La montée fulgurante de l’utilisation de l’intelligence artificielle par toutes sortes d’acteurs nous force à repenser les balises juridiques et autres garde-fous dont nous nous sommes pourvus, en tant que société libre et démocratique, afin de protéger nos droits à la vie privée et à la protection de nos données personnelles. C’est dans ce contexte que s’inscrit la présente décision.
Contexte
Clearview AI Inc. est une entreprise américaine qui a développé un moteur de recherche de reconnaissance faciale. Celui-ci permet de comparer les images de visages fournies par les utilisateurs à une base de données indexée à partir de pages Web, qui collecte notamment les images publiées sur les médias sociaux. Ses principaux clients sont des organismes gouvernementaux ou des services de police qui cherchent à identifier des victimes et des auteurs d’actes criminels. Le logiciel crée des identifiants biométriques propres à chaque visage afin de les indexer sur la plateforme.
Le 14 décembre 2021, la Commission d’accès à l’information (CAI) a rendu sa décision, dans laquelle elle ordonne à Clearview de cesser de constituer des dossiers sur autrui dans le cadre de l’exploitation d’une entreprise au Québec, de cesser de recueillir des images de personnes et de les utiliser pour créer des identifiants, puis de détruire ces images, informations et identifiants. Clearview a porté cette décision en appel devant la Cour du Québec, qui a rendu sa décision le 23 septembre dernier.
Les questions soulevées par le pourvoi
Dans le cadre de son appel devant la Cour du Québec, Clearview soutient d’abord que la Loi sur la protection des renseignements personnels dans le secteur privé (loi sur le secteur privé) et la Loi concernant le cadre juridique des technologies de l’information ne s’appliquent pas à elle. Cependant, si la Cour estime qu’elle est assujettie à celles-ci, elle prétend que les articles 6, 13 et 14 de la loi sur le secteur privé, invoqués par la CAI au soutien de sa décision, violent l'article 2 b) de la Charte canadienne des droits et libertés (charte canadienne) d'une manière injustifiée.
Ensuite, Clearview allègue que la CAI s'est trompée en concluant qu’elle constitue des dossiers concernant d'autres personnes. Cependant, si la Cour estime qu’elle constitue de tels dossiers, elle affirme qu’elle a un intérêt sérieux et légitime à le faire. Enfin, elle soutient que la CAI a rendu des ordonnances déraisonnables et inapplicables et qu’elle est dans l’impossibilité de les respecter.
L’analyse de la Cour du Québec
1. La constitution de dossiers concernant d’autres personnes
La Cour conclut que la CAI n’a pas erré en concluant que Clearview avait constitué des dossiers, au sens de l’article 4 de la loi sur le secteur privé, chaque dossier correspondant à une image de visage recueillie par son robot d’exploration, à laquelle ont été associés ses métadonnées et un identifiant biométrique.
En appliquant le cadre d’analyse élaboré par la CAI dans l’affaire Ségal c. Centre de Services sociaux de Québec, elle note que la notion de «dossier» est intimement liée à celle de «renseignements personnels», définie à l’article 2 de la loi sur le secteur privé, en ce qu’un dossier est un ensemble de renseignements personnels se rapportant à un même sujet, réunis dans un conteneur, un classeur, une chemise ou un répertoire qui permet de les ranger ou de les organiser.
2. L’intérêt sérieux et légitime à établir un dossier sur une autre personne
Selon les articles 4 et 5 de la loi sur le secteur privé, une entreprise peut constituer un dossier sur autrui uniquement si elle a un intérêt sérieux et légitime à le faire, qu’elle le fait à l’aide de moyens licites et qu’elle limite la collecte aux renseignements nécessaires à l’objet du dossier. Or, la notion d’«intérêt sérieux et légitime» n’est pas définie dans cette loi.
En appliquant un cadre d’analyse en 2 étapes inspiré de la grille élaborée par la Cour suprême du Canada dans l’arrêt R. c. Oakes, tel qu'il est suggéré dans l’affaire Société de transport de la Ville de Laval c. X, il faut pouvoir démontrer le caractère légitime, important et réel de l’objectif poursuivi par la collecte de renseignements personnels, puis la proportionnalité de l’atteinte à la vie privée qu’elle engendre en lien avec cet objectif. La Cour estime que la CAI n’a pas erré en concluant que cette démonstration n’avait pas été faite par Clearview, d’autant plus que la constitution des dossiers se fait en contravention de la loi sur le secteur privé, qui exige le consentement des personnes concernées.
3. Les ordonnances de la CAI
Quant aux ordonnances rendues, qui demandent à Clearview de cesser de collecter et d’utiliser des images de résidents du Québec sans leur consentement et de détruire celles qui ont déjà été collectées, la Cour estime qu’elles sont valides au regard du pouvoir conféré à la CAI. Ici, l’impossibilité alléguée par Clearview de se conformer à celles-ci découle de son modèle d’affaires et de ses pratiques. Comme il s’agit d’une question de fait, la Cour du Québec ne peut s’en saisir, conformément à l’article 61 de la loi sur le secteur privé, mais la question pourrait faire l’objet d’un recours devant une autre instance.
4. L’assujettissement de Clearview aux lois du Québec
Clearview soutient ne pas être assujettie à la loi sur le secteur privé ni à la Loi concernant le cadre juridique des technologies de l’information, car elle estime n’exercer aucune activité au Québec, n’y avoir aucun bureau ni employés et ne plus y avoir de clients au moment où la décision de la CAI a été rendue.
Dans l’arrêt Sharp c. Autorité des marchés financiers, la Cour suprême énonce que le test du «lien réel et substantiel» proposé dans l’affaire Unifund Assurance Co. c. Insurance Corp. of British Colombia, visant à déterminer la validité d’une loi provinciale quant à sa portée territoriale, s’applique en l’espèce. Ce test requiert une analyse contextuelle afin de déterminer s’il existe un lien suffisant, ou un lien réel et substantiel, entre la province, l’objet du texte de loi et la personne que l’on cherche à assujettir.
La Cour rappelle que la loi sur le secteur privé revêt un caractère quasi constitutionnel puisqu’elle met en œuvre le droit à la vie privée énoncé à l’article 5 de la Charte des droits et libertés de la personne. La Loi concernant le cadre juridique des technologies de l’information vise quant à elle à adapter le cadre législatif applicable aux règles de droit dans un univers désormais largement influencé par les technologies de l’information. Le fait que le Web ne connaisse pas de frontières territoriales doit être pris en compte dans le cadre de l’analyse de la portée et de l’application constitutionnelle des lois provinciales.
La Cour conclut qu’il existe un lien suffisant permettant l’application de ces lois à Clearview puisqu’elle collecte, conserve, utilise ou communique des renseignements personnels de personnes résidant au Québec.
5. La constitutionnalité des articles 6, 13 et 14 de la loi sur le secteur privé
Enfin, Clearview soutient que les articles de la loi sur le secteur privé qui exigent d’obtenir le consentement pour utiliser des informations publiques violent l'article 2 b) de la charte canadienne en ce qu’ils restreignent la libre circulation de l'information accessible au public, ce qui porte atteinte à sa liberté d'expression. Au soutien de cet argument, elle invoque l’arrêt R. c. Sharpe.
Les 3 étapes du cadre d’évaluation d’une atteinte alléguée à la liberté d’expression, qui se trouvent dans l’arrêt Société Radio-Canada c. Canada (Procureur général), consistent à déterminer si l’activité renferme un contenu expressif, si le lieu ou le mode d’expression utilisé écarte la protection et, enfin, dans le cas où l’activité est protégée, si la mesure prise par l’État porte atteinte à ce droit protégé.
En l’espèce, la Cour constate que les 2 premières conditions sont remplies. En ce qui concerne la troisième condition, elle conclut que les articles 6, 13 et 14 de la loi sur le secteur privé peuvent se justifier dans une société libre et démocratique, conformément à l’article premier de la charte canadienne, car elles poursuivent un objectif important, qui répond à des préoccupations urgentes et réelles. En effet, Clearview ne limite pas sa collecte de données à des sites Web publics; elle en collecte aussi sur les sites de médias sociaux, sans respecter les politiques et les conditions d’utilisation qui y sont associées.
Finalement, la Cour rejette l’argument de Clearview selon lequel les effets néfastes de la loi sur le secteur privé l'emportent sur ses avantages. Accepter cette proposition équivaudrait à admettre que le droit de collecter, d'indexer, de conserver puis de commercialiser l’image d’une personne serait illimité et qu’il pourrait s’exercer au détriment du droit à la protection de la vie privée, ce qu’a réprouvé la Cour suprême dans l’arrêt Aubry c. Éditions Vice-Versa.
Conclusion
Cette décision démontre qu’il est possible de faire évoluer le cadre législatif visant à protéger notre droit à la vie privée et à la protection de nos renseignements personnels afin qu’il puisse s’appliquer aux nouvelles technologies.
