Commission d’accès à l’information du Québec Dossier : 1023158-S Nom de l’entreprise : CLEARVIEW AI INC. Date : Le 14 décembre 2021 Membre: M e Diane Poitras
ENQUÊTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé 1 .
APERÇU [1] La Commission d’accès à l’information (Commission) a mené une enquête conjointe sur les pratiques de Clearview AI inc. (Clearview) relativement à la collecte et à l’utilisation d’images de personnes provenant de photos publiées sur Internet. Ces images ont servi à créer une base de données de milliards d’images de visages et d’identifiants biométriques à partir de la technologie de reconnaissance faciale à des fins commerciales, et ce, sans le consentement des personnes concernées.
[2] Clearview considère qu’elle n’est pas soumise à la législation du Québec qui vise la protection des renseignements personnels dans le cadre de l’exploitation d’une entreprise ni à celle qui encadre l’utilisation de la biométrie, incluant la reconnaissance faciale. Elle soutient aussi que même si ces lois s’appliquaient à ses activités, elle n’a pas enfreint ces règles, puisqu’elle recueille et utilise des images provenant de sites Internet.
[3] La Commission rejette ces arguments et conclut que la législation pertinente, dont la Loi sur le privé, s’applique à Clearview et que celle-ci n’a pas respecté plusieurs de ses obligations légales. Voici pourquoi.
1 L.R.Q., c. P-39.1, la Loi sur le privé.
1023158-S
Page 2
CONTEXTE ET HISTORIQUE DU DOSSIER [4] En janvier et février 2020, certains médias ont signalé que Clearview recueillait des images numériques sur divers sites Internet, notamment Facebook, YouTube, Instagram, Twitter et Venmo, afin d’enrichir une base de données pour y effectuer des recherches à l’aide de la technologie de reconnaissance faciale. Cette collecte et cette utilisation se sont faites à l’insu et sans le consentement des personnes concernées, soit les personnes représentées sur les images.
[5] En février 2020, de nombreux médias ont confirmé qu’un certain nombre d’organismes d’application de la loi et d’entreprises privées au Canada avaient eu recours aux services de Clearview pour identifier des individus. Convaincus qu’il y avait des motifs raisonnables d’enquêter sur ces questions, le Commissariat à la protection de la vie privée du Canada, la Commission d’accès à l’information du Québec, le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique et le Commissariat à l’information et à la protection de la vie privée de l’Alberta (collectivement appelés « les commissariats ») ont respectivement ouvert des enquêtes au sujet de ces pratiques. Afin de maximiser l’expertise et les ressources et d’éviter un dédoublement de leurs efforts et de ceux de Clearview, les commissariats ont décidé de mener une enquête conjointe 2 .
[6] Le 3 juillet 2020, Clearview a indiqué avoir cessé ses activités commerciales concernant son outil de reconnaissance faciale au Canada.
[7] Le 29 octobre 2020, les commissariats ont transmis une lettre d’intention à Clearview pour l’aviser que, compte tenu des conclusions préliminaires, ils pourraient rendre les recommandations ou les ordonnances qui y sont énoncées.
[8] Le 20 novembre 2020, Clearview a fourni supplémentaires et des arguments relativement à cet avis.
des
observations
[9] Au terme de l’enquête et des observations supplémentaires, les commissariats ont transmis un rapport de conclusions dans lequel ils ont recommandé à Clearview de :
1) CESSER d’offrir à des clients au Canada les services de reconnaissance faciale qui ont fait l’objet de la présente enquête;
2) METTRE fin à la collecte, à l’utilisation et à la communication d’images et de matrices faciales biométriques recueillies auprès d’individus au Canada;
2 Lettre à Clearview du 20 février 2020.
1023158-S
Page 3
3) SUPPRIMER les images et les matrices faciales biométriques recueillies auprès d’individus au Canada qu’elle a en sa possession. 3
[10] Comme Clearview n’a pas répondu à ce rapport, les commissariats lui ont demandé de fournir ses intentions de se conformer aux recommandations 4 .
[11] Le 25 mai 2021, Clearview a réitéré les arguments mentionnés dans sa réponse du 20 novembre 2020. Dans cette réponse, Clearview a également affirmé qu’elle serait dans l’impossibilité de se conformer aux recommandations 2 et 3 :
« It is simply not possible, merely from photographs, to identify wether the individuals in the photographs are in Canada at the time of the photograph was taken, or whether they are Canadian citizens, residents, etc. »
[12] Bien que Clearview ait eu l’occasion de fournir ses observations supplémentaires à la suite de la lettre d’intention du 29 octobre 2020, la Commission a décidé de transmettre un préavis d’ordonnance spécifiquement sur les règles de la Loi sur le privé et de la Loi concernant le cadre juridique des technologies de l’information 5 avant de rendre une décision finale.
AVIS D’INTENTION ET OBSERVATIONS [13] Le 28 septembre 2021, la Commission transmet un avis informant Clearview de son intention de rendre les ordonnances suivantes au motif qu’elle ne respecte pas la Loi sur le privé ni la LCCJTI :
-
-
-
-
CESSER de constituer des dossiers sur autrui à l’occasion de l’exploitation d’une entreprise au Québec;
CESSER de collecter les images des personnes concernées, sans leur consentement, à l’occasion de l’exploitation d’une entreprise au Québec;
CESSER d’utiliser les images des personnes concernées pour créer des identifiants biométriques (également appelés vecteurs) à l’aide des photos obtenues, sans leur consentement, à l’occasion de l’exploitation d’une entreprise au Québec;
DÉTRUIRE les photos obtenues sans consentement des personnes
3 Rapport de conclusions daté du 2 février 2021, p.33 : https://decisions.cai.gouv.qc.ca/cai/ss/fr/item/492282/index.do?q=clearview. 4 Lettre datée du 26 avril 2021. 5 RLRQ, c. C-1.1, la LCCJTI.
1023158-S
-
Page 4
concernées à l’occasion de l’exploitation d’une entreprise au Québec; DÉTRUIRE les identifiants biométriques obtenus et créés sans le consentement des personnes concernées à l’occasion de l’exploitation d’une entreprise au Québec.
[14] Conformément à l’article 83 de la Loi sur le privé, la Commission a invité Clearview à fournir ses observations et un délai lui a été accordé pour ce faire.
[15] Le 28 octobre suivant, Clearview transmet ses observations. Elle réitère les arguments soumis aux commissariats dans le cadre de l’enquête et précise certains éléments propres à la législation québécoise. Ceux-ci sont abordés dans l’analyse qui suit.
ANALYSE [16] Le principal argument soulevé par Clearview concerne l’application de la législation québécoise aux pratiques faisant l’objet de l’enquête.
[17] Clearview soutient qu’elle n’est pas soumise à Loi sur le privé ni à la LCCJTI, car :
-
-
elle est une société incorporée et située aux États-Unis et y exécute tous ses services;
Clearview n’exploite pas activement une entreprise au Québec et n’y exerce plus aucune activité depuis juillet 2020;
- la législation provinciale n’a pas de portée extraterritoriale. [18] La Commission n’est pas de cet avis. 1. La Loi sur le privé et la LCCJTI s’appliquent aux pratiques de Clearview faisant l’objet de la présente enquête
[19] La Loi sur le privé s’applique à une entreprise qui recueille, détient, utilise ou communique des renseignements personnels à l’occasion de l’exploitation d’une entreprise.
[20] La Commission conclut que cette loi s’applique à Clearview lorsqu’elle exerce au Québec ses activités commerciales, notamment lorsqu’elle recueille, détient, utilise et communique des renseignements personnels à l’occasion de l’exploitation de son entreprise. Cette interprétation ne lui confère pas une portée extraterritoriale. Si c’est le cas, il existe un lien réel et substantiel entre les activités de Clearview visées par l’enquête et le Québec qui le justifient.
1023158-S
Page 5
[21] De plus, la LCCJTI s’applique aux caractéristiques et aux mesures biométriques créées par Clearview.
[22] Elle doit donc respecter les règles prévues par ces lois pour les motifs qui suivent.
1.1. Les pratiques de Clearview impliquent des renseignements personnels
[23] La Loi sur le privé prévoit que les renseignements qui concernent une personne physique et permettent de l’identifier sont des renseignements personnels, peu importe leur forme ou leur support 6 . Lorsqu’un renseignement permet de faire connaître quelque chose qui distingue une personne physique d’une autre, ce renseignement est donc personnel au sens de la Loi sur le privé 7 .
[24] Clearview indique qu’elle collecte par ratissage du Web les photos publiées sur les réseaux sociaux et sur des sites Internet à l’aide de l’indexeur d’images Image Crawler. Elle recueille aussi les métadonnées connexes à ces images de visages comme le titre, le lien vers la source et la description. Comme l’indique le rapport de conclusions à la suite de l’enquête conjointe, Clearview crée ensuite un identifiant biométrique pour chaque image ainsi recueillie afin de permettre l’identification et la mise en correspondance ultérieure à partir d’une image soumise par un client :
« Les images et les métadonnées obtenues au moyen de ce ratissage sont stockées indéfiniment sur les serveurs de Clearview, dans les catalogues d’images et de métadonnées, respectivement. Le réseau neuronal est à la base de l’algorithme qui analyse les images numériques de visages pour en faire des représentations numériques appelées « vecteurs ». Les vecteurs de Clearview comprennent 512 points de données représentant les diverses lignes uniques qui composent un visage. Clearview stocke ensuite l’ensemble de ces vecteurs dans sa base de données vectorielle, où ils sont associés aux images stockées sur son serveur. Un vecteur est associé à chaque image de la base de données afin de permettre l’identification et la mise en correspondance. » 8
[25] La Commission est d’avis que les images des visages et les
6 Article 2 de la Loi sur le privé. 7 Ségal c. Centre des services sociaux du Québec [1988] CAI 315. 8 Rapport de conclusions daté du 2 février 2021, par. 13, p. 8. Voir également la lettre de Clearview datée du 29 mai 2020.
1023158-S
Page 6
métadonnées ainsi recueillis sont des renseignements personnels, puisqu’elles permettent d’identifier la personne qu’elles concernent 9 . L’image d’une personne lui est propre et la distingue des autres individus. Les métadonnées qui l’accompagnent permettent également d’identifier cette personne, car elles sont associées à des liens vers un site comportant généralement des renseignements à son sujet, par exemple le profil de cette personne sur un réseau social.
[26] La Commission est également d’avis que les identifiants biométriques, les vecteurs créés par Clearview à l’aide des images collectées, sont des renseignements personnels 10 . En effet, ces identifiants biométriques composés de 512 points correspondent à d’autant d’éléments distinctifs du visage d’une personne qui lui sont propre. Ces caractéristiques biométriques sont uniques, peu susceptibles de varier dans le temps et intrinsèquement liées à l’individu. Elles permettent donc de l’identifier.
[27] Le fait que le nom de cette personne ne soit pas conservé avec l’image ou le vecteur ne modifie pas le caractère personnel de ces renseignements, pas plus que l’affirmation de Clearview voulant que ce soit le client et non elle qui, grâce aux métadonnées, identifie cette personne.
1.2. Clearview recueille, utilise, détient et communique ces renseignements à l’occasion de l’exploitation d’une entreprise
[28] Clearview soutient qu’elle n’est pas assujettie à la Loi sur le privé parce qu’elle n’exploite pas une entreprise au Québec. Elle précise :
- -
-
-
Clearview n’a plus aucune activité au Québec depuis juillet 2020 11 ; elle est une société incorporée aux États-Unis, dont le siège social, tous les bureaux et tous les serveurs d’exploitation sont situés aux États-Unis. Ses services sont fournis à partir des États-Unis;
la collecte, l’utilisation et la communication des renseignements personnels réalisées par Clearview sont faites par l’entremise de son serveur hôte situé aux États-Unis, incluant la collecte ou la communication de renseignements via Internet;
la base de données n’a pas été créée au Québec et elle n’est pas détenue au Québec – la « vaste majorité des données recueillies dans
9 Article 2 de la Loi sur le privé. 10 Article 2 de la Loi sur le privé; Rapport de conclusions, 2 février 2021, par.13, p.8. 11 Clearview affirme dans ses observations du 28 octobre 2021 qu’elle « n’exploite aucune activité dans la province de Québec, ou à tout le moins, qu’elle n’a définitivement plus aucune activité au Québec depuis juillet 2020 », p. 2.
1023158-S
Page 7
le cadre des activités de l’entreprise proviennent de l’extérieur du Québec » 12 ;
-
sa clientèle cible n’est pas principalement composée de Québécois et elle n’a aucun client québécois. L’accès au moteur de recherche de Clearview est maintenant bloqué pour les adresses IP canadiennes 13 .
[29] Clearview soutient donc que l’application de la Loi sur le privé à sa situation lui conférerait une portée extraterritoriale. Elle précise qu’à titre de loi provinciale, la Loi sur le privé est présumée ne pas avoir une portée extraterritoriale et elle ne prévoit pas expressément une telle portée.
[30] Clearview ajoute que même en appliquant le test du « lien réel et substantiel », elle n’est pas davantage soumise à cette loi, puisque ses activités ne sont pas exclusivement ou principalement exercées au Québec, ne visent pas principalement à offrir des services au Québec et ses effets ne sont pas principalement ressentis par des Québécois 14 .
[31] À la lumière de l’ensemble des faits au dossier, la Commission est d’avis que Clearview était assujettie à la Loi sur le privé au moment des faits à l’origine de l’enquête. Elle continue d’y être assujettie, bien qu’elle affirme ne plus offrir ses services au Canada depuis juillet 2020.
[32] En effet, la Loi sur le privé s’applique aux activités de Clearview au Québec; cela ne lui confère donc pas une portée extraterritoriale.
[33] Même si c’était le cas, il existe un lien réel et substantiel entre les activités de Clearview visées par l’enquête et le Québec.
• Étendue de la Loi sur le privé [34] La Loi sur le privé établit des règles à l’égard des renseignements personnels sur autrui qu’une personne recueille, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise 15 . Ces règles particulières sont établies « pour l’exercice des droits conférés par les articles 35 à 40 du Code civil
12 Observations supplémentaires de Clearview datées du 28 octobre 2021, p. 3. 13 Id. 14 Observations supplémentaires de Clearview datées 28 octobre 2021, référant à celles du 20 novembre 2020, p. 3-5. 15 Article 1 de la Loi sur le privé. L’exploitation d’une entreprise est définie comme étant « l’exercice, par une ou plusieurs personnes, d’une activité économique organisée, qu’elle soit ou non à caractère commercial, consistant dans la production ou la réalisation de biens, leur administration ou leur aliénation, ou dans la prestation de services ».
1023158-S
Page 8
en matière de protection des renseignements personnels » 16 . [35] Ce chapitre du Code civil du Québec 17 s’intitule « Du respect de la réputation et de la vie privée ». Il identifie notamment diverses atteintes à la vie privée d’une personne, dont l’utilisation de son image, son nom, sa ressemblance ou sa voix à toute autre fin que l’information légitime du public 18 .
[36] La Loi sur le privé vient encadrer certaines activités liées à l’exploitation d’une entreprise au Québec, dont la constitution d’un dossier sur autrui, la collecte, l’utilisation, la conservation et la communication de renseignements personnels.
[37] De plus, la Cour suprême du Canada a reconnu un caractère quasi constitutionnel à la loi albertaine, ayant des objectifs similaires à la Loi sur le privé :
« Une loi qui vise à protéger un droit de regard sur des renseignements personnels devrait être qualifiée de « quasi-constitutionnelle » en raison du rôle fondamental que joue le respect de la vie privée dans le maintien d’une société libre et démocratique. » 19
[38] La Commission est d’avis que cette conclusion s’applique à la Loi sur le privé.
[39] La question de déterminer si une entreprise exerce des activités de collecte, d’utilisation ou de communication de renseignements personnels au Québec, à l’occasion de l’exploitation de son entreprise, ne repose pas uniquement sur la localisation physique de l’entreprise, de ses serveurs ou des renseignements personnels qu’elle détient 20 , surtout à l’ère numérique. La Commission doit prendre en considération l’objet de la loi, la nature des droits qu’elle confère et l’ensemble des faits, comme le type d’activité commerciale en cause, le support numérique des renseignements et le véhicule utilisé pour les recueillir ou les communiquer.
• Clearview commercialise des renseignements personnels recueillis au Québec
16 Article 1 de la Loi sur le privé. 17 RLRQ, c. CCQ-1191, le CcQ. 18 Article 36 (5) du CcQ. 19 Alberta c. T.U.A.C., 2013 CSC 62, par. 19 et 20 à 24; Lavigne c. Canada (Commissariat aux langues officielles), 2002 CSC 53, par. 24 et 25. 20 Firquet c. Acti-Com, 2018 QCCAI 245; Institut d’assurance du Canada c. Guay, [1998] CAI 431; Lawson c. Accusearch Inc., 2007 CF 125, par. 49.
1023158-S
Page 9
[40] Clearview exploite une entreprise au sens de l’article 1525 du CcQ, puisqu’elle exerce une activité économique organisée à caractère commercial, qui consiste à offrir un service de reconnaissance faciale visant à faciliter l’identification de personnes à partir d’une image.
[41] Clearview a recueilli et recueille toujours des images faciales aux fins de l’exploitation de son entreprise. En fait, ces images constituent ni plus ni moins la « matière première » des services de reconnaissance faciale qu’elle offre. Elle les utilise pour créer un identifiant biométrique à partir de chaque image, lui permettant ainsi de faire des recherches dans sa banque de données pour identifier des images de visages correspondantes.
[42] Clearview admet recueillir ces images faciales à l’aide d’une technique de ratissage du Web, sans tenir compte de la géographie et de la source 21 . Ainsi, le ratissage aveugle auquel a procédé Clearview a sans nul doute permis de recueillir des renseignements personnels au Québec, notamment des images provenant de sources publiques québécoises 22 . Ce fait n’est pas nié par Clearview. Toutefois, elle prétend que cette collecte a eu lieu aux États-Unis, puisque ses serveurs y sont situés.
[43] Il est aussi indéniable que pour offrir ses services au Québec comme elle l’a fait, Clearview se devait d’avoir des renseignements personnels au sujet de personnes situées au Québec.
[44] Bien qu’elle indique avoir cessé ses activités au Canada en juillet 2020, Clearview a continué de recueillir des images faciales pour enrichir sa banque de données selon la technique de ratissage du Web 23 .
[45] Comme Clearview a admis conserver les photos collectées de manière indéfinie 24 , il est clair qu’elle possède toujours des images de personnes recueillies au Québec dans sa base de données et les identifiants biométriques qui y sont associés. Rien n’indique que ces renseignements ne sont plus utilisés par Clearview dans le cadre de l’exploitation de son entreprise.
[46] Ces renseignements servent notamment à enrichir la banque de données
21 Rapport de conclusions daté du 2 février 2021, par. 13 et s. 22 Rapport de conclusions daté du 2 février 2021, par. 30 iii, p. 13 par.33, p.14. 23 En février 2020, Clearview indique que sa banque contient plus de 3 milliards d’images faciales (https://jolt.law.harvard.edu/digest/clearview-ai-responds-to-cease-and-desist-letters-by-claiming-first-amendment-right-to-publicly-available-data), alors qu’en 2021 son site Internet indique qu’elle en contient plus de 10 milliards : https://www.clearview.ai/, consulté le 29 novembre 2021. 24 Rapport de conclusions daté du 2 février 2021, par. 13.
1023158-S
Page 10
de Clearview pour ensuite promouvoir les services qu’elle offre et l’ampleur de sa banque de données personnelles servant à la reconnaissance faciale.
[47] En effet, sur son site Internet Clearview fait la promotion de ses services en affirmant détenir « la plus importante banque de données d’images faciales » contenant plus de 10 milliards d’images « provenant de sources publiques sur Internet, incluant les médias, les sites publics de « mugshots », les réseaux sociaux et autres sources accessibles publiquement » 25 .
[48] Le type d’activité commerciale de Clearview ne requiert pas d’établir un bureau physique dans tous les endroits où elle recueille des renseignements personnels, exerce d’autres activités commerciales et offre ses services. En effet, Clearview est une entreprise technologique basée aux États-Unis et spécialisée dans la reconnaissance faciale. Ainsi, elle est en mesure de recueillir des images faciales et d’offrir ses services partout dans le monde grâce à Internet.
[49] Toutefois, cela ne la dispense pas de respecter la Loi sur le privé lorsqu’elle exerce l’une de ses activités au Québec, notamment la collecte de renseignements personnels.
[50] La Cour suprême du Canada a souligné la difficulté de limiter de manière territoriale les actions qui sont faites à l’aide d’Internet 26 qui n’a pas de frontière 27 . Dans l’affaire SOCAN, citée par Clearview à l’appui de sa position, elle souligne notamment que la communication Internet qui franchit une ou plusieurs frontières nationales « se produit » dans plus d’un pays, soit à tout le moins dans le pays de transmission et dans le pays de réception 28 .
[51] La Commission croit qu’il en est de même de la collecte de renseignements via Internet. La Cour fédérale a d’ailleurs reconnu que la loi fédérale visant à protéger les renseignements personnels s’appliquait à la collecte de renseignements provenant de sources canadiennes par une entreprise située aux États-Unis 29 . Le même raisonnement s’applique ici.
[52] Ainsi, la Loi sur le privé s’applique à Clearview lorsqu’elle recueille des renseignements personnels au Québec aux fins de les commercialiser; elle a recueilli et recueille toujours des renseignements personnels au Québec à
25 Traduction du site Internet de Clearview : https://www.clearview.ai/overview, consulté le 27 novembre 2021. 26 Société canadienne des auteurs, compositeurs et éditeurs de musique c. Association canadienne des fournisseurs Internet, 2004 CSC 45, par. 40 et 41 (SOCAN). 27 Google inc. c. Equustek solutions inc., 2017 CSC 824. 28 SOCAN, préc., note 26 par. 44. Voir aussi : Lawson, préc. note 20, par. 49. 29 Lawson, préc. note 20, par. 38 et suivants.
1023158-S
Page 11
l’occasion de l’exploitation d’une entreprise. Il ne s’agit pas d’une application extraterritoriale de la loi, puisque ces activités ont lieu au Québec.
• Clearview a utilisé et communiqué des renseignements personnels au Québec à des fins commerciales; elle y a offert ses services.
[53] L’enquête démontre que Clearview a offert ses services à des organismes chargés de l’application de la loi au Québec, notamment en offrant des comptes d’essai gratuits. Ses services ont été utilisés par des organismes et des entreprises situés au Québec comme le démontrent les comptes utilisateurs qui ont été créés et utilisés 30 . L’enquête démontre aussi que la Gendarmerie royale du Canada est devenue un client payant de l’entreprise 31 . Cet organisme exerce aussi des activités au Québec 32 .
[54] Les recherches effectuées par les personnes ayant créé des comptes utilisateurs aux noms d’organismes et d’entreprises qui exercent leurs activités exclusivement ou partiellement au Québec ont nécessairement impliqué :
-
-
-
la collecte d’une ou de plusieurs images par Clearview communiquées par l’utilisateur du compte d’essai, utilisateur situé au Québec;
l’utilisation par Clearview de cette image aux fins de la comparer avec sa banque d’images à l’aide de son outil de reconnaissance faciale aux fins d’offrir un service à un utilisateur situé au Québec;
la communication par Clearview à cet utilisateur du Québec des résultats de cette recherche, soit des renseignements personnels (images de visages correspondantes et métadonnées).
[55] Clearview a donc recueilli, utilisé et communiqué des renseignements personnels au Québec à l’occasion de l’exploitation de son entreprise. Pour les motifs exposés aux paragraphes 48 et 49, ces activités se sont faites au Québec. Il ne s’agit donc pas d’une application extraterritoriale de la Loi sur le privé.
• Clearview ne peut échapper au respect de la loi en affirmant avoir cessé d’offrir ses services au Québec
[56] Clearview offre des services de reconnaissance faciale en utilisant, entre autres, des images faciales recueillies au Québec ou concernant des personnes
30 Lettre de Clearview du 3 juin 2020 avec la liste des clients datée du 2 juin 2020. 31 Lettre de Clearview du 3 juin 2020 avec la liste des clients, Rapport de conclusions daté du 2 février 2021, p.12 par. 29 ii. 32 Articles 3 et 4 de la Loi sur la Gendarmerie royale du Canada, L.R.C. (1985) c. R-10.
1023158-S
Page 12
situées au Québec et leurs données biométriques. Par conséquent, Clearview continue la commercialisation de renseignements personnels recueillis au Québec ou concernant des personnes situées au Québec, leur utilisation et leur communication à l’occasion de l’exploitation de son entreprise.
[57] La Commission est d’avis que Clearview ne peut pas échapper à la Loi sur le privé en mentionnant simplement qu’elle n’offre plus de services au Québec. En effet, des renseignements personnels ont été recueillis, utilisés et communiqués au Québec, y sont toujours recueillis et l’objet de son produit commercial actuel est constitué en partie de ces mêmes renseignements personnels 33 .
[58] Une entreprise ne peut ainsi s’approprier des renseignements personnels au sujet d’une grande partie de la population du Québec et les commercialiser à sa guise, simplement en affirmant avoir cessé d’offrir ses services au Québec.
• Existence d’un lien réel et substantiel entre les activités de Clearview et le Québec
[59] Quelques mots au sujet de l’argument de Clearview voulant qu’il n’existe pas de « lien réel et substantiel » qui justifierait l’application extraterritoriale de la Loi sur le privé 34 .
[60] D’abord, tel que l’ont reconnu les tribunaux, rien ne s’oppose à ce qu’une loi valide du Québec s’applique à une partie qui n’y réside pas si le lien entre le Québec et cette partie est suffisant pour justifier l’application du régime règlementaire québécois à cette personne 35 .
[61] Le caractère « suffisant » du lien dépend du rapport qui existe entre le Québec, l’objet du texte de loi et l’individu ou l’entité qu’on cherche à assujettir à celui-ci 36 (dans le présent dossier, Clearview), notamment la nature de ses activités.
[62] Plusieurs facteurs peuvent être pertinents à cette analyse selon l’objet du litige dont il est question et le type d’entreprise concernée. Par exemple, en
33 La Cour supérieure a reconnu l’application de la législation québécoise à l’encontre d’une entreprise située au Royaume-Uni qui exploitait de manière commerciale des contenus dans le Registraire des entreprises du Québec, Opencorporates Ltd. c. Registraire des entreprises du Québec, 2019 QCCS 3801, par. 3 et 46. 34 Observations supplémentaires de Clearview du 28 octobre 2021, par. 21 et réponse de Clearview du 20 novembre 2020. 35 Quality Plus Tickets inc. c. Québec (Procureur général), 2013 QCCS 3780, par. 48. 36 Unifund Assurance Co. c. Insurance Corp. of British Columbia, 2003 CSC 40, par. 56.
1023158-S
Page 13
matière de droits d’auteur on a considéré les éléments permettant de déterminer le ou les lieux d’une communication impliquant l’utilisation d’Internet.
[63] En matière de protection des renseignements personnels, la Cour a considéré notamment l’origine du contenu faisant l’objet de l’activité commerciale, l’emplacement du public cible, l’emplacement de l’exploitant du site Web et du serveur hôte et si l’impact de l’activité est ressenti par la population de cette juridiction 37 .
[64] Dans le contexte de l’exploitation de la plateforme de reconnaissance faciale offerte par Clearview, l’emplacement du siège social de Clearview et de son serveur n’est pas un facteur déterminant, car elle offre ses activités mondialement par le biais d’Internet et la collecte des images se fait également mondialement 38 .
[65] Dans le contexte de la présente affaire, l’emplacement du contenu de la base de données, la « matière première » des services offerts par Clearview, constitue un facteur déterminant. Une partie de celle-ci est constituée d’images provenant du Québec et de Québécois.
[66] D’ailleurs, une collecte de renseignements au Canada par une entreprise étrangère a été considérée soumise à la loi fédérale sur la protection des renseignements personnels 39 . Selon la Cour suprême du Canada, le lieu de réception et le lieu d’origine d’un renseignement peuvent constituer des facteurs de rattachement tout aussi « importants » 40 .
[67] Les faits de l’enquête démontrent aussi que Clearview a visé un public québécois en offrant des comptes d’essai gratuits dans le but de recruter des clients payants.
[68] Contrairement aux prétentions de Clearview, il n’est pas nécessaire que le contenu de sa plateforme soit entièrement québécois ni destiné uniquement aux organisations québécoises (public cible) ou encore que ses activités concernent principalement des Québécois pour que ce lien soit établi.
37 A.T. c. Globe24h.com, 2017 CF 114, par. 53. Voir aussi : Rapport de conclusions d’enquête en vertu de la LPRPDE n o #2018-002, Commissariat à la protection de la vie privée du Canada, 12 juin 2018, accessible à l’adresse suivante : https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2018/lprpde-2018-002/, par. 77-78. 38 A.T. c. Globe24h.com, préc. note 37, par, 54 et 63. 39 Lawson, préc. note 20. 40 SOCAN, préc. note 26, par. 59 et Rapport de conclusions daté du 2 février 2021, p.13 par. 31 iii.
1023158-S
Page 14
[69] L’objet de la Loi sur le privé est d’établir des règles particulières pour l’exercice du droit au respect de la vie privée à l’égard des renseignements personnels sur autrui qu’une personne recueille, détient, utilise ou communique à des tiers à l’occasion de l’exploitation d’une entreprise 41 . Elle vise à protéger la vie privée des Québécois en établissant des règles que doivent respecter les entreprises.
[70] Clearview a exercé au Québec des activités commerciales qui impliquent la collecte, l’utilisation et la communication de renseignements personnels et a offert ses services à des organismes publics et des entreprises situés au Québec.
[71] Ses activités concernent des Québécois et ont un impact sur le respect de leur vie privée et la protection de leurs renseignements personnels, sur le contrôle qu’ils peuvent exercer sur ceux-ci.
[72] Compte tenu de l’objet de la Loi sur le privé, la Commission considère que le critère de l’impact de l’activité sur la population au Québec est aussi un facteur déterminant dans l’évaluation d’un lien suffisant entre le Québec et les activités de Clearview.
[73] Les activités de Clearview ont un impact indéniable sur la vie privée des Québécois. Elle s’est approprié sans leur consentement des millions d’images de Québécois, incluant des images de mineurs, les a utilisés pour, par la suite, créer un identifiant biométrique pour commercialiser à l’échelle mondiale cette gigantesque banque de données contenant des informations hautement sensibles.
[74] Aucune autre instance ne peut prétendre à un lien plus fort de voir au respect des règles de protection des renseignements personnels concernant des Québécois par une entreprise qui exerce des activités commerciales impliquant notamment la collecte massive de renseignements personnels au Québec aux fins de les commercialiser, notamment au Québec.
[75] Tel que le souligne la Cour suprême, le préjudice susceptible d’être infligé à une personne par une atteinte à son droit à la vie privée est exacerbé par la croissance d’Internet et l’étendue de ce réseau sans frontière. Il est donc particulièrement important de faire en sorte que la victime d’un tel préjudice ne soit pas privée de recours pour faire valoir ce droit compte tenu de son caractère quasi constitutionnel et de son incidence sur d’autres droits fondamentaux, comme la protection de l’autonomie physique et morale des personnes :
[59] Le litige porte en l’espèce sur le droit de Mme Douez
41 Article 1 de la Loi sur le privé.
1023158-S
Page 15
au respect de sa vie privée. Les dispositions qui garantissent ce droit se voient reconnaître un caractère quasi constitutionnel (Lavigne c. Canada (Commissariat aux langues officielles), 2002 CSC 53, [2002] 2 R.C.S. 773, par. 24-25). Notre Cour souligne dans maints arrêts l’importance de la vie privée et son rôle dans la protection de l’autonomie physique et morale des personnes (voir Lavigne, par. 25; Dagg c. Canada (Ministre des Finances), [1997] 2 R.C.S. 403, par. 65-66; R. c. Dyment, [1988] 2 R.C.S. 417, p. 427). Comme le fait observer la juge de première instance, la croissance d’Internet — un réseau quasi atemporel au rayonnement infini — a exacerbé le préjudice susceptible d’être infligé à une personne par une atteinte à son droit à la vie privée. Il est donc particulièrement important de faire en sorte que la victime d’un tel préjudice ne soit pas privée de recours. Et comme l’allégation de Mme Douez requiert l’interprétation d’un délit civil d’origine législative, seule l’interprétation par une juridiction locale des droits à la vie privée que confère la Privacy Act offrira aux autres résidents de la province clarté et certitude sur la portée de ces droits. 42
[76] Ainsi, si l’application de la Loi sur le privé en l’espèce devait avoir une portée extraterritoriale, la Commission est d’avis qu’il existe un lien suffisant entre le Québec et Clearview qui justifie une telle portée.
[77] La même conclusion s’applique pour la LCCJTI, pour les raisons indiquées au point suivant.
1.3. La LCCJTI s’applique aux activités de Clearview [78] Clearview ne nie pas avoir constitué un système biométrique. Elle prétend ne pas l’avoir constitué au Québec, ses activités se déroulant aux États-Unis.
[79] La Commission est d’avis que, même si le système est hébergé à l’extérieur du Québec, Clearview a néanmoins recueilli des images dans le cadre de l’exploitation d’une entreprise au Québec afin de constituer cette banque de données biométriques qui contient des renseignements au sujet de Québécois.
[80] Aussi, le caractère véritable des dispositions en cause de la LCCJTI est le respect de la vie privée des personnes concernées, leur intégrité et la protection de leurs renseignements personnels. L’utilisation du terme « nul » à l’article 44
42 Douez c. Facebook, Inc., 2017 CSC 33.
1023158-S
Page 16
traduit la volonté que cette obligation impérative soit imposée à tous. Les effets extraterritoriaux, s’il y en a, ne sont qu’accessoires.
[81] Tel qu’indiqué précédemment, en offrant ses services à l’intérieur des limites de la province, en y recueillant et en y utilisant des renseignements personnels, Clearview a exploité une entreprise au Québec. Par conséquent, Clearview est assujettie à la législation applicable dans la juridiction dans laquelle elle exerce ses activités. L’enquête démontre qu’elle a exercé des activités au Québec, notamment la collecte d’images qui ont servi à la constitution d’identifiants biométriques 43 . L’emplacement physique de Clearview et l’endroit où est hébergée la banque ne sont donc que des accessoires qui ne lui permettent pas de s’exclure de l’application de la LCCJTI.
2. Clearview a collecté des renseignements personnels auprès de tiers sans obtenir le consentement des personnes concernées
[82] La Loi sur le privé prévoit qu’une entreprise qui collecte des renseignements personnels sur autrui doit le faire auprès de la personne concernée 44 . Cependant, l’entreprise peut recueillir ces renseignements auprès de tiers si elle obtient le consentement des personnes concernées 45 . Ce consentement doit être libre, éclairé et donné à des fins spécifiques 46 . Au surplus, ce consentement doit être exprès, car l’identification se fait à l’aide d’un procédé utilisant leurs caractéristiques biométriques 47 .
[83] Dans le cadre de l’enquête conjointe, Clearview a admis ne pas avoir demandé le consentement des personnes concernées pour avoir recueilli leurs images sur les sites Web et les réseaux sociaux où les photos ont été publiées ni pour créer les identifiants biométriques à partir de ces images 48 .
[84] En effet, Clearview est d’avis qu’elle n’a pas à demander de consentement, puisque les images sont accessibles au public et qu’elles ont un caractère public.
43 Voir notamment : Procureur général (Québec) c. Kellogg’s Co. of Canada et autre, [1978] 2 R.C.S. 211 et Quality Plus Tickets inc. c. Québec (Procureur général), préc. note 35. 44 Article 6 de la Loi sur le privé. 45 Article 6 de la Loi sur le privé, quant au consentement, voir le Rapport de conclusions daté du 2 février 2021, par. 36 à 67. 46 Article 14 de la Loi sur le privé. 47 Article 44 de la LCCJTI, voir le Rapport de conclusions daté du 2 février 2021, par 102 à 110. 48 Rapport de conclusions daté du 2 février 2021, par. 39 : la création de ces identifiants constitue une collecte et une utilisation supplémentaire de renseignements personnels qui doit respecter la législation.
1023158-S
Page 17
[85] La Loi sur le privé prévoit que les obligations des sections I et II, soit celles relatives à la collecte et au caractère confidentiel des renseignements, ne s’appliquent pas aux renseignements qui ont « un caractère public en vertu de la loi ».
[86] Or, aucune loi au Québec ne confère un caractère public aux renseignements personnels du seul fait qu’ils sont diffusés sur les réseaux sociaux ou sur Internet. La publication d’images sur un site Internet ou un réseau social ne signifie pas nécessairement que le sujet de la photo consent à ce que son image soit recueillie et utilisée par un tiers, notamment aux fins de créer un identifiant biométrique à son sujet et de commercialiser un système de reconnaissance faciale.
[87] D’ailleurs, l’enquête conjointe a démontré que Clearview n’a pas de lien avec les sites Web qui auraient pu obtenir le consentement des personnes concernées 49 . En fait, plusieurs hébergeurs des sites ratissés par Clearview ont fait valoir que cette collecte ne respecte pas leurs conditions de service. Sans se prononcer sur cette question, il est toutefois pertinent de souligner que les usagers de ces sites qui y diffusent des renseignements personnels étaient en droit de s’attendre que les conditions d’utilisations soient respectées.
[88] Clearview fait valoir que l’expression « caractère public » devrait recevoir la même interprétation que les exceptions prévues dans d’autres lois canadiennes qui indiquent ne pas s’appliquer aux informations « accessibles au public ». Elle considère que les renseignements qu’elle recueille et utilise font partie de cette catégorie.
[89] La Commission n’est pas de cet avis. [90] L’expression « caractère public en vertu de la loi » est distincte de l’expression utilisée dans ces autres lois. Comme l’indique Clearview, l’exception au consentement qu’elle constitue est beaucoup moins large que celle prévue dans les autres lois. En fait, la loi précise explicitement que ce caractère public doit être établi par une loi.
[91] Conclure que le caractère public d’un renseignement n’a pas à être établi par une loi irait directement à l’encontre du texte même de cette exception. La Commission ne peut aller à l’encontre de l’intention clairement exprimée par le législateur.
[92] Enfin, la Commission ne retient pas davantage l’argument de Clearview
49 Rapport de conclusions daté du 2 février 2021, par.78.
1023158-S
Page 18
voulant qu’une telle exception est nécessairement implicite à défaut de quoi la Loi sur le privé serait invalide parce que contraire à la liberté d’expression garantie par les chartes québécoise et canadienne.
[93] Cette question a été abordée dans le rapport de conclusions. Clearview a été avisée que pour invoquer une violation à la charte canadienne ou québécoise, elle devait déposer un avis au procureur général du Québec 50 .
[94] Clearview n’a pas informé la Commission de l’existence d’un tel avis. Par conséquent, la Commission ne peut se prononcer sur de cette allégation.
[95] La Commission conclut donc qu’avant de collecter les images sur le Web au Québec, Clearview devrait avoir obtenu le consentement libre, éclairé et exprès des personnes concernées.
3. Clearview n’a pas un intérêt sérieux et légitime de constituer un dossier sur autrui
[96] Selon la Loi sur le privé, une entreprise peut constituer un dossier sur autrui si elle a un intérêt sérieux et légitime de le faire 51 .
[97] Comme indiqué précédemment, Clearview a constitué un dossier au sujet de chaque image de visage recueillie en y associant les métadonnées connexes à cette image et un identifiant biométrique.
[98] Clearview affirme avoir un intérêt sérieux et légitime de constituer des dossiers par la collecte des images et la création d’identifiants biométriques, puisqu’elle offre à ses clients, soit des organismes chargés de l’application de la loi, d'obtenir des informations rapidement et avec précision au cours d'une enquête. Elle affirme que ses activités commerciales ont pour objet de renforcer la sécurité publique, de réduire la criminalité et de rendre justice aux victimes 52 .
[99] Clearview compare même son service à celui de témoins rencontrés dans le cadre d’une enquête qui font « une identification potentielle dans le contexte d’une parade d’identification ou d’un témoin oculaire » 53 . Elle soutient que sa plateforme permet de regrouper des informations par ailleurs accessibles à un
50 Article 76 du Code de procédure civile du Québec, RLRQ, c. C-25.01. 51 Article 4 de la Loi sur le privé. Dans l’analyse de l’intérêt sérieux et légitime, la Commission considère la légalité de l’objectif poursuivi et sa conformité au droit, à la justice et à l’équité, selon la définition courante du terme « légitime » : Institut généalogique Drouin Inc., CAI 091570, décision de D. Poitras, 6 février 2015. 52 Observations supplémentaires de Clearview du 28 octobre 2021. 53 Rapport de conclusions daté du 2 février 2021, par. 82, p. 25.
1023158-S
Page 19
même endroit afin de pouvoir effectuer un exercice similaire à plus grande échelle 54 .
[100] Selon Clearview, une personne raisonnable considérerait qu’il s’agit d’un objectif légitime et approprié.
[101] La Commission est d’avis que Clearview n’a pas un intérêt sérieux et légitime de constituer un dossier sur autrui.
[102] D’une part, la Commission ne peut accorder un caractère sérieux et légitime à l’intérêt de Clearview de constituer des dossiers pour offrir un service d’identification par recherche d’images en utilisant la reconnaissance faciale 55 .
[103] La Commission considère notamment le caractère particulièrement sensible et intime des renseignements biométriques en cause qui utilisent les caractéristiques corporelles comme moyen d’identification pour évaluer le caractère sérieux et légitime poursuivi. Tel qu’indiqué dans le rapport de conclusions, « les renseignements biométriques sont distinctifs, peu susceptibles de varier dans le temps, difficiles à modifier et en grande partie propres à la personne. Les données biométriques faciales sont de nature particulièrement sensible, car elles constituent l’essence de l’identité d’une personne et permettent d’identifier et de surveiller les personnes » 56 , même à leur insu.
[104] Or, Clearview s’approprie des images par ratissage du Web dans le but de créer une banque d’images et d’identifiants biométriques à des fins purement commerciales 57 .
[105] D’autre part, la Commission est d’avis que Clearview n’a pas d’intérêt légitime de constituer un dossier sur autrui. En effet, Clearview a constitué une banque de données biométriques à l’aide de milliards d’images en contravention des lois québécoises. Le service d’identification qu’elle offre constitue une forme de surveillance de masse de la population par une entreprise privée qu’aucune loi au Québec n’autorise. Par conséquent, la constitution de dossiers pour effectuer cette activité commerciale ne peut être légitime.
[106] Clearview ne peut utiliser l’objectif de ses clients actuels, soit celui de résoudre des crimes, pour prétendre avoir un intérêt sérieux et légitime.
[107] Les organismes chargés de l’application de la loi disposent de larges
54 Rapport de conclusions daté du 2 février 2021, par. 82, p. 25. 55 Rapport de conclusions daté du 2 février 2021, par. 76, p.24. 56 Rapport de conclusions daté du 2 février 2021, par. 74, p.23. 57 Rapport de conclusions daté du 2 février 2021, par. 77.
1023158-S
Page 20
pouvoirs de collecte de renseignements, balisés par les lois sur la protection des renseignements personnels, les chartes québécoise et canadienne et d’autres législations 58 . Clearview ne dispose pas de tels pouvoirs. L’intérêt principal de l’entreprise est commercial : elle vend un service d’identification à partir d’une image et de la technologie de reconnaissance faciale.
4. Clearview a utilisé les images des utilisateurs de réseaux sociaux sans leur consentement et à leur insu
[108] Une entreprise doit obtenir le consentement de la personne concernée pour utiliser ses renseignements personnels à des fins non pertinentes à l’objet du dossier 59 .
[109] Clearview admet ne pas avoir obtenu le consentement des personnes concernées pour utiliser leurs images et pour créer un identifiant biométrique.
[110] Ainsi, Clearview a utilisé des images provenant de réseaux sociaux et de sites Web pour créer des identifiants biométriques sans le consentement des personnes concernées sans respecter la Loi sur le privé.
[111] Contrairement à ce que soutient Clearview, même si un renseignement personnel est diffusé sur un site public, cela ne veut pas dire que ce renseignement peut être utilisé à d’autres fins sans le consentement de la personne concernée 60 . La publication d’images sur un site Web ou les réseaux sociaux ne signifie pas forcément que son auteur ou son sujet consent à ce qu’elles soient utilisées par un tiers.
[112] Enfin, en créant des identifiants biométriques à l’aide de photos recueillies au Québec, Clearview a créé une banque de caractéristiques biométriques et elle ne l’a pas divulgué à la Commission, contrairement à ce que prévoit la loi 61 .
[113] Finalement, la Commission ne retient pas la comparaison que fait Clearview de son service de reconnaissance faciale avec d’autres plateformes de recherche sur le Web. L’enquête ayant mené à la présente décision ne vise pas la légitimité de l’ensemble de l’industrie de la recherche de renseignements sur Internet incluant les outils de « recherche d’image inversée », mais uniquement
58 Par exemple, leur pouvoir de constituer des bases de données au sujet d’individus et leur contenu est encadré notamment par la Loi sur l’identification des criminels, L.R.C. (1985), ch. I-1. 59 Articles 13 et 14 de la Loi sur le privé. 60 Confédération des syndicats nationaux, CAI 1009621-S et 1009629-S, décision de C. Chassigneux, 12 novembre 2019. Voir également la Loi sur le privé, section 13. 61 Article 45 de la LCCJTI.
1023158-S
Page 21
les pratiques de Clearview. Ainsi, les agissements d’autres entreprises ne dispensent pas Clearview de respecter ses obligations légales au Québec.
5. Exécution de l’ordonnance de la Commission [114] Clearview fait valoir que l’ordonnance envisagée n’est d’aucune utilité, puisqu’elle n’exerce plus d’activités au Québec depuis juillet 2020. Elle soutient aussi qu’elle ne pourrait se conformer aux ordonnances de destruction des renseignements, puisqu’elle ne peut identifier « tous les potentiels résidents québécois à travers son système de photographies, et encore moins les informations qui auraient été obtenues dans le cadre de ses « soi-disant » activités au Québec » 62 .
[115] D’abord, il serait pour le moins incongru qu’une entreprise puisse conserver et utiliser à des fins commerciales des renseignements personnels obtenus en contravention de la législation applicable en soutenant qu’elle ne peut identifier tous les renseignements ainsi obtenus sans droit. Clearview avait la responsabilité de s’assurer que ses pratiques respectaient la législation applicable avant d’exercer des activités de collecte, d’utilisation et de communication de renseignements personnels au Québec et d’y offrir ses services. L’impossibilité alléguée de se conformer à l’ordonnance est le résultat des agissements même de Clearview et celle-ci ne pourrait l’invoquer à son avantage au détriment des droits des personnes dont les images ont été recueillies et utilisées en contravention de la loi.
[116] Par ailleurs, la Commission est d’avis que les autres renseignements associés à l’image, également collectés et conservés par Clearview, dont les métadonnées qui y sont associées, peuvent permettre d’identifier les images visées par la présente ordonnance. En effet, dans le cadre d’une procédure judiciaire dans l’État de l’Illinois, Clearview a affirmé avoir pris des mesures pour prévenir la collecte de vecteurs faciaux provenant de photos associées à l’État de l’Illinois et pour interdire la recherche de photos existantes associées à cet État, notamment en utilisant ces métadonnées 63 .
62 Observations supplémentaires de Clearview du 28 octobre 2021. 63 Clearview Defendant’s memorandum of law in opposition to plaintiff’s motion for preliminary injunction. In David Mutnick v. Clearview AI inc; Hoan Ton-That; Richard Schwartz and CDW Government LLC, Case No. 20-cv 512, United States District Court for the Northern District of Illinois, eastern Division, notamment aux pages 3 et 4.
1023158-S
Page 22
POUR CES MOTIFS, LA COMMISSION : [117] ORDONNE à Clearview de : - CESSER de constituer des dossiers sur autrui à l’occasion de l’exploitation d’une entreprise au Québec;
-
-
-
-
CESSER de recueillir des images, sans le consentement des personnes concernées, à l’occasion de l’exploitation d’une entreprise au Québec;
CESSER d’utiliser ces images pour créer des identifiants biométriques (vecteurs), sans le consentement des personnes concernées, à l’occasion de l’exploitation d’une entreprise au Québec;
DÉTRUIRE, dans un délai de 90 jours de la réception de la présente décision, les images recueillies sans le consentement des personnes concernées à l’occasion de l’exploitation d’une entreprise au Québec;
DÉTRUIRE, dans un délai de 90 jours de la réception de la présente décision, les identifiants biométriques (vecteurs) créés sans le consentement des personnes concernées, à partir des images ainsi recueillies, à l’occasion de l’exploitation d’une entreprise au Québec.
« Original signé » M e Diane Poitras Présidente et membre de la Commission