Québec Bureau 2.36 525, boulevard René-Lévesque Est Québec (Québec) G1R 5S9 Téléphone : 418 528-7741 Télécopieur : 418 529-3102
Montréal Bureau 900 2045, rue Stanley Montréal (Québec) H3A 2V4 Téléphone : 514 873-4196 Télécopieur : 514 844-6170
Commission d’accès à l’information du Québec Dossier : 1037199-S
Nom de l’Entreprise :
Date :
Membre :
METRO INC.
Le 18 février 2025
M
e
Steeven Plante
DÉCISION
ENQUÊTE en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé (ci-après « la Loi sur le privé ») et de la Loi concernant le cadre juridique des technologies de l’information (ci-après « la LCCJTI ») 1 .
APERÇU
a. La déclaration d’une banque de caractéristiques ou de mesures biométriques
[1] Le 6 septembre 2024, la Commission d’accès à l’information du Québec (ci-après « la Commission ») reçoit de la société METRO inc. (ci-après « l’Entreprise ») une déclaration l’informant de son intention de mettre en place une banque de caractéristiques ou de mesures biométriques (ci-après « la déclaration »).
b. Le projet pilote de l’Entreprise [2] Selon cette déclaration, l’Entreprise entend constituer une banque de caractéristiques ou de mesures biométriques, à titre de projet pilote, afin de soutenir la mise en place de systèmes de reconnaissance faciale dans certains de ses établissements.
1
RLRQ c. C-1.1, « la LCCJTI » et RLRQ c. P-39.1, « la Loi sur le privé ».
1037199-S
Page : 2
[3] L’objectif annoncé de ce projet pilote est de contrer le vol à l’étalage et la fraude dans certains des établissements de l’Entreprise qui opèrent sous les bannières Metro, Super C et Jean Coutu 2 .
[4] Selon le processus divulgué par l’Entreprise, la reconnaissance faciale envisagée serait effectuée à partir des images captées par les caméras de vidéosurveillance installées aux entrées et sorties de ses établissements.
[5] Ces images seraient comparées par des algorithmes aux images de référence contenues dans la base de caractéristiques ou de mesures biométriques de l’Entreprise.
[6] S’il y a correspondance entre l’image captée par les caméras de vidéosurveillance et la banque constituée, une alerte serait transmise aux responsables de l’établissement en cause 3 .
[7] Les images de référence contenues à la banque seraient collectées à partir des images captées par les caméras de vidéosurveillance de l’Entreprise 4 lors d’évènements de vols à l’étalage ou de fraude impliquant des personnes majeures et qui ont fait l’objet d’une intervention policière 5 .
[8] Le dépôt de ces images de référence à la banque devrait être fait conformément au protocole d’utilisation de la banque et être accompagné de la fiche de renseignements obligatoires 6 .
[9] Dans le cadre de son projet pilote, l’Entreprise a l’intention de tester deux (2) systèmes de reconnaissance faciale différents.
[10] Le premier système utilisera les images déposées dans la banque afin d’identifier les caractéristiques distinctives des visages des personnes à partir de cinquante-six (56) points de repère, comme la distance entre les yeux, la forme, la couleur des yeux, la forme du nez et les proportions du visage. Ces caractéristiques seront converties en représentations numériques qui seront stockées dans la banque aux fins de comparaison avec les images captées par les caméras de vidéosurveillance des établissements 7 .
2 Lettre du 5 septembre 2024 et Déclaration d’un système biométrique, Annexes du rapport préliminaire (« Annexes »), p. 17 et 44. 3 Lettre du 15 octobre 2024, Annexes p. 52. 4 Compte rendu du 15 octobre 2024, question 11, Annexe p. 6. 5 Lettre du 5 septembre 2024, Protocole de constitution de la Banque de données, Annexes p. 18 et 28. 6 Lettre du 5 septembre 2024 et Fiche des renseignements obligatoires qui accompagnent le dépôt de la photo dans le système, Annexes p. 18,19 et 31. 7 Lettre du 15 octobre 2024, Annexes p.51.
1037199-S
Page : 3
[11] Le deuxième système utilisera les images déposées dans la banque pour créer une signature basée sur une formule mathématique qui sera générée par l’intelligence artificielle 8 .
[12] Pour ces deux (2) systèmes, les images brutes captées par les caméras de vidéosurveillance seront converties en représentations numériques qui seront utilisées aux fins de comparaison avec les représentations stockées dans la banque de données biométriques 9 .
c. L’enquête de la Direction de la surveillance de la Commission [13] Le 2 octobre 2024, la Direction de la surveillance de la Commission (ci- après « la Direction de la surveillance ») fait parvenir à l’Entreprise un avis d’enquête afin de l’informer que le système biométrique projeté soulève des préoccupations quant à l’application de la Loi sur le privé et de la LCCJTI 10 .
[14] Dans le cadre de cet avis, la Direction de la surveillance demande la collaboration de l’Entreprise pour suspendre la mise en service ainsi que l’utilisation de la banque projetée pour la durée de l’enquête.
[15] Le 17 octobre 2024, l’Entreprise confirme par courriel son engagement à ne pas débuter son projet pilote pour la durée de l’enquête 11
.
[16] L’enquête menée par la Direction de la surveillance comporte deux (2) phases. La première vise à documenter de possibles manquements à la LCCJTI et la deuxième vise à documenter les éléments en lien avec le respect de la Loi sur le privé, notamment quant au critère de la nécessité de la collecte des renseignements personnels.
[17] Le 18 octobre 2024, à la suite de la première phase de son enquête, la Direction de la surveillance produit un rapport préliminaire concernant le projet de système biométrique de reconnaissance faciale de l’Entreprise, incluant la constitution de la banque projetée.
[18] Dans le cadre de ce rapport préliminaire, l’enquêteur formule notamment les conclusions préliminaires suivantes :
L’Entreprise prévoit utiliser un système biométrique de reconnaissance faciale dans ses établissements;
8 Idem. 9 Idem. 10 Avis d’enquête du 2 octobre 2024, Annexes p. 1 et 2. 11 Courriel du 17 octobre 2024, Annexes p. 13.
1037199-S
Page : 4
Les visages des clients seront analysés systématiquement lors de leur entrée dans un établissement de l’Entreprise; La vérification ou la confirmation de l’identité du client semble faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques; L’Entreprise prévoit créer une base de données contenant des renseignements personnels et des caractéristiques ou des mesures biométriques concernant une personne suspecte 12 .
[19] L’enquêteur note que l’Entreprise n’a pas l’intention d’obtenir le consentement exprès des personnes concernées par la création de cette banque et par son processus de vérification ou de confirmation de l’identité 13 .
[20] L’enquêteur relève dans son rapport que les photos des individus identifiés comme ayant été impliqués dans des évènements de vols à l’étalage ou de fraude seront obtenues à partir des caméras de vidéosurveillance des établissements, converties en représentations numériques, déposées et conservées avec ces représentations dans la banque de l’Entreprise aux fins de comparaison dans le processus projeté de traitement des données biométriques 14 .
PRÉAVIS D’ORDONNANCE [21] Le 1 er novembre 2024, la Commission émet un préavis d’ordonnance afin d’informer l’Entreprise que la première phase de l’enquête démontre que son projet pourrait contrevenir à la LCCJTI.
[22] Considérant la seconde phase de l’enquête envisagée, la Commission informe l’Entreprise qu’elle se réserve le droit de continuer toute démarche d’enquête, de rendre tout préavis et toute ordonnance concernant le respect des dispositions prévues à la Loi sur le privé, dont notamment la question de la légitimité des objectifs de l’Entreprise et la question de la nécessité de la collecte de renseignements personnels projetée.
[23]
Par son préavis d’ordonnance, la Commission informe l’Entreprise : a. Qu’elle estime que la mise en place d’une telle banque de caractéristiques ou de mesures biométriques consiste dans les faits à exiger la vérification ou la confirmation de l’identité des personnes au moyen d’un procédé permettant de saisir des caractéristiques ou
12 Rapport d’enquête préliminaire (« Rapport préliminaire »), p. 14. 13 Rapport préliminaire p.12 et 13. 14 Rapport préliminaire p. 7 et 12.
1037199-S
Page : 5
des mesures biométriques et par conséquent, requiert l’obtention du consentement exprès des personnes concernées en vertu de l’article 44 de la LCCJTI;
b. Que le projet tel que soumis ne prévoit pas l’obtention d’un tel consentement exprès et pourrait porter autrement atteinte à la vie privée des personnes concernées;
c. Que l’utilisation projetée par l’Entreprise de la banque pourrait contrevenir à la LCCJTI;
d. Que le fait que le processus projeté soit basé sur les interventions policières pour vol à l’étalage et fraude plutôt que sur des jugements reconnaissant la culpabilité des personnes impliquées dans ces évènements pourrait amener la Commission à conclure à une contravention au droit d’être présumé innocent et avoir ainsi une incidence sur le test de la légitimité prévu à l’article 4 de la Loi sur le privé.
[24] Elle informe l’Entreprise du fait qu’elle pourrait rendre l’ordonnance suivante :
INTERDIT la mise en service de la banque de caractéristiques ou de mesures biométriques projetée par l’Entreprise aux fins d’identifier, au moyen de la reconnaissance faciale, les personnes qui ont déjà été impliquées dans des évènements de vols à l’étalage ou de fraude dans les établissements de l’Entreprise.
[25] Conformément à l’article 83 de la Loi sur le privé ainsi qu’au principe d’équité procédurale, la Commission invite l’Entreprise à présenter ses observations et à produire tout document relativement à la position annoncée à son préavis.
OBSERVATIONS DE L’ENTREPRISE [26] Le 18 décembre 2024, l’Entreprise transmet ses observations relativement au préavis de la Commission.
[27] que :
Dans le cadre de ses observations, l’Entreprise exprime sa position à l’effet
1037199-S
Page : 6
a. L’identification se distinguerait de la confirmation ou la validation de l’identité et que selon son point de vue, l’article 44 de la LCCJTI ne s’appliquerait pas à l’identification 15 ;
b. L’article 44 de la LCCJTI comporterait trois (3) critères qui seraient cumulatifs, soit 1) la validation ou la confirmation de l’identité, 2) faite au moyen, 3) d’une saisie de mesures biométriques et que cet article ne s’appliquerait pas à son projet pilote étant donné que ces trois (3) éléments ne se feraient pas simultanément au cours du processus projeté 16 ;
c. En vertu de l’article 12 de la Loi sur le privé, il lui serait possible d’utiliser à des fins secondaires et sans consentement, un renseignement personnel déjà collecté lorsque l’utilisation de ce renseignement est à des fins compatibles avec celles pour lesquelles il a été recueilli, et/ou lorsque l’utilisation de ce renseignement est nécessaire à des fins de prévention et de détection de la fraude ou d’évaluation et d’amélioration des mesures de protection et de sécurité 17 .
ANALYSE 1. Portée de la présente décision [28] Considérant les éléments recueillis lors de la première phase de l’enquête ainsi que le rapport préliminaire de la Direction de la surveillance, la présente décision porte sur l’application des articles 44 et 45 de la LCCJTI au projet de reconnaissance faciale de l’Entreprise, incluant la constitution de la banque projetée.
[29] Par conséquent et considérant la seconde phase de l’enquête envisagée par la Direction de la surveillance, les éléments et arguments ayant trait à la conformité à la Loi sur le privé, notamment quant à la légitimité des objectifs de l’Entreprise et à la nécessité de la collecte des renseignements personnels ne seront pas analysés en la présente.
2. L’Entreprise est assujettie à la Loi sur le privé
15 Observations p.10. 16 Observations p.11. 17 Observations p.14.
1037199-S
Page : 7
[30] L’Entreprise est une société par actions inscrite au Registraire des entreprises du Québec dont le secteur d’activité déclaré est « Société de portefeuilles (holdings) » 18 .
[31] L’Entreprise détient neuf-cent-quatre-vingt-dix-neuf (999) magasins dans le domaine de l’alimentation, au Québec et en Ontario. Ces magasins opèrent principalement sous les bannières Metro, Metro Plus, Super C, Food Basics, Adonis et Première Moisson 19 .
[32] De même, l’Entreprise détient six-cent-trente-neuf (639) pharmacies qui opèrent principalement sous les bannières de Jean Coutu, Brunet, Metro Pharmacy et Food Basics Pharcy 20 .
[33] L’adresse déclarée de l’Entreprise au Registraire des entreprises du Québec est le 11011 boulevard Maurice-Duplessis Montréal, dans la province de Québec.
[34] L’Entreprise exerce une activité économique organisée consistant notamment en l’aliénation de biens et la prestation de service, elle exploite donc une entreprise au Québec 21 et à ce titre est soumise à la Loi sur le privé à l’égard des renseignements personnels qu’elle collecte, conserve, utilise ou communique à des tiers 22 .
3. Le projet de reconnaissance faciale, incluant la constitution de la banque projetée est assujetti à la LCCJTI
a. Article 45 de la LCCJTI [35] L’article 45 de la LCCJTI prévoit : La création d’une banque de caractéristiques ou de mesures biométriques doit être divulguée à la Commission d’accès à l’information avec diligence, au plus tard 60 jours avant sa mise en service.
La Commission peut rendre toute ordonnance concernant de telles banques afin d’en déterminer la confection, l’utilisation, la consultation, la communication et la conservation y compris l’archivage ou la destruction des mesures ou caractéristiques prises pour établir l’identité d’une personne.
18 L’Entreprise est enregistrée au Registraire des entreprises sous le numéro 1140290041. 19 https://corpo.metro.ca/fr/a-propos.html. 20 Idem. 21 Article 1525 du Code civil du Québec. 22 Loi sur le privé, article 1.
1037199-S
Page : 8
La Commission peut aussi suspendre ou interdire la mise en service d’une telle banque ou en ordonner la destruction, si celle-ci ne respecte pas ses ordonnances ou si elle porte autrement atteinte au respect de la vie privée.
[36] Le 6 septembre 2024, l’Entreprise a déclaré à la Commission son intention de mettre en place une banque de caractéristiques ou de mesures biométriques.
[37] Il n’est donc pas contesté par l’Entreprise que la banque de caractéristiques ou de mesures biométriques projetée est soumise à l’article 45 de la LCCJTI.
b. Article 44 de la LCCJTI [38] La principale question en litige est l’assujettissement du projet de reconnaissance faciale de l’Entreprise à l’article 44 de la LCCJTI.
[39] L’article 44 de la LCCJTI prévoit : Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. L’identité de la personne ne peut alors être établie qu’en faisant appel au minimum de caractéristiques ou de mesures permettant de la relier à l’action qu’elle pose et que parmi celles qui ne peuvent être saisies sans qu’elle en ait connaissance.
Tout autre renseignement concernant cette personne et qui pourrait être découvert à partir des caractéristiques ou mesures saisies ne peut servir à fonder une décision à son égard ni être utilisé à quelque autre fin que ce soit. Un tel renseignement ne peut être communiqué qu’à la personne concernée et seulement à sa demande.
Ces caractéristiques ou mesures ainsi que toute note les concernant doivent être détruites lorsque l’objet qui fonde la vérification ou la confirmation d’identité est accompli ou lorsque le motif qui la justifie n’existe plus. [Nos soulignés]
[40] Selon les observations formulées par l’Entreprise, cette dernière conteste le fait que le processus projeté consiste à vérifier ou à confirmer l’identité d’une personne et que le consentement exprès des personnes concernées soit requis.
[41] Pour les motifs qui suivent, la Commission considère que l’article 44 de la LCCJTI s’applique au projet de l’Entreprise et que, par conséquent, le consentement exprès des personnes concernées par le processus de vérification de l’identité projeté est requis.
1037199-S
Page : 9
i. Les procédés projetés permettent de saisir des caractéristiques ou des mesures biométriques
[42] Les procédés de reconnaissance faciale offerts par les deux (2) fournisseurs projetés comportent la saisie de caractéristiques ou de mesures biométriques et ceci n’est pas contesté par l’Entreprise dans le cadre de ses observations.
[43] En effet, pour chacun des deux (2) procédés envisagés, et tels que décrit aux paragraphes 9 à 12 de la présente, les images brutes captées par les caméras de vidéosurveillance lors d’évènements de vols à l’étalage ou de fraude seront converties en représentations numériques et déposées dans la banque projetée avec ces représentations.
[44] Par la suite, pour chacun de ces deux systèmes, les images brutes captées par les caméras de vidéosurveillance situées aux entrées et sorties des établissements de l’Entreprise seront converties en représentations numériques et utilisées aux fins de comparaison avec les représentations stockées dans la banque 23 .
[45] La Commission considère que, dans ce contexte, les images captées par vidéosurveillance et déposées à la banque constituent des caractéristiques biométriques et les représentations numériques de ces images produites par chacun des systèmes projetés constituent des mesures biométriques au sens de l’article 44 de la LCCJTI.
ii. Les procédés projetés consistent à vérifier ou à confirmer l’identité d’une personne
[46] Le processus de reconnaissance faciale envisagé vise ultimement à identifier, au moment où une personne entre dans un établissement et parmi toutes les personnes qui y entrent, celles qui ont déjà fait l’objet d’une intervention policière concernant des évènements de vols à l’étalage ou de fraude, et ce, afin de générer une alerte aux responsables de l’établissement en cause en lien avec la présence de ces personnes 24 .
a. Est-ce que le processus projeté consiste à vérifier l’identité tel qu’énoncé à l’article 44 de la LCCJTI?
i.
Observations de l’Entreprise
23 Lettre du 15 octobre 2024, Annexes p. 51. 24 Lettre du 5 septembre 2024 et Protocole pour l’utilisation des caméras avec fonctionnalité de reconnaissance faciale (« Protocole »), Annexes p. 17,18 et 28.
1037199-S
Page : 10
[47] L’Entreprise invite la Commission à adopter une interprétation stricte de la notion de vérification ou de confirmation de l’identité en alléguant que le fait d’identifier un individu à partir de ses caractéristiques ou mesures biométriques ne constitue pas une confirmation ou une vérification de son identité.
[48] La Commission ne partage pas cette interprétation restrictive de l’article 44 de la LCCJTI.
ii.
Les articles 44 et 45 de la LCCJTI sont des mesures de protection particulières qui concernent les renseignements personnels de nature biométrique
[49] Les articles 44 et 45 de la LCCJTI prévoient des règles particulières qui concernent les renseignements personnels et qui visent à encadrer la création de banques de caractéristiques ou de mesures biométriques ainsi que certains usages de ce type de renseignement.
[50] Les propos de l’honorable David Cliche, ministre délégué à l’Autoroute de l’information et aux Services gouvernementaux, lors de la consultation relative à l’avant-projet de loi 25 qui a précédé la LCCJTI, confirment la volonté du législateur d’instaurer à la LCCJTI des règles particulières visant la protection des renseignements personnels:
« Cet avant-projet de Loi, et je conclus là-dessus, répond aux besoins des Québécois et des Québécoises. Il permet au Québec, qui est déjà en avance en matière de protection des renseignements personnels, de contribuer à aller de l’avant dans un domaine qui évolue rapidement 26 »
[51] Les renseignements personnels de nature biométrique sont des renseignements sensibles, ce qui est confirmé par l’article 12 de la Loi sur le privé.
[52] Considérant la sensibilité de ces renseignements, le législateur a instauré aux articles 44 et 45 de la LCCJTI des mesures de protection plus rigoureuses que celles déjà prévues à la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels 27 (ci-après « Loi sur
25 Avant-projet de loi n o 71 intitulé : Loi sur la normalisation juridique des nouvelles technologies de l’information, qui plus tard est devenu le projet de Loi n o 161 et ensuite la LCCJTI. 26 Remarques préliminaires de l’honorable David Cliche, ministre délégué à l’Autoroute de l’information et aux Services gouvernementaux, lors de la Consultation générale sur l’avant- projet de loi n o 71 sur la normalisation juridique des nouvelles technologies de l’information, en date du 29 août 2000 devant la Commission de l’économie et du travail, p.1 et 3. 27 RLRQ c. A-2.1.
1037199-S
Page : 11
l’accès ») et à la Loi sur le privé. Ainsi, ces règles priment sur celles prévues à ces lois sans qu’il ne soit nécessaire d’y déroger expressément 28 .
[53] Ce régime particulier qui vise la protection des renseignements personnels de nature biométrique requiert notamment l’obtention du consentement exprès des personnes lorsque l’on exige que leur identité soit vérifiée ou confirmée à l’aide de ces renseignements, le tout se distinguant du processus usuel prévu à l’article 8 de la Loi sur le privé qui prévoit une obligation d’information.
[54] De même, la fin du premier alinéa de l’article 44 de la LCCJTI nous démontre une préoccupation particulière du législateur face aux technologies qui utilisent les renseignements personnels de nature biométrique, en précisant que l’on ne peut vérifier ou confirmer l’identité des personnes en faisant appel à une technologie qui saisit les caractéristiques ou mesures biométriques sans que les personnes concernées en aient connaissance.
[55] À cet effet, l’Entreprise ne conteste pas les visées protectrices de cet article en indiquant dans ses observations : « Il nous apparait que l’article 44 de la LCCJTI existe effectivement pour suppléer aux dispositions de la LPRPSP lorsqu’il est question de la collecte spécifique de renseignements personnels biométriques pour la validation ou la confirmation de l’identité d’une personne » 29 .
iii.
Norme d’interprétation à appliquer au cas d’espèce
[56] En matière d’interprétation législative, il faut interpréter les termes d’une loi en tenant compte de son contexte global, du sens ordinaire et grammatical qui s’harmonise avec son esprit et son objet de manière à respecter l’intention du législateur 30 .
[57] Les articles 44 et 45 de la LCCJTI constituent des dispositions particulières qui visent la protection des renseignements personnels et qui, par conséquent, devraient bénéficier des mêmes règles d’interprétation que la Loi sur le privé et la Loi sur l’accès.
28 Article 171 de la Loi sur l’accès et art. 94 de la Loi sur le privé. 29 Observations, p. 12. 30 Rizzo & Rizzo Shoes Ltd. (Re), 1998 CanLII 837 (CSC), [1998] 1 R.C.S. 27, par. 21, aux pages 40 et 41; 65302 British Columbia Ltd. c. Canada, 1999 CanLII 639 (CSC), [1999] 3 R.C.S. 804, par. 50, à la page 832; Bell ExpressVu Limited Partnership c. Rex, [2002] 2 R.C.S. 559, par. 26, à la page 580, 2002 CSC 42; Hypothèques Trustco Canada c. Canada, [2005] 2 R.C.S. 601, par. 10, à la page 610, 2005 CSC 54; et R. c. J.A., [2011] 2 R.C.S. 440, par. 32, à la page 453, 2011 CSC 28.
1037199-S
Page : 12
[58] La Loi sur le privé et la Loi sur l’accès sont des lois qui visent la protection du public et qui soutiennent notamment le droit à la vie privée, qui lui, est un droit de la personne enchâssé dans la Charte des droits et libertés de la personne 31 .
[59] À cet effet, les lois qui portent sur la protection des renseignements personnels ont, au Canada, un statut quasi constitutionnel
32
.
[60] Le contexte de protection des droits de la personne ainsi que le statut quasi constitutionnel de la Loi sur le privé, de la Loi sur l’accès et par extension des articles 44 et 45 de la LCCJTI, invitent à l’utilisation d’une méthode d’interprétation large et libérale fondée sur l’objet de la Loi 33 .
[61] Plus spécifiquement, la Commission est d’opinion que les termes « vérification de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques » prévus à l’article 44 de la LCCJTI doivent recevoir une interprétation large et libérale, et ce, afin d’atteindre l’objectif premier de cette disposition, qui vise à protéger les renseignements personnels de nature biométrique.
iv.
Le sens ordinaire et grammatical des termes de l’article 44 de la LCCJTI
[62] La LCCJTI ne définit pas les notions de vérification de l’identité et en l’absence de définitions législatives, il convient de s’attarder au sens ordinaire et grammatical du texte 34 .
[63] La Commission constate que, dans le cadre de ses observations, l’Entreprise se méprend sur les mots choisis par le législateur et utilise les termes « confirmation ou validation de l’identité » plutôt que « vérification ou confirmation de l’identité » tel que prévu à l’article 44 de la LCCJTI.
31 RLRQ, c. C-12, article 5. 32 9179-3588 Québec inc. (Institut Drouin) c. Drouin, 2013 QCCA 2146, par. 51, Québec (Conseil de la magistrature) c. Québec (Commission d'accès à l'information), 2000 CanLII 11305 (QCCA), par. 48 à 50, Alberta c. T.U.A.C.,2013 CSC 62, par. 19 à 24; Lavigne c. Canada (Commissariat aux langues officielles), 2002 CSC 53, par. 24 et 25. 33 Conseil de presse du Québec c. Lamoureux-Gaboury, 2003 CanLII 33002 (QC CQ), par. 41 à 53, Québec (Commission des droits de la personne et des droits de la jeunesse) c. Montréal (Ville); Québec (Commission des droits de la personne et des droits de la jeunesse) c. Boisbriand (Ville), 2000 CSC 27, par. 28-30 et Nouveau-Brunswick (Commission des droits de la personne) c. Potash Corporation of Saskatchewan Inc., [2008] 2 RCS 604, 2008 CSC 45 (CanLII), par. 19, 65-67 et article 41 de la Loi d’interprétation, RLRQ c I-16. 34 Québec (Commission des droits de la personne et des droits de la jeunesse) c. Directrice de la protection de la jeunesse du CISSS A, 2024 CSC 43 (CanLII), p.7.
1037199-S
Page : 13
[64] Cette confusion des termes faite par l’Entreprise démontre qu’elle confond les deux (2) situations encadrées par l’article 44 de la LCCJTI, soit la vérification et la confirmation de l’identité 35 .
[65] La Commission considère que c’est la vérification de l’identité qui trouve application en l’espèce et que c’est la notion « d’identité » qui est déterminante dans l’interprétation de cette disposition.
[66] Si on se réfère au sens commun du terme « identité », le dictionnaire Le Petit Robert définit l’identité comme étant: « Ce qui permet de reconnaitre une personne parmi toutes les autres (état civil, signalement) ».
[67] Le dictionnaire de droit québécois et canadien définit l’identité comme étant : « L’ensemble des éléments qui permettent de reconnaitre une personne et de la distinguer d’une autre ».
[68] De son côté, le Grand dictionnaire terminologique définit l’identité comme étant « L’ensemble des éléments qui permettent de reconnaitre une personne physique ou morale et de la distinguer d’une autre ».
[69] Il est intéressant de souligner que, contrairement à ce qui est soutenu par l’Entreprise, le Grand dictionnaire terminologique précise dans une note concernant l’utilisation du terme « identité » que l’identification consiste en l’action d’établir l’identité :
« Il ne faut pas confondre le sens du terme identité avec celui du terme identification qui désigne l’action d’établir l’identité. On évitera d'utiliser les termes identification du demandeur, identification de l'usager, identification du bénéficiaire et identification de la personne comme libellés dans les formulaires. »
[Nos soulignés] [70] À cet égard, lorsqu’il est question de reconnaissance faciale, la notion d’identification et la notion d’identité sont nécessairement interreliées.
[71] À titre d’exemple, le document d’orientation provisoire à l’intention des organisations sur le traitement des données biométriques publié par le Commissariat à la protection de la vie privée du Canada 36 stipule que la dernière étape du processus de reconnaissance faciale consiste à convertir
35 Observations p.11. 36 Document d’orientation provisoire à l’intention des organisations sur le traitement des données biométriques - Commissariat à la protection de la vie privée du Canada, publication 2023.
1037199-S
Page : 14
l’ « échantillon » biométrique collecté en gabarit biométrique pour favoriser une comparaison automatisée par rapport au modèle de référence aux fins de :
a. L’identification : en croisant les données biométriques d’une personne avec celles d’une base de données (comparaison d’un à plusieurs) pour rechercher son identité. Ce que la Commission estime correspondre à la vérification de l’identité au sens de l’article 44 de la LCCJTI;
b. L’authentification : en faisant correspondre l’échantillon biométrique d’un individu au gabarit précédemment stocké (comparaison d’un à un) afin de confirmer son identité. Ce que la Commission estime correspondre à la notion de confirmation de l’identité au sens de l’article 44 de la LCCJTI;
[Nos soulignés] [72] La Commission considère que les deux (2) systèmes de reconnaissance faciale projetés par l’Entreprise saisissent des renseignements biométriques concernant les personnes qui entrent dans les établissements de l’Entreprise et que ces renseignements font partie de l’ensemble des éléments qui permettent de reconnaitre une personne et de la distinguer d’une autre. Ce qui dans les faits correspond au sens littéral du terme « identité ».
v.
L’interprétation liée au contexte de l’adoption de l’article 44 de la LCCJTI
[73] Outre cette interprétation littérale du terme « identité » utilisé à l’article 44 de la LCCJTI, il est essentiel de prendre en considération le contexte de l’adoption de cette disposition législative ainsi que les fins recherchées par le législateur 37 .
[74] La LCCJTI a notamment pour objectif d’assurer la sécurité juridique des communications et le lien entre une personne et un document technologique 38 C’est dans ce contexte que les articles 44 et 45 de la LCCJTI ont été adoptés.
.
[75] L’article 44 de la LCCJTI figure sous la section II du chapitre III, section qui est intitulée « Modes d’identification et de localisation ». Ce qui nous confirme que la vérification de l’identité d’une personne est dans les faits un mode d’identification et non un fait distinct tel que l’allègue l’Entreprise dans ses observations 39 .
37 Article 41.1 de la Loi d’interprétation, RLRQ c I-16. 38 Le droit de la biométrie au Québec : sécurité et vie privée, Julie M. Gauthier, Éditions Yvon Blais, 2015, p.4. 39 Observations p.10.
1037199-S
Page : 15
[76] L’article 40 de la LCCJTI nous indique que la vérification de l’identité d’une personne physique peut notamment être faite en se référant aux registres prévus au Code civil, mais aussi à partir de caractéristiques, de connaissances ou d’objets qu’elle présente, ce qui inclut les caractéristiques et mesures biométriques dont il est notamment question à l’article 44 de la LCCJTI.
[77] Le contexte technologique que l’on retrouve au cœur du cadre juridique, mis en place par la LCCJTI, additionné du fait que lorsqu’il est question de caractéristiques ou de mesures biométriques, on fait face à un contexte qui se réfère au monde numérique, font en sorte que le terme « identité » utilisé à l’article 44 de la LCCJTI va au-delà de l’identité régalienne, qui elle est reliée à l’état civil des personnes et qui est utilisée dans le cadre des démarches administratives ou formelles 40 , et se réfère davantage à la notion d’identité numérique.
[78] À cet effet, l’identité numérique se compose de différents attributs qui permettent de reconnaitre une personne et de la distinguer d’une autre 41 et les caractéristiques ou mesures biométriques font partie de ces attributs de l’identité 42 .
[79] Par exemple, l’article 2 des Règles relatives à l’assurance de l’identité numérique édictées par le ministre de la Cybersécurité et du Numérique en vertu du pouvoir prévu au deuxième alinéa de l’article 21 de la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement 43 établit que l’identité d’une personne est composée « d’attributs de base » et « d’attributs de l’identité » 44 .
[80] Selon ces règles, les attributs de base de l’identité d’une personne physique sont son nom, son prénom, sa date de naissance, son lieu de naissance ou les noms et prénoms de ses parents 45 .
40 L’identité numérique, Commission Nationale informatique et des Libertés, février 2023, p.2. 41 Recommandation du Conseil sur la gouvernance de l’identité numérique, OCDE, 2025, p.7, L’identité numérique, Commission Nationale informatique et des Libertés, février 2023, p.4, Baseline identity management terms and definitions, Recommendation ITU-T X.1252, International Telecommunication Union, avril 2021, article 6.40. 42 Auberge du lac Sacacomie inc., CAI, dossier 1014137-S, 2022-04-07, p. 6, Enquête à l’égard de Compagnie Selenis Canada, CAI, dossier 1016217-S, 2022-01-14, par. 8, Les 3 Piliers Inc., CAI, dossier 1018507-S, 2020-02-14, par. 34, Enquête à l’égard de Clearview AI inc., CAI, dossier 1023158-S, 2021-12-14, par. 25 et 26 [présentement en appel devant la Cour du Québec]. 43 Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement, RLRQ c. G-1.03. 44 Arrêté numéro 2024-03 du ministre de la Cybersécurité et du Numérique en date du 6 juillet 2024 et Arrêté numéro 2022-05 du ministre de la Cybersécurité et du Numérique en date du 26 août 2022. 45 Arrêter numéro 2024-03, article 2 par. 3.
1037199-S
Page : 16
[81] Ces règles établissent aussi que tout autre élément pouvant être associé à une personne ou pouvant être combiné pour permettre son identification de manière unique et sans équivoque constitue un attribut de l’identité 46 . Ce qui dans les faits inclut les renseignements personnels de nature biométrique, puisque ces renseignements sont des identifiants uniques composés d’informations intimes provenant du corps d’une personne 47 .
[82] De même, la Commission remarque que, dans ces règles, le ministre utilise le terme « identification » lorsqu’il définit la notion d’attribut de l’identité.
[83] La Commission considère qu’une interprétation large et libérale des termes utilisés à l’article 44 de la LCCJTI fait en sorte que du moment où l’on procède à la vérification d’un attribut de l’identité d’une personne notamment à partir de mesures ou de caractéristiques biométriques, il y a vérification de l’identité au sens de l’article 44 de la LCCJTI.
[84] Les processus de reconnaissance faciale projetés par l’Entreprise visent à convertir les images brutes des caméras de vidéosurveillance en représentations numériques aux fins de comparaison avec les représentations stockées dans la banque 48 .
[85] Ces processus consistent dans les faits à vérifier les attributs de l’identité des personnes qui apparaissent sur ces images brutes, afin de les distinguer des autres personnes et d’obtenir la confirmation que ces dernières correspondent ou non aux personnes précédemment identifiées dans la banque comme ayant été impliquées dans des évènements de vols à l’étalage ou de fraude.
[86] Bien que ces processus ne visent pas à vérifier ou à confirmer l’identité exacte de l’ensemble des personnes qui entrent ou sortent des établissements, ces vérifications visent à confirmer si ces personnes font partie, ou non, d’un groupe de personnes déterminé.
[87] À cet effet, bien que la fiche de renseignements obligatoires produite par l’Entreprise et qui accompagne le dépôt des mesures biométriques à la banque ne prévoit pas expressément l’enregistrement d’attributs de base de l’identité ou d’attributs liés à l’identité régalienne des personnes concernées, les systèmes projetés visent à saisir des mesures biométriques aux fins de comparaison avec des mesures contenues dans la banque, ce qui consiste dans les faits à vérifier
46 Arrêter numéro 2024-03, article 2 par. 4. 47 Auberge Sacacomie inc., CAI, 1014137-S, 7 avril 2002, p.6 et 7. 48 Lettre du 15 octobre 2024, Annexes p.50.
1037199-S
Page : 17
un attribut de l’identité des personnes concernées et qui constitue selon la Commission une vérification de l’identité au sens de l’article 44 de la LCCJTI 49 .
[88] Subsidiairement, la Commission estime que les renseignements contenus dans cette fiche d’identification, dont le numéro de dossier de police ou le numéro d’évènement en lien avec une plainte à la police et la description de l’incident, peuvent permettre directement ou indirectement de faire un lien avec les attributs de base de l’identité ou l’identité régalienne des personnes concernées.
b. Est-ce que le fait que la validation ou la confirmation de l’identité faite au moyen d’une saisie de mesures biométriques ne se fasse pas simultanément au cours d’une seule phase des procédés fait en sorte que l’article 44 LCCJTI ne s’applique pas au projet de l’Entreprise?
[89] Dans ses observations, l’Entreprise avance l’argument à l’effet que le projet n’enclencherait pas l’application de l’article 44 de la LCCJTI, car selon elle, les trois (3) critères énumérés à cet article, soit (1) la validation ou confirmation de l’identité, (2) faite au moyen (3) d’une saisie de mesures biométriques sont cumulatifs et que ces derniers ne seraient pas remplis, et ce, à chaque étape du processus qui représentent chacune une étape de collecte ou d’utilisation différente de renseignements personnels 50 .
[90] Dans le cadre de cet argument, l’Entreprise se réfère aux quatre (4) premières des cinq (5) phases générales d’un système de reconnaissance faciale qui sont décrites au rapport préliminaire d’enquête de la Direction de la surveillance 51 .
[91] Les cinq (5) phases en question sont : 1) La détection des visages qui consiste à déterminer comment les systèmes vont reconnaitre qu’il y a des visages de personnes dans une source de référence comme une image vidéo ou une base de données; 2) La captation d’une image qui consiste à déterminer comment les systèmes vont obtenir l’image qui servira de base pour l’analyse et l’extraction de caractéristiques biométriques;
49 Fiche, Annexes, p.31 à 32. 50 Observations p. 8 et 11. 51 Rapport d’enquête préliminaire, p.8 et Conception d’un système de reconnaissance faciale masquée, ABOUBACAR SALIF TAPSOBA,2023, Université du Québec à Trois-Rivières.
1037199-S
Page : 18
3) L’extraction des caractéristiques faciales qui consiste à déterminer quelles sont les caractéristiques du visage qui seront analysées et utilisées par les systèmes notamment pour créer le gabarit biométrique; 4) La phase de comparaison qui permet de comprendre comment les systèmes vont comparer une image faciale avec une autre afin de déterminer s’il y a correspondance; 5) Le stockage ou la conservation qui vise à déterminer ce que les systèmes conservent et enregistrent comme données pendant ou après le processus d’analyse.
[92] L’Entreprise est ainsi d’avis qu’à la phase de comparaison de ses procédés de reconnaissance faciale, il n’y a pas de saisie de caractéristiques ou de mesures biométriques, que cette saisie s’est plutôt produite au moment de l’extraction du modèle et que ceci ferait en sorte que la vérification ou la confirmation de l’identité ne serait pas faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques au sens de l’article 44 de la LCCJTI 52 .
[93] De même, l’Entreprise argumente à l’effet que l’utilisation subséquente des signatures biométriques lors de la phase de comparaison ne constitue pas une nouvelle saisie des caractéristiques biométriques, mais plutôt une utilisation de données déjà saisies lors de l’extraction, soit une utilisation secondaire.
[94] La Commission ne souscrit pas à l’argument de compartimentation des phases du processus de reconnaissance faciale soutenu par l’Entreprise.
[95] Elle estime que dans le contexte de l’article 44 de la LCCJTI, il faut considérer l’effet combiné de l’ensemble des opérations effectuées par le système et considérer ces différentes phases comme étant interdépendantes 53
[96] Selon la Commission, l’Entreprise fait fausse route lorsqu’elle indique que, sur cette base, ses processus seraient distincts du fait de collecter les empreintes digitales de ses clients pour leur permettre d’entrer en magasin, d’un processus de reconnaissance faciale aux fins de déverrouiller un appareil ou de l’utilisation d’un horodateur basé sur la biométrie.
[97] Dans chacun de ces procédés, les caractéristiques ou mesures biométriques des personnes concernées sont d’abord collectées, converties en vecteurs et conservées lors de la phase d’enrôlement dans une banque aux fins de comparaison future. Dans un second temps, lors de sa mise en service, le
52 Observations, p.10. 53 Idem, p. 38.
1037199-S
Page : 19
système procède à la détection, la captation, l’extraction et la comparaison des données avec celles saisies lors de la phase d’enrôlement, ce qui selon la Commission n’est pas distinct des processus projetés par l’Entreprise.
[98] Considérant ceci, si l’argument de compartimentation des étapes du processus proposé par l’Entreprise était suivi, l’article 44 de la LCCJTI ne s’appliquerait pas non plus à l’utilisation d’empreintes digitales afin d’autoriser un accès, à la reconnaissance faciale afin de déverrouiller un appareil ou à un horodateur biométrique, tout comme à plusieurs autres procédés de reconnaissance faciale, car la simultanéité des étapes de (1) la validation ou confirmation de l’identité, selon les termes employés par l’Entreprise, (2) faite au moyen (3) d’une saisie de mesures biométriques est dans les faits compartimentée en différentes étapes qui sont interdépendantes les unes des autres.
[99] La compartimentation des phases du processus de reconnaissance faciale proposée par l’Entreprise aurait pour conséquence de vider de son sens et de toute utilité l’article 44 de la LCCJTI.
[100] Tel que déjà mentionné, la Commission est d’opinion qu’il faut donner à l’article 44 de la LCCJTI une interprétation large et libérale. Ce qui va à l’encontre de l’interprétation restrictive que donne l’Entreprise aux termes « au moyen » dans ses observations et qui la pousse à circonscrire chacune des phases du processus. Au contraire, la Commission est d’opinion que c’est l’ensemble du processus qui doit être pris en considération et non chacune de ses étapes prises isolément.
[101] De plus, l’allégation de l’Entreprise à l’effet qu’il faut qu’il y ait simultanéité dans les étapes de la validation ou de la confirmation de l’identité faite, au moyen, d’une saisie de mesures biométriques équivaut à ajouter un critère supplémentaire qui n’est pas prévu dans le libellé de l’article 44 de la LCCJTI.
[102] La Commission estime que si le but du législateur était que les critères énumérés à l’article 44 de la LCCJTI soient remplis, et ce, à chaque étape du processus de reconnaissance faciale comme l’allègue l’Entreprise, il l’aurait mentionné clairement.
[103] Cet argument basé sur les quatre (4) premières phases générales de la reconnaissance faciale va aussi à l’encontre du principe que la LCCJTI se veut technologiquement neutre, en introduisant des phases de la technologie aux critères prévus à cet article.
1037199-S
Page : 20
[104] L’article 44 doit recevoir une interprétation large, libérale, qui assure l’accomplissement de son objet et l’approche restrictive prônée par l’Entreprise ne peut trouver application en l’espèce.
[105] Si l’on considère dans son ensemble les opérations effectuées dans les deux (2) processus projetés par l’Entreprise, les images des caméras de vidéosurveillance concernant les personnes impliquées dans des évènements de vols à l’étalage ou de fraude seront collectées, converties en représentations numériques et conservées dans la banque de sorte que lors de la mise en service de ces systèmes, ces derniers permettront la détection, la captation, l’extraction et la comparaison à partir des mesures saisies lors de la phase d’enrôlement 54 .
[106] Si l’on prend en considération la position exprimée précédemment par la Commission considérant la notion de vérification d’identité, dans son ensemble ces opérations consistent à vérifier l’identité ou moyen de procéder permettant de saisir des caractéristiques ou mesures biométriques, et ce, conformément l’article 44 de la LCCJTI.
c. L’argument soulevé par l’Entreprise à l’effet que l’article 12 de la Loi sur le privé lui permettrait une utilisation secondaire et sans consentement des renseignements biométriques collectés
[107] Dans le cadre de ses observations, l’Entreprise avance l’argument à l’effet que l’article 12 de la Loi sur le privé lui permettrait d’utiliser à des fins secondaires les renseignements biométriques des personnes qui entrent dans ses établissements, et ce, sans le consentement de ces derniers.
[108] Dans le cadre de cet argument, elle considère que ces renseignements ont déjà été collectés lors de l’enregistrement de la vidéosurveillance et que l’utilisation projetée est à des fins compatibles avec celles pour lesquelles ils ont été recueillis et/ou que cette utilisation est nécessaire à des fins de prévention et de détection de la fraude ou d’évaluation et d’amélioration des mesures de protection et de sécurité.
[109] La Commission ne peut souscrire à cet argument, car dans les faits la collecte d’images de vidéosurveillance et la collecte de mesures ou de caractéristiques biométriques constituent deux (2) collectes distinctes de renseignements personnels qu’il ne faut pas confondre.
54 Rapport préliminaire p. 8 à 11.
1037199-S
Page : 21
[110] L’article 12 de la Loi sur le privé ne peut donc trouver application étant donné qu’il s’agit de collectes distinctes et non simplement d’une utilisation dite « secondaire » d’un renseignement personnel déjà collecté.
[111] En ce sens, la Commission a déjà établi qu’il existe une distinction entre la voix d’une personne à titre de renseignement personnel et cette même voix à titre de renseignement personnel biométrique 55 . Au même titre, une distinction doit être faite entre l’image du visage d’une personne et les caractéristiques ou mesures biométriques qui peuvent en être extraites.
[112] Également, l’article 44 de la LCCJTI prévoit à son dernier alinéa que les caractéristiques ou mesures biométriques doivent être détruites lorsque l’objet qui fonde la vérification ou la confirmation d’identité est accompli ou lorsque le motif qui la justifie n’existe plus. Cette règle de conservation particulière rend difficilement conciliable, dans le présent contexte, tout recours à l’article 12 de la Loi sur le privé.
[113] De plus, la Commission considère que dans la présente affaire la vérification de l’identité n’est pas une utilisation secondaire, mais consiste à l’objectif primaire de la collecte des caractéristiques ou mesures biométriques effectuée.
iii. Le processus envisagé constitue une exigence de la part de l’Entreprise
[114] La Commission considère que le fait que le processus de reconnaissance faciale projeté soit automatiquement et systématiquement déployé sur toute personne qui entre ou sort des établissements de l’Entreprise constitue une exigence de vérification de l’identité au sens de l’article 44 de la LCCJTI.
[115] Plus particulièrement, l’identité des clients qui entrent dans le commerce de l’établissement concerné afin de requérir un service est automatiquement vérifiée du simple fait que ces derniers pénètrent dans l’établissement, et ce, sans autre geste ou formalité.
[116] Cette automatisation et systématisation du processus de reconnaissance faciale constitue dans les faits une exigence, car nul ne peut pénétrer dans l’établissement concerné sans que ses caractéristiques ou mesures biométriques soient collectées et comparées à celles contenues dans la banque de l’Entreprise.
[117] De même, aucune alternative à cette vérification par reconnaissance faciale n’est offerte.
55 C.R c. Loto Québec 2012 QCCAI 300, par. 111.
1037199-S
Page : 22
[118] À cet effet, dans le cadre des questions 25 et 26 du formulaire de déclaration de la Commission qui traitent du fait que les personnes concernées doivent pouvoir retirer leur consentement et de l’obligation de fournir un moyen alternatif d’identification en cas de refus, l’Entreprise indique qu’aucun autre moyen d’identification n’est prévu pour les personnes qui refusent de consentir à l’utilisation du système projeté, et que la seule option disponible consiste à ne pas entrer dans les établissements faisant partie du projet 56 .
iv. Le processus envisagé ne prévoit pas l’obtention du consentement exprès des gens concernés
[119] Le processus envisagé par l’Entreprise ainsi que le protocole d’utilisation de la banque ne prévoient pas l’obtention du consentement exprès des personnes concernées par la constitution de la banque de caractéristiques ou de mesures biométrique et par les processus de vérification de l’identité basés sur cette banque.
[120] Dans les faits, les images de vidéosurveillance liées à des évènements de vols à l’étalage ou de fraude seront conservées et enrôlées dans la banque sous la forme de caractéristiques et de mesures biométriques sans que les personnes concernées n’aient donné leur consentement.
[121] Par la suite, ces caractéristiques et mesures biométriques seront utilisées aux fins de comparaison avec les images captées par les caméras de vidéosurveillance, et ce, toujours sans que les personnes concernées n’aient donné de consentement.
[122] À cet effet, l’Entreprise n’a pas complété la question 24 du formulaire de déclaration de la Commission qui traite de l’obligation d’obtenir un consentement exprès et valide de la part de chaque personne concernée par la collecte de caractéristiques ou de mesures biométriques.
[123] De même, le représentant de l’Entreprise a indiqué à l’enquêteur de la Commission « qu’il considère qu’il est impossible d’obtenir le consentement exprès des personnes suspectées » 57 .
v. L’atteinte à la vie privée que représente la mise en service de cette banque
[124] Dans le cadre de ses observations, l’Entreprise traite de la question de la proportionnalité de l’atteinte à la vie privée avec les fins qu’elle recherche en
56 Déclaration d’un système biométrique, question 26, Annexes p. 47. 57 Compte rendu du 15 octobre 2024, Annexes p. 7.
1037199-S
Page : 23
mettant en lien son obligation de protéger ses employés et son rôle de protéger le public avec l’expectative de vie privée des personnes concernées, mais la Commission considère que ce n’est pas le test qui doit être appliqué à ce stade de l’enquête en vertu de l’article 45 de la LCCJTI.
[125] Le dernier alinéa de l’article 45 de la LCCJTI indique : « La Commission peut aussi suspendre ou interdire la mise en service d’une telle banque ou en ordonner la destruction, si celle-ci ne respecte pas ses ordonnances ou si elle porte autrement atteinte au respect de la vie privée ».
[Nos soulignés] [126] La question à poser en vertu de l’article 45 de la LCCJTI est de savoir si la mise en opération de la banque de caractéristiques biométriques et la collecte des renseignements personnels biométriques projetées portent atteinte au respect à la vie privée des personnes concernées.
[127] À cet effet, la Commission considère que la constitution d’une banque de caractéristiques et de mesures biométriques ainsi que le fait d’exiger la vérification de l’identité au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques, et ce, sans obtenir le consentement exprès des personnes concernées alors que ce consentement est requis par la Loi, porte atteinte de manière importante à la vie privée de ces personnes.
[128] Des décisions antérieures de la Commission 58 sont à l’effet que les renseignements biométriques revêtent un caractère particulièrement sensible et que la collecte de tels renseignements constitue une atteinte particulièrement importante à la vie privée des individus. La Commission s’exprime ainsi dans le dossier Auberge du lac Sacacomie inc. 59 au sujet des renseignements de nature biométrique:
« Ce sont des caractéristiques permanentes et distinctives, des identifiants uniques composés d’informations intimes provenant du corps d’une personne. Puisqu’ils ne sont pas révocables ni modifiables, leur divulgation en cas d’incident de sécurité ou leur utilisation à des fins malveillantes, par
58 Enquête à l’égard de Clearview AI inc., CAI, 1023158-S, 14 décembre 2021, par. 103 [présentement en appel devant la Cour du Québec], Les 3 Piliers Inc., CAI, 1018507-S, 14 février 2020, par. 33 et 34, Enquête à l’égard de Héritage Ébénisterie Architecturale inc., CAI, 1023688-S, 14 juin 2021, par. 37. 59 Auberge Sacacomie inc., CAI, 1014137-S, 7 avril 2002, p. 6 et 7.
1037199-S
Page : 24
exemple, peut avoir de lourdes conséquences pour la personne concernée. Contrairement à une carte, on ne remplace pas la forme du visage. L’utilisation de plus en plus répandue de ces renseignements à des fins d’identification ou d’authentification et la hausse du nombre de banques de mesures et de caractéristiques biométriques accroît ce risque.
De plus, certains renseignements biométriques, comme ceux issus du visage, sont particulièrement bavards et peuvent révéler d’autres informations que l’identité de la personne. Ils constituent l’essence de l’identité d’une personne et permettent d’identifier et de surveiller les personnes, même à leur insu. »
[129] La Commission estime que ce contexte de non-respect de la loi en omettant d’obtenir le consentement exprès des personnes concernées constitue une atteinte à la vie privée particulièrement importante pour ces personnes et que cette atteinte doit donner lieu à une mesure d’interdiction de la mise en service de la banque de caractéristiques ou de mesures biométriques projetée par l’Entreprise.
CONCLUSION [130] À la lumière de ce qui précède, la Commission conclut que le projet de reconnaissance faciale projeté par l’Entreprise constitue une vérification de l’identité des personnes concernées au sens de l’article 44 de la LCCJTI et que le consentement exprès de ces personnes est requis. De même, la Commission considère que le fait de vérifier l’identité des personnes à l’aide d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques, et ce, sans obtenir un consentement exprès constitue une atteinte à la vie privée.
POUR CES MOTIFS, LA COMMISSION REND L’ORDONNANCE SUIVANTE : INTERDIT la mise en service de la banque de caractéristiques ou de mesures biométriques projetée par l’Entreprise aux fins d’identifier, au moyen de la reconnaissance faciale, les personnes qui ont déjà été impliquées dans des évènements de vols à l’étalage ou de fraude dans les établissements de l’Entreprise;
Me Steeven Plante Membre de la Commission, section de surveillance