Retour à la table des matières
Revue Droits & Libertés, print. / été 2021
Un monde sous surveillance
Les dangereux visages de la reconnaissance faciale
Anne Pineau,
membre du Comité sur la surveillance des populations de la LDL
En janvier 2020, le New York Times levait le voile sur l’application de reconnaissance faciale (RF) mise au point par Clearview AI et susceptible, selon les termes de la journaliste Kashmir Hill, de « mettre fin à la vie privée telle que nous la connaissons [1] ». Fruit du ratissage de milliards de photos prélevées sur Internet, l’application permet d’identifier une personne en comparant sa photo avec toutes celles de la banque.
Les révélations du journal new-yorkais ont semé l’émoi au Canada et au Québec[2]. Prenant acte du « contexte de préoccupations croissantes quant à l’utilisation de la technologie de reconnaissance faciale » les commissariats à la vie privée du fédéral (CPVP), de la Colombie-Britannique, de l’Alberta et du Québec (Commission d’accès à l’information CAI) ont lancé une enquête conjointe[3] en vue d’établir la conformité du dispositif de RF avec les lois canadiennes sur la protection des renseignements personnels[4]. Le 2 février dernier, les commissaires rendaient leurs conclusions : l’entreprise établie à New York a enfreint les lois fédérales et provinciales sur la protection des renseignements personnels[5].
Retour sur un rapport d’enquête qui, malgré son importance, a fait l’objet de trop peu de publicité.
Rapport des conclusions d’enquête sur Clearview [6]
Le dispositif de RF de Clearview prélève les images à partir d’éléments en ligne accessibles au public (dont les médias sociaux) et les emmagasine dans sa base de données ; crée des identifiants biométriques; permet de télécharger une image pour la comparer à celles de la banque ; et fournit une liste de résultats permettant d’être redirigé vers la page source de l’image.
La banque compte plus de trois milliards de visages – et d’identifiants biométriques conçus à partir de ceux-ci – incluant ceux d’enfants. Des corps policiers et diverses autres organisations, y compris du secteur privé, ont eu recours à ce service pour un essai gratuit.
Clearview n’a pas cherché à obtenir le consentement des personnes dont les photos ont été recueillies, prétendant qu’elles seraient du domaine public puisque glanées sur des pages Web accessibles sur Internet.
Les commissaires ont rejeté les prétentions de Clearview et ont conclu que :
- Les lois fédérales et provinciales de protection des données s’appliquent à l’entreprise américaine dans la mesure où elle fait affaire au pays ;
- Clearview devait recueillir le consentement des personnes dont on a utilisé l’image ;
- L’exception de renseignements auquel le public a accès – qui permettrait de se passer du consentement – ne s’applique pas ;
- De plus, Clearview a recueilli, utilisé et communiqué des renseignements personnels d’individus au Canada à des fins inappropriées qui ne peuvent pas être justifiées par l’obtention d’un consentement ;
- Dans le cas du Québec, s’ajoute le non-respect par Clearview de l’obligation de déclarer à la CAI la constitution d’une banque de mesures biométriques et l’absence de consentement express des individus fichés à l’utilisation d’un procédé de RF[7].
Ce rapport est important à plus d’un titre. Il écarte d’abord l’idée qu’un renseignement personnel, du fait qu’il est accessible sur Internet, soit un renseignement en quelque sorte abandonné et dont un tiers pourrait user à sa guise. Concernant le Québec, le rapport souligne :
Or, aucune loi au Québec ne confère un caractère public aux renseignements personnels du seul fait qu’ils sont diffusés sur les réseaux sociaux ou le Web. De plus, la CAI du Québec a déjà statué que même si un renseignement personnel est diffusé sur un site public, cela ne veut pas dire que ce renseignement peut être utilisé à d’autres fins sans le consentement de la personne concernée. La publication d’images sur un site Web ne signifie pas forcément que son auteur consent à ce qu’elles soient utilisées par un tiers (p.46) [8].
Mais les conclusions du rapport vont plus loin encore. Les commissaires estiment en effet que le dispositif de RF est illégal en raison de sa finalité illégitime ou inacceptable, à savoir la surveillance de masse :
Nous constatons que la collecte d’images et la création de dispositifs de reconnaissance faciale biométriques par Clearview, dans le but avoué de fournir un service au personnel des organismes d’application de la loi, et leur utilisation par d’autres personnes au moyen des comptes d’essai, représentent l’identification et la surveillance de masse de personnes par une entité privée dans le cadre d’une activité commerciale […] une personne raisonnable ne considérerait pas cette fin comme acceptable, raisonnable ou légitime dans les circonstances (p.72-73) [9].
Les commissaires s’inquiètent aussi des erreurs d’identification pouvant résulter de biais du système, mais impossibles à vérifier vu l’opacité de la technologie utilisée (p.93-97) [10].
Le rapport ordonne à Clearview de cesser d’offrir, au pays, les services de RF visés par l’enquête ; de mettre fin à la collecte et à l’utilisation d’images et identifiants biométriques recueillis auprès d’individus au Canada ; et de supprimer ces images et identifiants.
Les commissaires ajoutent :
Si Clearview maintient son refus[11] d’accepter les conclusions et les recommandations de quatre autorités canadiennes indépendantes chargées de faire respecter la protection des renseignements personnels, nous entreprendrons les autres actions qui s’offrent à nous en vertu de nos Lois respectives pour obliger Clearview à respecter les lois fédérales et provinciales sur la protection des renseignements personnels applicables au secteur privé (p. 123) [12].
Notons que ni le commissaire fédéral ni la CAI ne possèdent le pouvoir d’imposer des amendes ou des sanctions administratives[13] à Clearview. Malgré tout la CAI dispose de larges pouvoirs en vertu de la Loi pour obtenir la destruction d’une banque de données biométriques établie illégalement[14]. Le commissaire fédéral pourrait de son côté s’adresser à la Cour fédérale pour forcer la mise en œuvre des conclusions.
Les commissaires disent enfin espérer que la publication de leurs ordonnances « garantira que d’autres organisations bénéficieront de nos conclusions alors qu’elles envisagent des initiatives susceptibles de partager certaines similitudes avec les pratiques de Clearview[15] ».
Besoin urgent d’encadrement et impacts sur les droits
Aussi intéressante que soit la décision Clearview, elle ne saurait suffire à encadrer sérieusement la RF au pays. Qui plus est les limites qu’il convient d’imposer à une technologie aussi invasive relèvent du débat de société et non des seuls commissaires à la vie privée.
La RF peut servir à l’identification d’une personne ou à son authentification (confirmation d’identité). La détection de visages permet de son côté d’évaluer les caractéristiques d’une personne (âge, sexe, origine, etc.) et ses émotions sans toutefois l’identifier[16]. Elle est utilisée notamment à des fins de marketing.
La RF est une technologie en plein développement et qui s’immisce sournoisement dans nos vies. Les usages sont multiples[17] : caméras de surveillance et drones; guichets automatiques; téléviseurs dits intelligents; portables; assistants vocaux; console de jeux, autant de produits pouvant intégrer la RF.
Facebook s’apprêterait à intégrer la RF dans ses lunettes dites intelligentes[18]. Google a déjà commercialisé sa caméra permettant la détection des visages familiers[19]. Sans compter les corps policiers qui semblent apprécier grandement les dispositifs de RF[20]. La Sûreté du Québec aurait même conclu un contrat pour des solutions clé en main de RF[21]. L’utilisation de cet outil pourrait-il devenir usuelle lors de manifestations ou lors d’évènements sportifs ou culturels de grande envergure?
La RF mine le droit à la vie privée, à l’autonomie, à l’anonymat et à l’intimité. Elle peut avoir un effet inhibiteur sur l’exercice de droits et libertés : participation à des manifestations, droit d’association, liberté d’expression, droit de vote, etc. Elle peut compromettre la sécurité des personnes (doxing[22]), conduire à la surveillance de masse, accroître le risque d’arrestations erronées ou entraver l’accès à des biens et services, engendrer stress et harcèlement, mener au profilage racial, social ou politique et creuser les inégalités[23]. Le droit à l’intimité est aussi en jeu[24]. Les risques de préjudices en cas de bris de confidentialité ou de fuites sont énormes, vu le caractère quasi irremplaçable de telles données.
La banalisation de la surveillance constitue un autre enjeu crucial[25]. Le CPVP souligne « […] si le recours à cette technologie devient généralisé, personne ne la remettra en question ni n’imposera de limites quant à ses finalités et à ceux qui l’utilisent[26] ».
La législation actuelle, tant fédérale que provinciale, n’est pas à même de régir convenablement une technologie aussi intrusive. Le petit guide sur les enjeux de la reconnaissance faciale publié par l’OBVIA rappelle :
Or, les lois canadiennes et québécoises datent d’il y a 20 ans et sont loin d’être adaptées à la technologie d’aujourd’hui, a fortiori s’agissant de technologies intrusives comme la reconnaissance faciale dans l’espace public qui peut conduire à la surveillance généralisée et la perte d’anonymat[27].
La CAI se montre du même avis, ajoutant que la réforme des lois de protection des renseignements personnels en cours au Québec (projet de loi 64) n’améliore pas vraiment les choses[28].
À l’instar d’autres groupes[29], la LDL demande un moratoire[30] sur l’utilisation de la RF et la tenue d’un débat public[31] transparent pour déterminer s’il convient de bannir totalement l’usage de cette technologie liberticide, ou de fixer des limites strictes à son utilisation dans certains cas (quels sont les interdits? ou les usages permis?, qui peut l’utiliser?, pour quelles fins, à quelles conditions?).
[1] En ligne : https://www.nytimes.com/2020/01/18/technology/clearview-privacy-facial-recognition.html
[2] Voir : https://www.lapresse.ca/actualites/politique/2020-02-28/reconnaissance-faciale-indignation-et-inquietude-a-quebec-et-a-ottawa
[3] Notons qu’une enquête connexe a aussi été entreprise par le Commissariat à la protection de la vie privée du Canada sur l’utilisation, par la GRC, de la technologie de reconnaissance faciale de Clearview AI. Cette enquête suit son cours pour le moment.
[4] En ligne : https://www.priv.gc.ca/fr/nouvelles-du-commissariat/nouvelles-et-annonces/2020/an_200221/
[5] En ligne : https://www.priv.gc.ca/fr/nouvelles-du-commissariat/nouvelles-et-annonces/2021/nr-c_210203/
[6] Enquête conjointe sur Clearview AI, Inc. par le Commissariat à la protection de la vie privée du Canada, la Commission d’accès à l’information du Québec, le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique et le Commissariat à l’information et à la protection de la vie privée de l’Alberta. En ligne : https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2021/lprpde-2021-001
[7] Obligations imposées par les articles 44 et 45 de la Loi concernant le cadre juridique des technologies de l’information. LRQ c. C-1.1.
[8] Paragraphe 46 du rapport d‘enquête.
[9] Paragraphes 72 et 73 du rapport d’enquête.
[10] Paragraphes 93 à 97 du rapport.
[11] Notons que Clearview aurait mis fin à ses activités au Canada après le début de l’enquête. Tout indique toutefois que les photos de Canadiens intégrées à sa banque de données biométriques n’ont pas été effacées.
[12] Paragraphe 123 du rapport.
[13] La CAI pourrait se voir octroyer un tel pouvoir avec l’adoption du projet de loi 64.
[14] Loi concernant le cadre juridique des technologies de l’information (précitée) :
45. La création d’une banque de caractéristiques ou de mesures biométriques doit être préalablement divulguée à la Commission d’accès à l’information. De même, doit être divulguée l’existence d’une telle banque qu’elle soit ou ne soit pas en service.
La Commission peut rendre toute ordonnance concernant de telles banques afin d’en déterminer la confection, l’utilisation, la consultation, la communication et la conservation y compris l’archivage ou la destruction des mesures ou caractéristiques prises pour établir l’identité d’une personne.
La Commission peut aussi suspendre ou interdire la mise en service d’une telle banque ou en ordonner la destruction, si celle-ci ne respecte pas ses ordonnances ou si elle porte autrement atteinte au respect de la vie privée.
[15] Paragraphe 122 du rapport.
[16] Un logiciel de RF prétend déterminer l’orientation sexuelle d’une personne à partir des traits du visage. Ce qui illustre la dangerosité de tels outils. Voir : https://plus.lapresse.ca/screens/45adc612-dcbe-47ed-b162-daafd2e8ac65__7C___0.html
[17] Voir à ce sujet : Commission de l’éthique en science et technologie CEST. Les enjeux éthiques soulevés par la reconnaissance faciale. 8e édition de la CEST-Jeunesse. En ligne : https://www.ethique.gouv.qc.ca/media/2wqngchp/cest-j_2020_reconnaissance_faciale_acc_web.pdf
[18] En ligne : https://www.lesnumeriques.com/vie-du-net/facebook-envisage-l-integration-de-la-reconnaissance-faciale-dans-ses-lunettes-intelligentes-n161051.html
[19] En ligne : https://support.google.com/googlenest/answer/9268625?co=GENIE.Platform%3DAndroid&hl=fr. Voir aussi https://www.ledevoir.com/opinion/chroniques/561911/au-nom-de-la-securite
[20] La GRC et 34 services policiers canadiens ont utilisé l’application de Clearview AI. En ligne : https://ici.radio-canada.ca/nouvelle/1641195/clearview-ai-canada-police-grc-entreprise-via-rail-liste-client-vol-donees-intelligence-artificielle-reconnaissance-faciale-logiciel-application-controverse
[21] Voir : CDPDJ. Mémoire sur le projet de loi 64. P. 23. En ligne : https://www.cdpdj.qc.ca/storage/app/media/publications/memoire_PL64_renseignements-personnels.pdf
[22] Trouver et publier des informations privées de quelqu’un sur Internet.
[23] Voir : Commissariat à la protection de la vie privée au Canada. Reconnaissance faciale automatisée dans les secteurs public et privé. Mars 2013. « Dans le cas de la reconnaissance faciale, le pouvoir tient au fait que les personnes surveillées sont parfois identifiées à leur insu, tandis que ceux qui les surveillent sont généralement anonymes et souvent invisibles. » En ligne : https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/recherche/consulter-les-travaux-de-recherche-sur-la-protection-de-la-vie-privee/2013/fr_201303/
[24] « En outre, la reconnaissance faciale permet, du moins potentiellement, une surveillance plus intrusive de ces individus, surtout si des technologies d’analyse des émotions sont également utilisées. Grâce à ces technologies, il serait en effet possible d’inférer les émotions vécues par un individu à un moment précis […] Ce qui est en jeu ici, c’est le droit à l’intériorité de la personne, compris comme étant le droit de protéger son autonomie en ce qui concerne ce qu’elle choisit d’exprimer explicitement, et à qui, de ses émotions, sentiments, réflexions et croyances (ce qui se passe « à l’intérieur d’elle ») ». Commission de l’éthique en science et technologie CEST, précitée.
[25] Une autre technologie en développement qui peut être utilisée à des fins semblables à la RF est la reconnaissance vocale. Les normes, ou l’absence de normes, applicables à la RF aura donc une incidence sur celles qui régiront le déploiement d’autres technologies de surveillance très puissantes.
[26] Idem.
[27] Observatoire international sur les impacts sociétaux de l’IA et du numérique. Petit guide sur les enjeux de la reconnaissance faciale. En ligne : https://observatoire-ia.ulaval.ca/petit-guide-sur-la-reconnaissance-faciale/.
Voir aussi la CDPDJ. Mémoire sur le projet de loi 64 (précité ) : « À l’international comme au Québec, les demandes se font donc de plus en plus nombreuses pour l’encadrement législatif de la collecte et de l’utilisation de renseignements personnels par l’utilisation de la technologie de reconnaissance faciale ».
[28] Mémoire de la CAI sur le Projet de loi 64. « L’utilisation de plus en plus répandue de la biométrie soulève des enjeux importants pour la vie privée et la protection des renseignements personnels des individus. La législation actuelle ne permet pas d’encadrer adéquatement certaines utilisations de cette technologie. Puisque le projet de loi ne prévoit pas d’amélioration significative à ce chapitre, la Commission formule plusieurs recommandations visant à bonifier la protection accordée aux renseignements biométriques ». p.24 Notons que les recommandations avancées par la CAI pour améliorer cette réforme sont surtout d’ordre technique. En ligne : https://www.cai.gouv.qc.ca/documents/CAI_M_projet_loi_64_modernisation_PRP.pdf
[29] En ligne : https://ici.radio-canada.ca/nouvelle/1718332/reconnaissance-faciale-clearview-ai-gouvernement-canada
[30] En ligne : https://liguedesdroits.ca/lettre-ouverte-sur-la-reconnaissance-faciale/
[31] À Québec tous les partis d’opposition réclament un tel débat. Voir : https://plus.lapresse.ca/screens/ad8bd6e2-ab55-4037-a6a1-79e6e13d3df1__7C___0.html. De même que le Bloc québécois et le NPD à Ottawa. Voir : https://www.lapresse.ca/actualites/politique/2020-03-09/le-npd-veut-un-moratoire-sur-la-reconnaissance-faciale
Retour à la table des matières
