Est-ce que l'affaire Clearview AI marque la fin de la vie privée telle que nous la connaissons?
Avant l'affaire Clearview AI
En 2013, le Commissaire à la protection de la vie privée du Canada (CPVP) s’inquiétait de ce que « la reconnaissance faciale pourrait devenir la plus envahissante des technologies d’identification biométrique populaires moderne […] » parce qu’elle peut être utilisée à l’insu des individus, à partir d’une banque de photos trouvées en ligne (source).
Le CPVP rapportait une étude menée en 2011 à l’Université Carnegie Mellon qui démontrait « qu’il est possible d’établir un lien avec l’identité en ligne et hors ligne d’un individu à partir de son visage sans avoir accès à une base de données spéciale » (source).
Quelques années plus tard, l’affaire Clearview AI prouvera, hors de tout doute, le bien-fondé des craintes du CPVP…
L'affaire Clearview AI
En janvier 2020, le New-York Times levait le voile sur l’application de reconnaissance faciale mise au point par la compagnie Clearview AI et susceptible, selon les termes de la journaliste Kashmir Hill, de « mettre fin à la vie privée telle que nous la connaissons » (source).
Une enquête conjointe au Canada
Ces révélations ont semé l’émoi au Canada et au Québec (source) et ont conduit, en février 2020, les Commissaires à la protection de la vie privée du Canada (CPVP), de la Colombie-Britannique, de l’Alberta et du Québec, la Commission d’accès à l’information (CAI), à lancer une enquête conjointe (source) en vue d’établir la conformité du dispositif de reconnaissance faciale avec les lois canadiennes sur la protection des renseignements personnels.
Le fonctionnement de Clearview AI
L’enquête qui s’est conclue en février 2021 a révélé comment fonctionne le dispositif de reconnaissance faciale commercialisé par Clearview AI, en 4 étapes.
1
L’application prélève les images à partir d’éléments en ligne accessibles au public (dont les médias sociaux) et les emmagasine dans sa base de données.
2
Elle crée des identifiants biométriques (représentations numériques des visages).
3
Elle permet ensuite de télécharger une image pour la comparer à celles de la base de données.
4
Finalement elle fournit une liste de résultats (visages qui semblent correspondre) permettant d’être redirigé vers la page source de l’image, et donc éventuellement d’identifier la personne.
3 milliards de photos : une accumulation de données sans consentement
Plus de 3 milliards de photos d’individus (au Canada et ailleurs dans le monde) ont été ratissées sur Internet pour mettre au point ce dispositif de reconnaissance faciale. Clearview AI n’a pas cherché à obtenir le consentement des personnes dont les images ont été recueillies. Clearview AI prétendait qu’elles étaient du domaine public puisque glanées sur des pages web accessibles sur Internet.
Des corps policiers – 48 au Canada, dont la Gendarmerie royale du Canada (source) – et diverses autres organisations, y compris du secteur privé, ont eu recours à ce service pour un essai gratuit.
Rapport d'enquête des Commissaires
Le 3 février 2021, les commissaires ont rejeté les prétentions de Clearview AI et ont émis plusieurs conclusions (source).
- Clearview AI devait recueillir le consentement des personnes dont on a utilisé l’image;
- l’exception de « renseignements auquel le public a accès » - qui permettrait de se passer du consentement - ne s’applique pas. Le rapport écarte donc l’idée qu’un renseignement personnel, du fait qu’il est accessible sur internet, soit un renseignement en quelque sorte abandonné et dont un tiers pourrait user à sa guise;
- dans le cas du Québec s’ajoutent le non-respect par Clearview AI de l’obligation de déclarer à la Commission d'accès à l'information (CAI) la constitution d’une banque de mesures biométriques et l’absence de consentement express des individus fichés à l’utilisation d’un procédé de reconnaissance faciale;
- de plus Clearview AI a recueilli, utilisé et communiqué des renseignements personnels d’individus au Canada à des fins inappropriées, qui ne peuvent pas être justifiées par l’obtention d’un consentement.
Avis des commissaires
À propos de l'utilisation des renseignements personnels, les commissaires affirment :
« Nous constatons que la collecte d’images et la création de dispositifs de reconnaissance faciale biométriques par Clearview, dans le but avoué de fournir un service au personnel des organismes d’application de la loi, et leur utilisation par d’autres personnes au moyen des comptes d’essai, représentent l’identification et la surveillance de masse de personnes par une entité privée dans le cadre d’une activité commerciale […] une personne raisonnable ne considérerait pas cette fin comme acceptable, raisonnable ou légitime dans les circonstances » (par. 72 et 73 du rapport d’enquête).
Le rapport des commissaires ordonne à Clearview AI :
- de cesser d’offrir, au pays, les services de reconnaissance faciale visés par l’enquête;
- de mettre fin à la collecte et à l’utilisation d’images et identifiants biométriques recueillis auprès d’individus au Canada;
- et de supprimer ces images et identifiants.
Sans quoi les Commissaires entreprendront des actions pour obliger Clearview AI à respecter les lois fédérale et provinciales sur la protection des renseignements personnels applicables au secteur privé.
La Gendarmerie royale du Canada s'est engagée à mettre en oeuvre les recommandations du Commissaire à la protection de la vie privée du Canada ...
...tout en refusant de souscrire aux conclusions du rapport et de reconnaître qu'elle a agi illégalement.
L'enquête connexe sur la Gendarmerie Royale du Canada (GRC)
Le 10 juin 2021, le Commissaire à la protection de la vie privée du Canada (CPVP) publiait ses conclusions d’enquête sur l’utilisation par la GRC de la technologie de reconnaissance faciale de Clearview AI (source).
La GRC utilise Clearview AI
La GRC avait acquis deux licences de Clearview AI en 2019. Dans le cadre de l’enquête du CPVP, la GRC a d’abord nié avoir utilisé l’outil de reconnaissance faciale. Puis la liste des clients de Clearview AI ayant été divulguée, la GRC a admis qu’elle avait fait usage de l’application de reconnaissance faciale quelques 78 fois.
Une utilisation fréquente
Or, l’enquête du commissariat révèle plutôt que cette technologie a servi à 521 occasions, et dans 85 % des cas pour des motifs ou objets inconnus. Le CPVP note de graves lacunes du corps policier dans le respect de la Loi sur la protection des renseignements personnels et s’inquiète du danger que présente une technologie aussi invasive :
« le recours par la GRC à la technologie de reconnaissance faciale pour effectuer des recherches dans d’énormes dépôts de données sur des Canadiens nullement soupçonnés d’actes criminels constitue une importante atteinte à la vie privée […] » (source).
L'utilisation illégale de Clearview AI par la GRC
Le CPVP conclut que l’outil de reconnaissance faciale de Clearview AI ayant été jugé illégal, son utilisation par la GRC l’est tout autant :
« […] la collecte de renseignements personnels sur les Canadiens par Clearview contrevenait aux lois canadiennes en matière de protection des renseignements personnels. Il s’ensuit donc que la GRC a contrevenu à la Loi lorsqu’elle a par la suite recueilli ces renseignements personnels illégalement obtenus par Clearview » (source, par. 86).
La GRC s'est engagée à suivre les recommandations du CPVP
Le CPVP n’interdit pas toute utilisation de la reconnaissance faciale par la GRC. Il recommande cependant la mise en place d’un programme de mesures systémiques et de formation « pour assurer le suivi, analyser, examiner et contrôler cette nouvelle façon de recueillir des renseignements personnels, afin de veiller à ce que la collecte soit limitée comme l’exige la Loi » (source, par. 6).
Mise au rancart, sans aveux
La GRC n’utilise plus la technologie de reconnaissance faciale de Clearview AI depuis juillet 2020, moment où cette entreprise a cessé d’offrir ses services au Canada. La GRC s’est engagée à mettre en œuvre les recommandations du CPVP, tout en refusant de souscrire aux conclusions du rapport et donc de reconnaître qu’elle a agi illégalement…
Des balises recommandées
Le rapport du Commissariat fédéral contient également une version préliminaire du « Document d’orientation sur la protection de la vie privée à l’intention des services de police relativement au recours à la reconnaissance faciale » (source). Ce document élaboré avec les commissaires provinciaux vise à « préciser les circonstances et les conditions dans lesquelles l’utilisation de la technologie ne pourrait être acceptable ».
Une consultation publique s’est tenue sur ce document en 2021. Dans le cadre de cette consultation, la Ligue des droits et libertés a déposé un mémoire.
Une déclaration commune des commissaires à la vie privée du pays
Le 2 mai 2022, dans la foulée du dossier Clearview AI et de la consultation sur l'usage de la reconnaissance faciale par les services de police, les commissaires à la vie privée du pays (fédéral, provinciaux et territoriaux) publiaient une Déclaration commune réclamant un cadre légal plus strict.
Cette déclaration ne doit pas rester lettre morte.
La Ligue des droits et libertés entend bien talonner les gouvernements fédéral et provincial pour que les recommandations des commissaires se traduisent par l’adoption de lois sévères concernant l’utilisation de la reconnaissance faciale.