L’utilisation d’un outil de reconnaissance faciale par Clearview AI, Inc. a fait l’objet d’une enquête par les commissaires à la protection de la vie privée de l’Alberta, de la Colombie-Britannique et du Québec et leur homologue fédéral. Dans leur rapport de conclusions publié conjointement, les commissaires à la protection de la vie privée ont conclu que le traitement par Clearview des renseignements personnels des Canadiennes et des Canadiens contrevenait aux lois provinciales et fédérales sur la protection des renseignements personnels dans les secteurs privé, et ont recommandé que Clearview cesse toutes ses activités au Canada et supprime toutes les images et tous les tableaux biométriques sur les Canadiens en sa possession.
Dans le rapport, les commissaires à la protection de la vie privée confirment leur position sur trois points importants qui s’appliqueraient au-delà de l’utilisation de la reconnaissance faciale :
L’outil de reconnaissance faciale de Clearview fonctionne en quatre étapes séquentielles :
Les clients de Clearview comprennent des organismes d’application de la loi, comme la GRC, et d’autres dans diverses administrations. Clearview commercialise son outil comme un service qui permet aux organismes d’application de la loi d’identifier rapidement les personnes d’intérêt. Selon le rapport, Clearview a gratté des milliards d’images et créé des identificateurs biométriques pour des dizaines de millions de Canadiens, y compris des enfants.
D’une seule voix, les commissaires ont publié le rapport en vertu de chacune de leurs lois habilitantes respectives :
Les principales questions examinées dans le rapport étaient les suivantes :
En ce qui concerne la compétence, Clearview a adopté la position selon laquelle les commissaires provinciaux et fédéraux à la protection de la vie privée n’avaient pas compétence sur Clearview parce qu’elle était située à l’extérieur du Canada et ne ciblaient pas les Canadiens, mais recueillaient plutôt des renseignements sans discernement.
Le rapport rejetait l’argument de Clearview, soutenant que Clearview « commercialisait activement ses services auprès d’organisations canadiennes [et] déclarait publiquement que le Canada faisait partie de son marché principal dans des déclarations aux médias et à son propre matériel promotionnel ». Le rapport indiquait également que Clearview fournissait des services à la GRC et à d’autres entités canadiennes d’application de la loi, dans le cadre d’ententes de procès payants et gratuits. Le fait que Clearview « recueille des images sans tenir compte de la géographie n’exclut pas la compétence [du commissaire fédéral à la protection de la vie privée] lorsqu’une grande partie de son contenu provient du Canada ».
En ce qui concerne la compétence provinciale, le rapport indique que « les activités de Clearview relèvent à la fois du [commissaire fédéral » et de celles des provinces » pour les raisons suivantes :
Clearview a reconnu qu’elle n’a fait aucune tentative pour obtenir le consentement exprès des personnes concernées et a plutôt soutenu qu’il n’y a aucune obligation d’obtenir le consentement pour utiliser les renseignements personnels qui sont disponibles sur Internet puisqu’il ne pouvait y avoir d’attente raisonnable en matière de vie privée. Au contraire, le rapport a soutenu que les images téléchargées sur les médias sociaux ne sont pas des « publications » de la même manière que les images d’un magazine pourraient l’être, et ne sont donc pas assujetties aux mêmes exceptions pour l’exigence de consentement. En outre, le rapport a noté que ces images ne sont pas nécessairement téléchargées avec le consentement de toutes les personnes photographiées, et ne seraient pas téléchargées dans l’espoir que ces images seraient utilisées pour la surveillance de masse.
En différenciant les sites Web de médias sociaux des autres « publications », le rapport a noté que :
De plus, les sources désignées par les lois sur la protection de la vie privée de ce qui est considéré comme « accessible au public » n’incluaient pas les sites Web de médias sociaux.
Clearview a soutenu que son objectif était approprié « [d]ans les avantages potentiels importants des services de Clearview pour l’application de la loi et la sécurité nationale ». Le rapport a rejeté cet argument, soutenant plutôt que « [d]ans que certains des renseignements recueillis aient finalement été utilisés pour l’application de la loi, le véritable objectif de Clearview pour la collecte est une entreprise commerciale à but lucratif et non l’application de la loi ». De plus, le rapport indiquait que « Clearview ne reconnaît pas: (i) la myriade de cas où des correspondances fausses ou mal appliquées pourraient entraîner une atteinte à la réputation des individus, et (ii) plus fondamentalement, l’affront au droit à la vie privée des individus et le préjudice généralisé infligé à tous les membres de la société, qui se retrouvent sous surveillance de masse continue par Clearview en raison de son grattage et de son traitement aveugles de leurs images faciales ».
Le rapport recommande que Clearview cesse d’offrir les services de reconnaissance faciale au Canada, cesse la collecte, l’utilisation et la divulgation des images et des tableaux biométriques du visage recueillis auprès de personnes au Canada, et supprime les images et les réseaux faciaux biométriques recueillis auprès de personnes au Canada. Le rapport indique que Clearview a refusé d’accepter les conclusions et les recommandations, et indique que les commissaires à la protection de la vie privée « prendront d’autres mesures à notre disposition en vertu de nos lois respectives pour rendre Clearview conforme aux lois fédérales et provinciales sur la protection de la vie privée applicables au secteur privé ».
Le rapport a soulevé d’autres préoccupations que les commissaires jugeaient pertinentes, mais sur lesquelles ils ne se prononcent pas spécifiquement :
Le rapport indiquait qu’une partie de la raison pour laquelle il a publié ses conclusions était de « s’assurer que d’autres organisations bénéficieront de nos conclusions lorsqu’elles envisagent des initiatives qui pourraient partager certaines similitudes avec les pratiques de Clearview ». En d’autres termes, le rapport s’auto-identifie comme un coup de semonce.
Ce rapport devrait être pris en considération en plus du récent rapport du commissaire fédéral à la protection de la vie privée concernant l’utilisation de la technologie de reconnaissance faciale par Cadillac Fairview (voir
Les organisations qui recueillent, utilisent ou communiquent des renseignements biométriques, ou qui recueillent, utilisent ou communiquent des renseignements provenant de sources en ligne disparates, devraient tenir compte de la position nouvellement enhardie des commissaires à la protection de la vie privée à l’égard de leur engagement à amener les organisations à se conformer aux lois canadiennes sur la protection de la vie privée.
Bennett Jones serait heureux de vous aider à naviguer dans le cadre complexe de la législation canadienne sur la protection de la vie privée. Si vous souhaitez en savoir plus, nous vous invitons à contacter les auteurs de cet article ou d’autres membres de notre groupe Privacy & Data Protection.