Utilisez-vous la technologie de reconnaissance faciale conformément au cadre juridique qui ne cesse d'évoluer? Bien que les réglementations officielles afférentes à cette technologie se fassent rares, de nouvelles directives et développements récents laissent entrevoir la voie qu'empruntera probablement le législateur et il serait judicieux d'être au fait des nouvelles tendances législatives. On peut d'abord affirmer deux choses au sujet de cette technologie : elle est sous-réglementée et il plane une incertitude quant à son potentiel de violation de la confidentialité des individus. Cependant, des suggestions et développements récents du Comité permanent de l'accès à l'information, de la protection des renseignements personnels et de l'éthique (« le Comité ») de la Chambre des communes fournissent quelques pistes intéressantes.
En octobre 2022, le Comité a formulé 19 recommandations au Parlement dans un rapport (le « Rapport ») traitant de la technologie de reconnaissance faciale (« TRF »). Ces dernières ont pour objet de persuader les législateurs que la loi doit évoluer pour être à même de traiter les défis uniques qui découlent de l'utilisation répandue de la TRF. Le Comité a suggéré au gouvernement de mettre un moratoire sur son utilisation en attendant la mise en place d'un cadre juridique approprié 1.
Le Rapport recommande également le renforcement du cadre juridique relatif à la TRF au moyen de modifications à la Loi sur la protection des renseignements personnels et à la Loi canadienne sur les droits de la personne2. Parmi les autres recommandations, mentionnons la mise en œuvre d'une exigence de consentement obligatoire afin d'autoriser le secteur privé à faire la collecte d'information biométrique, et le renforcement de la capacité du Commissaire à la protection de la vie privée à imposer des pénalités significatives (aux termes de la Loi sur la protection des renseignements personnels et documents électroniques [« LPRPDE »]) aux gouvernements et entités privées dont l'utilisation de la TRF viole la législation canadienne en matière de protection de la vie privée.
À la fin de 2021, l'utilisation de la TRF a été au cœur d'une enquête conjointe très médiatisée du Commissariat à la protection de la vie privée (« CPVP ») et de ses homologues provinciaux de l'Alberta, de la Colombie-Britannique et du Québec. L'enquête visait une société de logiciels de TRF et la GRC. Cette dernière utilisait les données fournies par cette société pour mener des centaines de recherches biométriques à l'échelle du Canada 3. L'enquête a conclu à des violations de la LPRPDE et de la Loi sur la protection des renseignements personnels. En effet, plus de trois milliards d'images faciales avaient été récoltées sur Internet sans le consentement des utilisateurs 4, un geste qui selon les conclusions de l'enquête n'était ni plus ni moins que de la surveillance à grande échelle et correspondait à des violations de l'article 4 de Loi sur la protection des renseignements personnels du Canada.
Il est inquiétant de constater à quel point l'utilisation de la TRF est répandue, et ce, sans orientation aucune pour la réglementer. L'individu moyen interagit avec la TRF de multiples fois au quotidien, que ce soit pour déverrouiller son téléphone intelligent, accéder à des applications bancaires ou appliquer des filtres de médias sociaux. Mais au-delà de l'utilisation plus banale de cette technologie, il reste que la TRF a une grande portée et d'importantes répercussions en raison de l'omniprésence des caméras. La TRF s'est également avérée extrêmement utile dans le cadre de la prestation de services cruciaux. En effet, les sociétés de transports l'utilisent notamment pour réduire le trafic, le secteur de la santé s'en sert pour établir des diagnostics et surveiller l'état de santé des patients, et les services frontaliers en font l'utilisation pour veiller à la sécurité des voyageurs. Et la liste continue de s'allonger. Toutefois, sans possibilité pour les organisations d'en réglementer l'utilisation aux termes de mandats compréhensibles et transparents, la valeur de cette technologie est grandement diminuée et potentiellement contreproductive. Comment les sociétés peuvent-elles s'y fier pour livrer des services clés tout en respectant les paramètres d'une utilisation acceptable?
Pensez d'abord à vous inspirer des décisions du CPVP et du Rapport du Comité pour orienter vos politiques quant aux mesures qui seraient acceptables. Comment utilisez-vous les données? Et cette utilisation respecte-t-elle l'objectif du consentement que vous avez obtenu? La prudence recommande de disposer d'une politique d'obtention du consentement, surtout en ce qui a trait à des données biométriques sensibles. Et pour encore plus d'orientation, les secteurs qui envisagent d'utiliser la TRF peuvent aussi s'inspirer d'exemples des États-Unis.
La TRF y est en effet encore plus largement utilisée et réglementée qu'au Canada. En Illinois, par exemple, les lois requièrent des entités du secteur des soins de santé qui collectent des identifiants biométriques comme les traits faciaux de fournir un avis et d'obtenir un consentement y afférents ainsi que de conserver un calendrier de rétention de ces données [Traduction] 5. L'adoption de politiques similaires pourrait s'avérer utile, surtout en ce qui a trait à des données biométriques très sensibles.
Enfin, demeurez à l'affût de nouveaux développements et ne perdez pas de vue la question à savoir si votre utilisation de la TRF est bel et bien en phase avec l'évolution du droit. Il ne coûte rien de suivre la tendance, le contraire, par contre, peut s'avérer très onéreux.