your calls are being recorded for training.

These snippets are going to some other country where they’re paid pennies to examine and help improve the AI. We have no control. When it comes to cybersecurity, that creates risk on an individual and, therefore, a national level. When we’re looking at this piece of legislation that says carriers and others can be told to break encryption, that is a huge risk. Maybe it will be reasonably stated in the regulations as to why, when and under what circumstances encryption can be ordered to be broken.

Perhaps very narrow circumstances can be prescribed, but from what we have seen in recent years, I’m not holding my breath. Pour ce qui est de l’intelligence artificielle et du fait que vos appels soient enregistrés à des fins de formation, ces extraits sont envoyés dans d’autres pays qui reçoivent des sous pour examiner et améliorer l’intelligence artificielle. Nous n’avons aucun contrôle. Pour ce qui est de la cybersécurité, cela crée un risque pour une personne et, ainsi, à l’échelle nationale.

Quand ce texte de loi dit que les transporteurs et d’autres peuvent se faire demander de décrypter des données, c’est un énorme risque. Peut-être que le règlement énoncera raisonnablement pourquoi, quand et dans quelles circonstances on peut exiger le cryptage. Peut-être que l’on peut prescrire des circonstances très limitées, mais d’après ce que nous avons vu au cours des dernières années, je ne retiens pas mon souffle. The Chair: Thank you. We will have a last question. Le président : Merci. Nous aurons une dernière question. 18-11-2024 Sécurité nationale, défense et anciens combattants 65:23

Senator Boehm: Are you giving me the full four minutes? Le sénateur Boehm : M’accordez-vous les quatre minutes complètes? The Chair: If you can keep it short, I would appreciate it. Le président : Si vous pouvez être concis, je vous en serais reconnaissant. Senator Boehm: All right, fine. Thank you. Le sénateur Boehm : Très bien. Merci. Thank you witnesses for being here. My first question is for Ms. Polsky. Je remercie les témoins d’être ici. Ma première question s’adresse à Mme Polsky. You know this very well, but privacy arrangements and regulations vary across various countries