L’affaire Clearview en Alberta : la loi sur la vie privée enfreint la liberté d’expression, mais cela n’ouvre pas pour autant la voie au moissonnage de données

La saga judiciaire de Clearview AI, spécialisée dans la reconnaissance faciale, continue avec la récente décision de la Cour du Banc du Roi de l’Alberta¹ sur (i) l’applicabilité des lois sur la protection de la vie privée provinciales aux entreprises extraprovinciales et (ii) la portée de la dispense de l’obligation d’obtenir un consentement pour les « renseignements publiquement accessibles  ». Clearview a obtenu gain de cause dans une contestation constitutionnelle de la dispense, la Cour ayant modifié la formulation stricte de celle-ci.

Ce que vous devez savoir

• La Cour a estimé que la dispense de l’obligation d’obtenir un consentement pour la collecte, l’utilisation et la communication de « renseignements publiquement accessibles » en vertu de la législation sur la protection de la vie privée de l’Alberta est inconstitutionnelle, au motif que la définition de cette expression est trop restrictive et enfreint déraisonnablement le droit à la liberté d’expression prévu par la Charte.
  • La Cour a élargi la définition qui comprend maintenant les renseignements contenus dans une « publication », c’est-à-dire de l’information qui a été rendue publique intentionnellement.
  • La Cour a précisé que cela comprend les renseignements personnels (y compris les images) publiés sur les médias sociaux sans paramètres de confidentialité.
• La décision a une incidence sur le profil de risque (i) des entreprises qui collectent des renseignements personnels en ligne sans consentement, (ii) des plateformes et autres entreprises qui rendent ces renseignements accessibles en ligne et (iii) des moteurs de recherche.
• Toutes les restrictions n’ont pas été éliminées pour autant : toute collecte, utilisation ou communication de renseignements personnels doit être raisonnable à la lumière des circonstances. Cela inclut l’objectif initial de la publication des renseignements personnels ainsi que la nature commerciale et la commercialisation de ceux‑ci.
• La Cour a également confirmé que les renseignements personnels sont soumis aux lois du territoire où réside la personne visée, même si l’entreprise qui recueille ou utilise les renseignements n’y exerce pas d’activités.

Contexte

Clearview AI (Clearview) fournit des services de reconnaissance faciale en « moissonnant » des images en ligne et sur les médias sociaux, puis en les comparant avec sa base de données au moyen d’algorithmes.

En février 2020, le Commissariat à la protection de la vie privée du Canada et plusieurs commissaires provinciaux, dont celui de l’Alberta (le Commissariat), ont lancé une enquête sur Clearview. Les commissaires ont estimé que Clearview avait enfreint les lois sur la protection de la vie privée en collectant, en utilisant et en communiquant des renseignements personnels (i) sans consentement et (ii) à des fins qui n’étaient ni appropriées ni raisonnables. En décembre 2021, le Commissariat a ordonné à Clearview de cesser d’offrir des services de reconnaissance faciale en Alberta, de cesser la collecte, l’utilisation et la communication d’images et de matrices faciales biométriques d’Albertains, et de supprimer les images et les matrices faciales déjà recueillies.

Clearview a demandé un contrôle judiciaire de l’ordonnance, affirmant que (i) le Commissariat avait erré en concluant que Clearview était soumise à la législation albertaine et n’avait pas d’objectif raisonnable pour le traitement des renseignements personnels; (ii) l’interprétation par le Commissariat de ce qui constitue des renseignements « publiquement accessibles » était déraisonnable; et (iii) l’interprétation par le Commissariat du régime de protection de la vie privée de l’Alberta était inconstitutionnelle et violait ledroit à la liberté d’expression prévu par la Charte. Les deux premières questions ont été récemment examinées par la Cour suprême de la Colombie-Britannique dans l’affaire Clearview AI Inc. v. Information and Privacy Commissioner for British Columbia dont nous avons traité dans un récent bulletin².

Décision

L’interprétation de la loi par le Commissariat est raisonnable

La Cour a rejeté la demande d’annulation de l’ordonnance présentée par Clearview.

Comme dans la décision de la Colombie-Britannique, Clearview n’a pas réussi à faire valoir que la loi albertaine ne s’appliquait pas à ses activités. La Cour a jugé que la Personal Information Protection Act(PIPA) s’applique à la collecte et à l’utilisation d’images par Clearview, car il existe un « lien réel et substantiel » entre la province et l’entreprise – indépendamment du fait que Clearview avait cessé d’exercer ses activités dans la province. Selon la Cour, l’impératif de protection de la vie privée exige d’aller au-delà de la « notion territoriale traditionnelle », compte tenu des défis inhérents à la réglementation de domaines sans frontières apparentes comme Internet³.

La Cour a aussi confirmé la conclusion du Commissariat quant au caractère déraisonnable des objectifs de Clearview pour la collecte, l’utilisation et la communication des renseignements personnels. Aux termes de la PIPA, est raisonnable ce qu’une personne raisonnable considérerait comme approprié dans les circonstances. En faisant valoir que ses objectifs étaient raisonnables, Clearview a comparé ses activités à celles de Google ou d’autres moteurs de recherche qui moissonnent des images et de l’information. Selon la Cour, les objectifs de Clearview ne sont pas comparables, même si la source des renseignements est la même dans les deux cas (Internet). Par conséquent, le fait de conclure au caractère déraisonnable des objectifs de Clearview ne menace pas le fonctionnement d’Internet, comme l’a suggéré Clearview.

La Cour s’est rangée à l’avis du Commissariat selon lequel les objectifs de Clearview étaient potentiellement préjudiciables, citant les préjudices généraux causés à la société par la surveillance de masse. Elle a aussi affirmé que le lien entre l’objectif lié au traitement des renseignements personnels prélevés sur les médias sociaux et l’objectif initial de la personne qui les a publiés est pertinent pour évaluer le caractère raisonnable.

La dispense pour les « renseignements publiquement accessibles » de la PIPA est inconstitutionnelle

La PIPA exige l’obtention du consentement pour la collecte, l’utilisation et la communication de renseignements personnels, à moins que ceux-ci ne soient « publiquement accessibles ». La Cour a rejeté l’argument de Clearview selon lequel l’interprétation étroite de cette dispense par le Commissariat était déraisonnable : comme dans la décision rendue en Colombie-Britannique, elle a reconnu l’intérêt quasi constitutionnel de la protection de la vie privée et a accepté le raisonnement du Commissariat selon lequel toute dispense à ce droit important doit être interprétée de manière stricte.

Cependant, la Cour a jugé que la définition de ce qui constitue des renseignements publiquement accessibles en vertu de la PIPA viole le droit à la liberté d’expression prévu par la Charte, et est donc inconstitutionnelle. Cette conclusion contraste avec la décision de la Colombie-Britannique, qui n’a pas abordé cette question, mais qui n’a finalement pas eu d’incidence sur la validité de l’ordonnance rendue par le commissaire de l’Alberta.

La PIPA porte atteinte à la liberté d’expression de Clearview

La PIPA définit les renseignements personnels comme publiquement accessibles s’ils sont [traduction] « contenus dans une publication, notamment une revue, un livre ou un journal, sous forme imprimée ou électronique », à condition que la publication soit accessible au public. La Cour a estimé que cette disposition (plutôt que l’interprétation du Commissariat) viole la liberté d’expression de Clearview pour les raisons suivantes :

1. Toute activité expressive (commerciale ou autre), à l’exception de la violence, est protégée par la Charte.
2. Bien que le moissonnage de données ne constitue pas en soi du « contenu expressif », le faire dans le but de rassembler des images et de l’information peut mener à la transmission d’un sens, facilitant ainsi l’« expression ». La Cour n’a pas accepté l’argument du Commissariat selon lequel la surveillance de masse devrait être exclue de la protection constitutionnelle parce qu’elle est contraire aux valeurs qui sous-tendent la liberté d’expression.
3. La Charte s’applique à l’activité expressive de Clearview, car l’entreprise ne s’est pas retirée de façon permanente de l’Alberta et que son activité expressive est restreinte par la PIPA.

L’atteinte à la liberté d’expression n’est pas justifiée

Une atteinte à la Charte peut être justifiée dans certaines circonstances, sous réserve des critères prévus à l’article 1. En l’espèce, la Cour a reconnu qu’une réglementation proportionnée de l’expression commerciale correspond généralement au caractère de l’expression commerciale.

La Cour (et Clearview) ont convenu que la PIPA sert un objectif urgent et substantiel, et que ses dispositions sont rationnellement liées à cet objectif.

Cependant, la dispense pour les renseignements publiquement accessibles est trop large en ce qu’elle soumet à l’obligation de consentement toute collecte, utilisation et communication des renseignements personnels publiés sur Internet sans paramètres de confidentialité. Cette dispense est « fondée sur la source » plutôt que sur l’objectif, ce qui signifie qu’elle s’appliquerait aussi aux moteurs de recherche qui indexent Internet; alors qu’il n’y a pas de justification urgente et substantielle pour exiger un consentement dans ce cas.

Même si l’Alberta a probablement un intérêt légitime à empêcher que les renseignements personnels soient utilisés par un système de reconnaissance faciale comme celui de Clearview (étant donné l’atteinte potentielle à la vie privée), la dispense est trop large parce qu’elle restreint d’autres expressions pour lesquelles il n’y a pas de telle justification (par exemple, les moteurs de recherche).

La Cour a donc supprimé la phrase « notamment les revues, les livres et les journaux » de la définition du terme « publication » de la PIPA. Selon elle, ce changement aurait pour effet d’y donner le sens ordinaire du mot « publication », à savoir quelque chose « rendu public intentionnellement ». Malgré ce changement, la collecte, l’utilisation et la communication de renseignements personnels sont encore soumises à l’exigence de caractère raisonnable de la PIPA.

Répercussions pour les entreprises

Ambiguïté juridique

Cette décision crée de l’ambiguïté pour les entreprises (surtout celles qui exercent des activités dans plusieurs provinces) qui entraînent leurs systèmes d’IA sur les données publiées en ligne. Selon la décision de la Colombie-Britannique et les conclusions initiales des commissaires, les personnes qui publient des renseignements personnels en ligne en conservent le contrôle, et donc, même si les renseignements sont rendus publics intentionnellement, le consentement est requis. Cette approche est conforme aux décisions et aux lignes directrices duCommissariat à la protection de la vie privée fédéral. À l’opposé, la Cour de l’Alberta a jugé l’exigence de consentement à l’égard de renseignements publics inconstitutionnelle. Par ailleurs, cette décision pourrait faire l’objet d’un appel ou être rendue obsolète par la réforme législative envisagée par l’Alberta.

Pas de passe-droit pour le moissonnage de données

Même si cette décision fait encore autorité, les entreprises ne doivent pas penser qu’elle leur donne un passe-droit pour le moissonnage de données publiées en ligne, que ce soit en Alberta ou ailleurs.

Compte tenu des approches différentes adoptées en Colombie-Britannique et par les organismes de réglementation, toute stratégie nationale concernant la collecte de données en ligne doit respecter les limites fixées ailleurs qu’en Alberta. Même si la collecte ne se fait qu’en Alberta, il serait difficile de confirmer que toutes les personnes visées résident dans la province (ce qui serait déjà peu probable). En outre, l’utilisation de renseignements publiquement accessibles continuera à être assujettie à des restrictions, puisque toute collecte, utilisation ou communication doit rester dans les limites de ce qu’une personne raisonnable considérerait comme approprié dans les circonstances.

Les organismes de réglementation et les tribunaux continueront probablement à être préoccupés par le moissonnage du Web, particulièrement lorsqu’il s’agit d’images (et surtout d’images d’enfants) et que la collecte se fait à des fins de surveillance de masse (comme la mise au point de matrices de reconnaissance faciale).

En résumé, il est préférable d’obtenir des conseils juridiques avant de s’appuyer sur des dispenses législatives, dont la dispense pour les « renseignements publiquement accessibles » prévue par la PIPA.

Utilisation de renseignements publiquement accessibles pour l’entraînement de l’IA

Ce n’est pas parce que des renseignements personnels sont publiés en ligne qu’ils peuvent être utilisés pour entraîner des modèles d’IA. Les entreprises qui acquièrent des données à cette fin doivent s’assurer qu’elles connaissent la source de celles-ci. Il peut être prudent d’acheter des ensembles de données plutôt que de prélever des données par moissonnage.

Sociétés exploitant des sites Web et des plateformes

Les exploitants de sites Web dont le contenu est publié par les utilisateurs doivent garder à l’esprit que les organismes de réglementation s’attendent à ce qu’ils protègent ces données contre les pratiques de moissonnage préjudiciables ou illégales. Comme le démontre cette décision, une mesure d’atténuation des risques consiste à configurer les paramètres de confidentialité des utilisateurs, permettant à ces derniers de déterminer si leurs données seront considérées comme publiquement accessibles.

Application extraterritoriale

Il faut aussi garder à l’esprit que les tribunaux ne considèrent pas Internet comme un espace sans frontières et que le régime de protection de la vie privée d’un territoire peut s’appliquer même si l’entreprise n’y exerce pas d’activités.