Clearview AI a enfreint la loi canadienne en récupérant sur Internet 3 milliards de photos de personnes, dont peut-être des millions de Canadiens, en créant des identifiants biométriques à partir de ces photos et en vendant son outil de reconnaissance faciale aux forces de police de tout le Canada. Il s’agissait d’une surveillance de masse. C’était illégal. Telles sont les conclusions de l’enquête conjointe menée par les commissaires à la protection de la vie privée du Canada, de la Colombie-Britannique, de l’Alberta et du Québec, publiées le 3 février 2021. Et les forces de police de tout le pays ont utilisé les outils de reconnaissance faciale de Clearview, sans diligence raisonnable ni transparence publique.
Le rapport d’enquête publié aujourd’hui est accablant et sans équivoque : Clearview AI est coupable d’avoir commercialisé un outil qui enfreint de manière flagrante la législation canadienne. Cela repose en partie sur la notion de consentement éclairé et significatif, un principe qui est au cœur de notre législation. Le fait de récupérer des images, contrairement aux conditions d’utilisation de nombreuses plateformes, et de les utiliser à des fins que les personnes qui publient une photo pour leur grand-mère ne pourraient jamais imaginer, porte atteinte au consentement. Il n’est pas vrai que toutes les informations publiées en ligne sont libres d’accès et peuvent être utilisées à des fins secondaires. Lorsque les gens publient des informations, ils le font en s’attendant raisonnablement à ce que les règles de la plateforme soient respectées et que leurs informations soient utilisées aux fins auxquelles ils ont consenti, et non récupérées par des tiers au hasard à des fins complètement différentes. Le rapport indique clairement que « les informations recueillies sur des sites Web publics, tels que les réseaux sociaux ou les profils professionnels, puis utilisées à des fins sans rapport, ne relèvent pas de l’exception relative aux informations « accessibles au public » prévue par la LPRPDE, la LPRP-AB ou la LPRP-C.-B. Ces informations ne sont pas non plus « publiques en vertu de la loi », ce qui les exempterait de la Loi sur la protection des renseignements personnels du secteur privé du Québec… ». En d’autres termes, toutes les lois sur la protection de la vie privée du secteur privé au Canada exigeraient un consentement, et Clearview ne l’avait pas.
L’autre conclusion majeure est que Clearview a utilisé les données personnelles de personnes résidant au Canada (y compris des enfants) à des fins inappropriées, ce qui signifie que même si l’entreprise avait obtenu leur consentement (ce qui n’a pas été le cas), cette utilisation aurait tout de même été illégale. Les commissaires ont déclaré que « la collecte massive d’images…représente l’identification et la surveillance de masse d’individus par une entité privée dans le cadre d’une activité commerciale » à des fins qui « seront souvent préjudiciables à la personne dont les images sont capturées » et « créent un risque important de préjudice pour ces personnes, dont la grande majorité n’a jamais été et ne sera jamais impliquée dans un crime ».
Les commissaires ont recommandé à Clearview de cesser de proposer son outil de reconnaissance faciale au Canada, de mettre fin à la collecte, à l’utilisation ou à la divulgation d’images et de données biométriques faciales concernant des personnes au Canada, et de supprimer les images et les données biométriques faciales de ces personnes. Clearview a expressément contesté ces conclusions et ne s’est pas engagée à suivre ces recommandations, bien qu’elle ait annoncé son retrait du marché canadien avant la publication du présent rapport.
L’enquête du commissaire s’est concentrée sur Clearview et sa responsabilité. Il convient toutefois de noter que les services de police de tout le Canada ont également leur part de responsabilité, pour avoir adopté cet outil sans en évaluer la légalité et pour avoir induit le public en erreur à son sujet. Lorsque le New York Times a révélé les pratiques commerciales de Clearview AI en janvier 2020, de nombreux services de police interrogés par les médias canadiens ont nié l’utiliser. Lorsque l’ACLC a déposé une série de demandes d’accès à l’information pour vérifier ces affirmations, nous avons commencé à recevoir des réponses indiquant qu’il n’y avait « aucun document pertinent » à peu près au moment même où une faille de sécurité s’est produite chez Clearview. La liste de ses clients a fuité, prouvant que l’entreprise comptait un certain nombre de clients canadiens en Nouvelle-Écosse, en Alberta et en Ontario. Le Service de police de Toronto, la Police provinciale de l’Ontario (OPP) et la Gendarmerie royale du Canada (GRC) font partie de ceux qui l’ont utilisé. Certaines forces de police ont affirmé que ce sont des agents ou des unités individuels qui ont testé des versions d’essai du logiciel distribuées lors de conférences, à l’insu des chefs de police qui avaient initialement déclaré que cette technologie n’avait pas été acquise ni utilisée.
Il ne s’agit donc pas seulement d’une histoire concernant un acteur malveillant du secteur technologique, mais aussi d’une crise de responsabilité liée à l’utilisation par la police d’une technologie de surveillance controversée et intrinsèquement intrusive. Si le monde en ligne est sous-réglementé et que nos lois sont dépassées face au potentiel des technologies émergentes, nous disposons néanmoins de lois sur la protection de la vie privée qui régissent les conditions et la nature du consentement à l’utilisation de nos informations personnelles. L’application de Clearview n’évolue pas dans un monde totalement hors-la-loi, mais simplement dans un contexte où la loi semble être ignorée, tant par l’entreprise que par les forces de l’ordre qui ont utilisé ce produit.
Comme je l’ai écrit lorsque l’affaire a éclaté, cela met clairement et de manière urgente en avant tout le débat de société autour de la reconnaissance faciale : faut-il l’interdire ? Y a-t-il des cas où ses avantages l’emportent sur les risques liés à son utilisation ? Comment peut-on la réglementer (ou, plus simplement, peut-on la réglementer efficacement) ? Non seulement la reconnaissance faciale facilite une forme de surveillance de masse profondément dangereuse pour les droits de l’homme dans notre démocratie, mais il s’agit d’une technologie fondamentalement défaillante. C’est pour cette raison que les grandes entreprises les plus responsables ont craint de laisser cette technologie se répandre dans le monde ; en effet, Amazon, IBM et Microsoft ont cessé de vendre leurs outils de reconnaissance faciale à la police, reconnaissant qu’ils sont trop susceptibles de favoriser la discrimination en raison de leur imprécision sur les visages noirs, bruns, autochtones, féminins, jeunes, c’est-à-dire autres que masculins et blancs. Avant que la pandémie ne frappe, la Commission parlementaire permanente sur l’accès à l’information, la protection des renseignements personnels et l’éthique avait prévu une étude sur la technologie de reconnaissance faciale, ce qui constituerait un bon point de départ pour un examen plus large et plus approfondi des nombreuses questions qu’elle soulève.
Car le rapport d’enquête, publié aujourd’hui, met une chose en évidence. Il est impératif d’engager sans tarder un débat public, certes difficile mais nécessaire, qui commence par se demander s’il existe des contextes dans lesquels cette technologie peut être utilisée de manière appropriée au sein d’une démocratie qui tient à ce que ses citoyens ne soient pas soumis à une surveillance systématique de la part du secteur privé ou de l’État lorsqu’ils circulent dans l’espace public ou vaquent à leurs occupations dans des lieux privés.
Il est tout aussi urgent d’engager une série de discussions sur les formes de responsabilité et de transparence que le public mérite et exige en contrepartie de la part des forces de police qui souhaitent recourir à des technologies de surveillance de plus en plus puissantes et intrusives. L’acceptation sociale des pouvoirs que nous accordons à nos forces de l’ordre ne peut exister que dans le cadre d’une relation de confiance, et avant même d’aborder la question de savoir s’il y a un intérêt social à permettre à la police d’utiliser la technologie de reconnaissance faciale et, le cas échéant, si cet intérêt l’emporte sur les risques sociaux, nous devons avoir l’assurance que nos forces de l’ordre s’engagent à utiliser des outils conçus et mis en œuvre dans le respect de la loi.
La polémique autour de Clearview AI et le rapport qui la met en lumière nous rappellent de manière frappante tout ce que nous avons à perdre si nous ne prenons pas en compte les risques liés aux nouvelles technologies tout en restant ouverts à leurs avantages. L’ACLC réitère son appel en faveur d’un moratoire sur les logiciels de reconnaissance faciale jusqu’à ce que le Canada ait eu l’occasion, en tant que nation, de discuter, de débattre et de s’interroger d’abord sur la question de savoir si, et seulement si nous parvenons à dépasser cette question, quand et comment cette technologie devrait être utilisée dans une démocratie respectueuse des droits.
