Article

Décision d’intérêt en matière de protection des renseignements personnels : le dossier Clearview AI

Publié le par

Le 14 décembre 2021, la Commission d’accès à l’information (« CAI ») a rendu une décision d’intérêt à la suite d’une enquête en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé1 (« Loi sur le secteur privé »). Cette enquête portait sur la collecte et l’utilisation de renseignements personnels par l’entreprise Clearview AI inc. (« Clearview »), plus précisément l’utilisation par l’entreprise d’images de personnes collectées à partir des réseaux sociaux afin de constituer une base de données biométriques. 

Le dossier Clearview apporte des précisions importantes, notamment quant à l’application de la législation québécoise en matière de protection des renseignements personnels aux entreprises privées. Cet article survole les faits importants de l’affaire Clearview et résume les éléments à retenir de la récente décision de la CAI rendue à la suite de l’enquête. 

Mise en contexte 

Depuis le début de l’année 2020, Clearview a procédé à la collecte de milliards d’images de personnes à partir des médias sociaux, incluant des images de Canadiens et d’enfants, et ce, sans leur consentement exprès2. Ces images ont été utilisées afin de constituer une base de données biométriques. Clearview a, par la suite, vendu l’accès à cette base de données à des corps policiers, dont la Gendarmerie Royale du Canada, et à d’autres organisations pour des fins de recherches et d’enquêtes à l’aide de la technologie de reconnaissance faciale. Les corps policiers pouvaient alors utiliser cette technologie notamment à des fins d’identification de personnes liées à leurs enquêtes. 

Ces pratiques de Clearview ont été remises en question et c’est pourquoi une enquête a été entamée par la CAI du Québec et les Commissariats de protection de la vie privée du Canada, de l’Alberta et de la Colombie-Britannique de manière conjointe afin de déterminer si les pratiques de Clearview respectaient ses obligations légales en matière de protection des renseignements personnels. 

Rapport d’enquête du 3 février 2021 

À la suite de l’enquête conjointe réalisée par les commissariats, un rapport d’enquête est publié le 3 février 20213. Ce rapport conclut à la violation des lois provinciales et fédérales sur la protection des renseignements personnels par Clearview.  

Malgré les conclusions du rapport d’enquête, Clearview ne reconnaît pas que la collecte et l’utilisation des renseignements biométriques nécessitaient l’obtention du consentement des personnes concernées puisque les images étaient accessibles au public sur les réseaux sociaux. Selon Clearview, le fait que les images soient publiées par les personnes concernées elles-mêmes sur Internet leur conféraient automatiquement un caractère public et le consentement de ces personnes n’était donc plus requis afin de collecter leurs images.  

Des préoccupations demeurent donc auprès des commissaires, puisque Clearview semble accorder plus d’importance à ses intérêts commerciaux qu’au droit à la vie privée des personnes concernées à l’occasion de sa collecte de renseignements personnels. D’ailleurs, dans le rapport d’enquête, une recommandation est émise et suggère que l’entreprise cesse d’offrir ses services de reconnaissance faciale au Canada. Clearview accepte cette recommandation. Pour ce qui est des recommandations suggérant de mettre fin à la collecte d’images de Canadiens et de supprimer les données recueillies auprès de Canadiens, Clearview refuse de s’y conformer. 

  • Décision du 14 décembre 2021 

C’est à la suite de l’enquête menée en vertu de la Loi sur le secteur privé que la CAI rend une décision au sujet des pratiques de Clearview le 14 décembre 20214.  

Les arguments principaux de Clearview sont à l’effet que la législation québécoise en matière de protection des renseignements personnels ne s’applique pas à ses activités et que puisque les images sont collectées sur les médias sociaux, elle n’a pas besoin d’obtenir le consentement des personnes concernées.  

Pour sa part, la CAI est d’un autre avis. En effet, elle confirme que Clearview devait respecter la Loi sur le secteur privé. Cela étant dit, la CAI conclut que l’entreprise n’a pas respecté ses obligations et lui ordonne notamment de cesser la collecte et l’utilisation des images et des données biométriques sans le consentement des personnes concernées et de détruire les images et les données biométriques qui ont été recueillies sans consentement dans l’exploitation de son entreprise au Québec5. 

Voici certains éléments clés à retenir de la décision rendue par la CAI dans cette affaire :  

  • La Loi sur le secteur privé continue de s’appliquer à une entreprise privée même si cette dernière n’a plus d’activité au Québec. Elle s’applique dès que l’entreprise recueille, utilise, détient ou communique des renseignements personnels au Québec. Le fait d’arrêter ses activités commerciales au Québec n’équivaut pas à cesser l’utilisation, la détention ou la communication de renseignements personnels recueillis lorsque l’entreprise exerçait encore des activités au Québec6. 
  • La Loi concernant le cadre juridique des technologies de l’information7 (la « LCCJTI ») s’applique aux données biométriques collectées par Clearview, même si le système biométrique est hébergé aux États-Unis8. En effet, l’endroit où les données sont hébergées importe peu, puisque la banque contient des données biométriques de Québécois qui ont été collectées lorsque Clearview exerçait des activités commerciales au Québec. 
  • Le fait que des renseignements personnels soient collectés à partir des réseaux sociaux et qu’ils soient accessibles au public ne fait pas en sorte que le consentement des personnes concernées n’est pas nécessaire. En effet, ce n’est pas parce qu’un renseignement personnel est disponible sur les réseaux sociaux ou ailleurs sur Internet qu’il a automatiquement un caractère public. Clearview devait donc obtenir le consentement exprès des personnes concernées par sa collecte d’images et de données biométriques9.  
  • Une entreprise se doit d’avoir un intérêt sérieux et légitime pour constituer un dossier sur une personne en vertu de la Loi sur le secteur privé. La collecte d’images sur les réseaux sociaux par ratissage du Web (ou Web scraping10) pour constituer une banque de données biométriques dans l’objectif de commercialiser l’accès à cette banque de données n’est pas considérée comme un intérêt sérieux et légitime11. 

Conclusion 

Le dossier Clearview nous permet d’en apprendre davantage sur l’étendue de l’application de la législation québécoise en matière de protection des renseignements personnels aux entreprises privées, même dans la situation où l’entreprise n’exerce plus d’activité au Québec. Il illustre également plusieurs pratiques à ne pas suivre par les entreprises.  

Avec l’état du droit actuel, il est possible de constater que Clearview n’a pas eu de sanction importante pour le non-respect de la législation québécoise applicable à ses activités. La communication du rapport d’enquête ainsi que de la décision de la CAI lui a certainement occasionné de la mauvaise presse, mais l’entreprise s’en sort sans conséquence majeure. Avec l’entrée en vigueur de la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels12 (anciennement projet de loi 64), on peut imaginer que la situation aurait été bien différente pour Clearview. En effet, les entreprises qui ne se conformeront pas à leurs obligations en matière de protection des renseignements personnels pourront se voir imposer des sanctions importantes par la CAI pouvant aller jusqu’à 10 000 000$ ou 2% du chiffre d’affaires mondial de l’entreprise et des amendes en cas de poursuite pénale pouvant aller jusqu’à 25 000 000$ ou 4% du chiffre d’affaires mondial. 

1 Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1. 
2 Vie privée et biométrie : un bon ménage? | Actualités juridiques | Éducaloi (https://educaloi.qc.ca/actualites-juridiques/vie-privee-et-biometrie-un-bon-menage/), consulté le 12 janvier 2022.  
3 Clearview AI – Rapport d’enquête | Commission d’accès à l’information du Québec (https://www.cai.gouv.qc.ca/clearview-ai-diffusion-rapport-denquete/), 3 février 2021, consulté le 12 janvier 2022.  
4 Décision du 14 décembre 2021, CLEARVIEW AI INC., consulté le 13 janvier 2022. 
5 Ibid., page 23.  
6 Ibid., page 12. 
7 RLRQ, c. C-1.1. 
8 Supra, note 4, page 16. 
9 Ibid., page 17 et 18. 
10 Pour en savoir plus sur le Web scraping : Web scraping — Wikipédia (wikipedia.org), consulté le 13 janvier 2022. 
11 Supra, note 4, page 20. 
12 LQ, c. 25.  

Attention : Cette publication ne constitue pas un avis juridique. Il s’agit d’informations d’ordre général dans le but de vous tenir informé sur certains sujets. Nous vous invitons à consulter votre avocat(e) pour toute question d’ordre juridique