Vincent Gautrais

Julie Maronani est étudiante dans le cadre du cours DRT6929E (Vie privée + numérique).

Lorsque des individus publient volontairement des clichés sur les réseaux sociaux qui sont accessibles à tous, quelles peuvent être leurs expectatives de vie privée? Un jugement de la Cour suprême de la Colombie-Britannique a récemment réaffirmé le caractère répréhensible du moissonnage de telles images par une entreprise, dans la décision Clearview AI Inc. v. Information and Privacy Commissioner for British Columbia. Cette décision marque une nouvelle étape dans un affrontement qui oppose depuis cinq ans les autorités canadiennes à la compagnie américaine Clearview AI. Le jugement jette aussi un éclairage sur la portée territoriale des lois provinciales en matière de protection des renseignements personnels.

Contexte : Clearview AI réprimandée par les autorités canadiennes

Ce litige découle d’enquêtes touchant les pratiques de l’entreprise Clearview AI (« Clearview »), dont le modèle d’affaires repose sur le moissonnage de photos et de métadonnées accessibles au public en ligne (webscraping). Ayant récolté mondialement des milliards d’images sur le Web (y compris dans les médias sociaux), Clearview a développé à partir de celles-ci un vaste inventaire de matrices faciales biométriques. Elle commercialise l’accès à ces données en permettant aux tiers de téléverser une photo et de l’apparier aux renseignements en sa possession. Au Canada, des services policiers et des firmes de sécurité utilisaient cet outil dans le cadre d’investigations.

À la suite de reportages dans les médias au début de l’année 2020, les pratiques de Clearview ont fait l’objet d’une enquête conjointe du Commissariat à la protection de la vie privée du Canada, de la Commission d’accès à l’information du Québec (CAI), du Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique et du Commissariat à l’information et à la protection de la vie privée de l’Alberta. Si Clearview a suspendu la vente de ses services au Canada pendant l’enquête, elle poursuivait le moissonnage des données, ce qui pouvait inclure des photos de Canadiens.

Les conclusions de l’enquête conjointe rendues publiques en février 2021 ont révélé que Clearview s’adonnait à de l’identification et de la surveillance continue de masse de personnes. Affirmant leur compétence sur les activités de l’entreprise, les autorités impliquées ont statué ce qui suit :

• Clearview recueille des renseignements biométriques sensibles à l’insu et sans le consentement explicite des individus – et en apparente violation des conditions des sites Web où elle puise les images. Même si ces dernières sont publiques, ceci ne permet pas à Clearview de bénéficier des exceptions prévues dans les lois applicables.
• Les fins de la collecte sont inacceptables et ne pourraient se justifier par l’obtention d’un consentement. Les images sont employées pour des raisons qui n’ont aucun lien avec les motifs de leur publication initiale et possiblement au détriment des personnes concernées.

En somme, le ratissage de masse d’images et leur utilisation par Clearview étaient contraires aux lois. Au Québec, Clearview avait de plus fait défaut d’aviser la CAI de sa création d’une banque de caractéristiques biométriques, conformément à la Loi concernant le cadre juridique des technologies de l’information.

Clearview a formellement rejeté les conclusions de cette enquête et refusé de se plier aux recommandations effectuées à son endroit, soit cesser le moissonnage au Canada et supprimer les renseignements concernant des Canadiens. En Colombie-Britannique (comme au Québec et en Alberta), l’opposition de Clearview a mené à l’émission d’une ordonnance par le Commissariat à l’information et à la protection de la vie privée de la province (le « Commissariat »), enjoignant à l’entreprise américaine d’obtempérer. Clearview a demandé une révision judiciaire de cette ordonnance à la Cour suprême de la Colombie-Britannique, laquelle a rendu sa décision le 18 décembre dernier.

Les motifs de la décision

Après avoir traité sommairement de questions préliminaires et du standard de révision qui s’applique, la Cour suprême de la Colombie-Britannique (la « Cour ») aborde trois grands thèmes dans ses motifs.

1. L’applicabilité de la loi à Clearview AI

Clearview prétendait que le Personal Information and Privacy Act de la Colombie-Britannique ne s’applique pas, car elle ne fait plus affaire au Canada. Selon elle, aucun « lien réel et substantiel » n’existait entre ses activités et le Canada. Or la Cour n’a pas adopté ce point de vue. Clearview avait fourni des services à des entités de la province et sa décision volontaire de les suspendre ne pouvait avoir d’impact sur la compétence du Commissariat. À tout évènement, la Cour a statué que la collecte de renseignements de Britannocolombiens à elle seule était suffisante pour établir un « lien réel et substantiel » :

« [90] The […] authorities support the proposition that the Unifund test can be                                 met merely by collecting data from individuals in British Columbia through the                                Internet.

[91] I agree with the Commissioner that it is too narrow of an analysis to simply look at whether Clearview has any employees, offices, or servers in British Columbia. As with Google, an essential part of Clearview’s business is to collect data from websites like Facebook, YouTube, and Instagram. The ubiquitous presence of these websites leads to the logical inference that they undoubtedly have hundreds of thousands, if not millions, of users in British Columbia.

[92] Even if it were incorrect to conclude that Clearview does business in British Columbia by marketing and providing its services to entities in the province, there is still sufficient basis to find a real and substantial connection. The fact remains that Clearview collects, uses, and discloses personal information of individuals in British Columbia, which it gathers from the internet. »

En toile de fond, la Cour rappelle la nature transnationale des enjeux, le statut « quasi constitutionnel » de la législation en matière de vie privée et son importance grandissante au fil de l’évolution des technologies. Selon la Cour, la singularité du cyberespace (versus les lieux physiques) mène à une appréciation distincte du critère du « lien réel et substantiel ». On peut considérer l’emplacement géographique des bureaux d’une entreprise, mais pas uniquement; les lieux des utilisateurs, des serveurs et d’intermédiaires constituent des exemples d’autres éléments à tenir en compte. En l’espèce, le tribunal a tranché que le lieu des établissements de Clearview n’était pas déterminant. Il a également conclu que l’assujettissement de Clearview au Personal Information and Privacy Act était juste et respectueux des principes de l’ordre et de l’équité.

2. L’interprétation d’« accessible au public » et de « fins acceptables »

La Cour effectue ensuite une révision judiciaire de la décision rendue par le Commissariat sur deux notions précises, soit celles d’« accessible au public » et de « fins acceptables ».

D’abord, concernant le cas où aucun consentement n’est requis car un renseignement est « accessible au public », la Cour confirme que l’interprétation du Commissariat était raisonnable. Selon ce dernier, les renseignements issus des réseaux sociaux ne rentrent pas dans l’exception prévue à l’article 6 (1) d) des règlements, bien qu’elle traite de « publication imprimée ou électronique accessible au public ». Si la Cour a reconnu que le Commissariat avait adopté une interprétation restrictive de l’exception, elle a estimé que cette approche était adéquatement justifiée (par exemple, par les références à des enquêtes antérieures, aux objectifs législatifs ou aux particularités des médias sociaux).

Examinant dans un deuxième temps si les renseignements sont recueillis à des « fins acceptables », la Cour a aussi considéré ici que l’analyse du Commissariat était raisonnable. Autrement dit, les fins de la collecte ne sont pas appropriées et un risque de préjudice important existe (par exemple, identification erronée de personnes, bris ou fuite de données, etc.). Clearview s’était opposée à ce qu’on caractérise ses services comme une simple « opération commerciale à but lucratif », mais ce constat d’ordre factuel du Commissariat ne pouvait être revisité au stade de la révision judiciaire. De façon générale, les conclusions du Commissariat étaient suffisamment intelligibles et motivées.

3. Le caractère nécessaire, exécutoire et la portée de l’ordonnance du Commissaire

Dans un ultime argumentaire, Clearview prétendait que l’ordonnance du Commissariat n’était pas nécessaire, puisqu’elle ne faisait plus affaire au Canada. Elle soulevait la difficulté de mettre en œuvre les mesures exigées en raison de leur caractère flou (par exemple, on enjoignait à Clearview de fournir ses « meilleurs efforts » (best efforts) pour remédier aux pratiques problématiques). Clearview affirmait être incapable d’identifier les renseignements touchant les Britannocolombiens. La portée de l’ordonnance était en outre trop vaste, car elle visait tout « individu » en Colombie-Britannique, alors que le Personal Information and Privacy Act intéresserait plutôt ses résidents uniquement.

La Cour a rejeté en bloc les positions de Clearview :

• Le Commissaire devait émettre une ordonnance, car Clearview n’excluait pas offrir à nouveau ses services au Canada et sa collecte de données sur les Canadiens n’avait jamais cessé. Le refus continu de Clearview d’accepter les conclusions et recommandations à son égard militait aussi en faveur d’une telle mesure.
• Comme Clearview avait divulgué lors de procédures judiciaires en Illinois qu’elle était capable de limiter la cueillette et l’utilisation de renseignements issus d’un territoire précis, ceci devait aussi être faisable en Colombie-Britannique. Qu’on demande à une partie de fournir ses « meilleurs efforts » n’était pas en outre inhabituel, comme ceci offre plus de souplesse pour gérer de possibles variables.
• Toute difficulté d’associer des renseignements au territoire de la Colombie-Britannique découle uniquement des agissements de Clearview. Ceci ne constitue donc pas un motif adéquat pour attaquer le caractère exécutoire de l’ordonnance.
• À défaut de langage clair cantonnant l’application du Personal Information and Privacy Act aux résidents, la loi peut s’appliquer à un visiteur de passage en Colombie-Britannique. L’objectif de la loi est de règlementer la conduite des entités qui recueillent des renseignements, et non les renseignements eux-mêmes ni les individus auxquels ils appartiennent.

En bref, la Cour suprême de la Colombie-Britannique a rejeté la demande de révision de Clearview et confirmé l’ordonnance du Commissariat.

Quoi retenir

Comme certains spécialistes l’ont exprimé, Clearview AI Inc. v. Information and Privacy Commissioner for British Columbia s’inscrit dans un courant voulant que les lois canadiennes en matière de protection de la vie privée s’appliquent à des entités situées hors du pays et bénéficient d’une certaine dimension extraterritoriale. Bien que le jugement ne lie pas les tribunaux d’autres provinces, il se fonde sur des décisions de la Cour suprême du Canada comme Unifund Assurance Co. v. Insurance Corp. of British Columbia ou Sharp v. Autorité des marchés financiers. Les principes qui y sont énoncés restent d’intérêt aux fins des révisions judiciaires semblables en cours en Alberta et au Québec. Il sera donc pertinent de suivre les approches qu’adopteront les tribunaux dans ces provinces.

En rendant cette décision, la Cour a appuyé indirectement le rôle et l’importance croissante des autorités en matière de protection de la vie privée au pays. Leur pouvoir coercitif reste néanmoins limité à ce jour malgré une collaboration accrue — hormis la CAI qui se démarque sur ce plan à la suite de récents amendements apportés à la Loi sur le privé.

Au-delà des démarches des commissariats, Clearview fait également l’objet de recours collectifs au Canada. À l’échelle nationale, où le cas intéressait plutôt les manquements au droit d’auteur par Clearview, la Cour fédérale a débouté la partie demanderesse en raison des défis que posait l’identification des membres de la classe. Au Québec, où le recours touche la violation du droit à la vie privée, la Cour supérieure a autorisé l’exercice d’une action collective en octobre dernier.

Assurément, les développements des affaires impliquant Clearview localement et à l’international sont à suivre, car ils influenceront l’encadrement juridique des acteurs qui font du moissonnage de données. Dans un contexte où les frontières semblent de plus en plus illusoires en matière de vie privée, il sera intéressant de voir le sort réservé à Clearview dans divers territoires et les possibles consensus qui émergent quant au cadre applicable et à légalité de ses activités.

Ce contenu a été mis à jour le 3 mars 2025 à 8 h 41 min.