Clearview AI sommée de suivre les recommandations d’organismes de réglementation provinciaux sur la protection de la vie privée

Clearview AI sommée de suivre les recommandations d’organismes de réglementation provinciaux sur la protection de la vie privée

L’entreprise Clearview AI (« Clearview ») a mis fin à ses services de reconnaissance faciale au Canada à la suite d’une enquête menée par des organismes de réglementation de la protection de la vie privée en 2020, mais elle n’a pas cessé de recueillir les portraits de Canadiens et Canadiennes ni supprimé les portraits déjà recueillis. Les organismes de réglementation provinciaux du pays ont donc rendu des ordonnances exécutoires à l’intention de Clearview pour la contraindre à le faire.

Contexte

En février 2020, le Commissariat à la protection de la vie privée du Canada (le « CPVP ») et les organismes de réglementation de la protection de la vie privée de la Colombie-Britannique, de l’Alberta et du Québec (collectivement, les « Commissaires ») ont entamé une enquête conjointe sur l’entreprise de technologie américaine Clearview.

Cette dernière avait créé un logiciel servant à recueillir des portraits sur Internet (notamment sur les pages publiques de médias sociaux) et à les analyser pour en tirer des données biométriques qui seraient compilées dans sa base de données. Clearview avait ensuite mis sur le marché un outil de recherche grâce auquel on pouvait utiliser le portait d’une personne pour trouver, dans cette base de données, d’autres images de la même personne tirées du Web. Cet outil avait été vendu aux forces de l’ordre ainsi qu’à des entités du secteur privé.

En février 2021, les Commissaires ont publié un rapport (le « Rapport ») selon lequel Clearview avait enfreint les lois fédérales et provinciales sur la protection de la vie privée en recueillant sur le Web des portraits de personnes au Canada à leur insu et sans leur consentement. Pour en savoir plus sur le Rapport, cliquez ici.

On y trouve notamment des recommandations non exécutoires incitant Clearview à :

1. interrompre ses services de reconnaissance faciale au Canada;
2. cesser de recueillir, d’utiliser et de communiquer les portraits et données biométriques de Canadiens et Canadiennes;
3. supprimer les portraits et données biométriques faciales recueillies sur des Canadiens et Canadiennes

(collectivement, les « Recommandations »).

Les ordonnances

Clearview a informé les Commissaires qu’elle s’était conformée à la première recommandation en juillet 2020. En décembre 2021 toutefois, elle n’avait pas encore supprimé les portraits et données biométriques de la population canadienne ni cessé de les utiliser.

Par conséquent, les Commissaires (à l’exception du CPVP) lui ordonnent maintenant de se conformer aux Recommandations en ce qui touche la Colombie-Britannique, l’Alberta et le Québec[1].

Le Commissariat à l’information et à la protection de la vie privée de l’Alberta lui a imposé une échéance : l’entreprise doit déclarer les mesures prises de bonne foi pour mettre en œuvre ces recommandations dans les 50 jours suivant l’ordonnance[2]. De même, la Commission d’accès à l’information du Québec lui a ordonné de détruire tous les portraits et identifiants biométriques recueillis sans consentement dans les 90 jours suivant l’ordonnance[3].

Clearview peut demander une révision judiciaire, c’est-à-dire en appeler aux tribunaux provinciaux compétents pour faire réviser ou révoquer l’ordonnance, mais si elle ne gagne pas sa cause, elle pourrait subir des sanctions pécuniaires pour sa non-conformité.

Les répercussions

Les ordonnances font ressortir le rôle actif que les Commissaires sont prêts à jouer pour assurer le suivi des rapports et des enquêtes. D’ailleurs, ce rôle est susceptible de grandir si les Commissaires se voient accorder de plus amples mécanismes d’exécution grâce aux changements législatifs proposés.

Le CPVP a aussi profité de l’annonce pour souligner les lacunes des lois fédérales sur la protection de la vie privée, comme le fait que, puisqu’il ne possède pas encore le pouvoir de rendre des ordonnances aux termes de la Loi sur la protection des renseignements personnels et les documents électroniques (la « LPRPDE »), il doit transmettre toute preuve d’infraction au procureur général du Canada, chargé des poursuites. Résultat : la population des provinces autres que la Colombie-Britannique, l’Alberta et le Québec n’est pas protégée par les ordonnances des organismes provinciaux rendues contre Clearview. Le CPVP réclame donc certaines modifications pour renforcer les mécanismes d’exécution de la LPRPDE, notamment le pouvoir de rendre des ordonnances et d’imposer des sanctions pécuniaires. Il ajoute que des recommandations similaires ont été proposées en Colombie-Britannique (voir ici) et en Ontario (voir ici), et adoptées au Québec (voir ici).

Enfin, l’enquête sur les services de Clearview AI, ainsi que les recommandations et ordonnances qui en découlent, font ressortir l’importance d’évaluer les répercussions des nouveaux produits, services et initiatives du point de vue des lois sur la protection de la vie privée tôt dans le processus d’élaboration, avant leur entrée sur le marché. Si la conception et la mise en œuvre d’un produit s’avèrent non conformes à l’ensemble de lois disparates sur la protection de la vie privée au Canada, cela peut entraîner l’intervention des organismes de réglementation et même engager la responsabilité civile de la société, sans compter les coûts de la reconception ou de l’abandon du produit.

Si vous avez des questions sur ces ordonnances, la collecte de renseignements apparemment « publics », le traitement de données biométriques ou les lois canadiennes sur la protection de la vie privée en général, un membre du groupe Protection de la vie privée et des données se fera un plaisir de vous aider.

[1]Commissariat à la protection de la vie privée du Canada. Communiqué de presse. Clearview AI se voit ordonner de se conformer aux recommandations l’enjoignant de cesser de recueillir et de communiquer des images(14 décembre 2021), en ligne : Commissariat à la protection de la vie privée du Canada.
[2]Commissariat à l’information et à protection de la vie privée de l’Alberta. Communiqué de presse. Announcement: Clearview AI Ordered to Comply with Alberta’s Privacy Law(14 décembre 2021), en ligne : Commissariat à l’information et à la protection de la vie privée de l’Alberta.
[3]Commission d’accès à l’information du Québec. Communiqué de presse. La Commission ordonne à Clearview AI de cesser ses pratiques de reconnaissance faciale non conformes(14 décembre 2021), en ligne : Newswire.

par Robbie Grant, Kristen Pennington, Julia Loney et Kristen Shaw (stagiaire en droit)

Mise en garde

Le contenu du présent document ne fournit qu’un aperçu du sujet et ne saurait en aucun cas être interprété comme des conseils juridiques. Le lecteur ne doit pas se fonder uniquement sur ce document pour prendre une décision, mais devrait plutôt obtenir des conseils juridiques précis.

© McMillan S.E.N.C.R.L., s.r.l. 2022