L’ACLC et Privacy International collaborent à la rédaction de contributions concernant les lignes directrices relatives à la reconnaissance faciale destinées aux services de police

L’ACLC et Privacy International ont collaboré pour soumettre une réponse commune dans le cadre de la consultation menée par le Commissaire à la protection de la vie privée du Canada sur son projet de lignes directrices concernant l’utilisation de la technologie de reconnaissance faciale par les services de police.

Nos contributions soulignent nos préoccupations quant au fait qu’en l’absence d’un cadre juridique protégeant de manière adéquate les personnes contre les atteintes à la vie privée et les effets discriminatoires que facilite la reconnaissance faciale, et en l’absence d’un débat public approfondi portant non pas sur la « manière » mais sur la « pertinence » de l’utilisation de cette technologie dans les applications de sécurité publique, ces lignes directrices risquent de légitimer un outil très dangereux.

Comme nous l’indiquons dans nos observations :

Par conséquent, bien que nous répondions de manière constructive dans la présente contribution aux questions relatives au texte du projet de lignes directrices, nous tenons à préciser d’emblée que nous estimons qu’il convient d’instaurer un moratoire sur l’utilisation de la reconnaissance faciale à des fins policières en l’absence d’une législation complète et efficace qui

• fournit un cadre juridique clair pour son utilisation,
• comporte des dispositions strictes en matière de responsabilité et de transparence,
• nécessite un contrôle indépendant, et
• prévoit des mesures coercitives efficaces en cas de non-respect.

Nous estimons en outre que l’utilisation de la reconnaissance faciale à des fins de surveillance de masse, c’est-à-dire le recours généralisé à cette technologie dans les espaces publics ou accessibles au public pour identifier des personnes, présente un risque d’abus si élevé et fait peser une menace si grave sur les droits de l’homme qu’aucun cadre, qu’il soit technique ou juridique, ne saurait éliminer ce danger.

Pour en savoir plus :

Comment la reconnaissance faciale est-elle utilisée au Canada ? Lisez notre rapport.
Que disent les organisations de défense des droits à travers le monde ausujet dela reconnaissance faciale ?
Quelles autres actions l’ACLC a-t-elle menées concernant la reconnaissance faciale ?
Plus d’informations de Privacy International sur la reconnaissance faciale.

Réponse à la consultation : projet de lignes directrices relatives à la protection de la vie privée en matière de reconnaissance faciale à l’intention des services de police
21 octobre 2021

Brenda McPhail
, Ph.D. Responsable de la protection de la vie privée
Association canadienne des libertés civiles
90, avenue Eglinton Est, bureau 900 Toronto
(Ontario) M4P 2Y3
Téléphone : 416-646-1406
www.acLC.org

Lucie Audibert
Juriste
Privacy International
62 Britton Street
EC1M 5UY Londres
Royaume-Uni
www.privacyinternational.org

Introduction

L’Association canadienne des libertés civiles (ACLC) et Privacy International (PI) se réjouissent de pouvoir vous faire part de leurs commentaires sur le projet de lignes directrices relatives à la protection de la vie privée en matière de reconnaissance faciale à l’intention des services de police.

L’ACLC est une organisation nationale indépendante, non gouvernementale, non partisane et à but non lucratif qui défend les libertés civiles. Fondée en 1964, l’ACLC et ses membres œuvrent pour le respect et la reconnaissance des droits fondamentaux de la personne et des libertés civiles. Depuis cinquante ans, l’ACLC plaide des affaires d’intérêt public devant les cours d’appel, aide les gouvernements canadiens à élaborer des lois et publie des commentaires d’experts sur l’état du droit canadien. La technologie de reconnaissance faciale soulève des questions relatives à la vie privée, à la surveillance, à l’égalité et, potentiellement, à d’autres libertés fondamentales, notamment les droits à la liberté d’expression, de réunion et d’association, qui sont tous au cœur de notre mandat.

En tant qu’organisation de la société civile, le point de vue de l’ACLC sur la technologie de reconnaissance faciale, ou comme nous l’appelons souvent, l’empreinte faciale, s’inscrit dans le cadre de notre mission de protection des droits et libertés des personnes. Notre expérience inclut une participation, par l’intermédiaire de nos réseaux internationaux, aux débats généralisés qui ont lieu dans les juridictions du monde entier concernant les risques et les avantages pouvant découler de la prolifération des applications de reconnaissance faciale dans le domaine de l’application de la loi et de la sécurité nationale.1 Nous sommes heureux d’avoir l’occasion de collaborer avec nos collègues de Privacy International pour présenter cette contribution dans le cadre de cette consultation.

Privacy International (« PI ») est une organisation non gouvernementale à but non lucratif basée à Londres qui mène des recherches, mène des actions de plaidoyer et intente des actions en justice à l’échelle mondiale contre les abus commis par les gouvernements et les entreprises en matière de données et de technologies. PI est fréquemment sollicitée pour apporter son expertise devant des commissions parlementaires et gouvernementales du monde entier sur des questions relatives à la vie privée et a notamment conseillé et rendu compte au Parlement britannique, au Conseil de l’Europe, au Parlement européen, à l’OCDE et à l’ONU. PI intervient également régulièrement en tant que plaignant ou intervenant dans des affaires relatives au droit à la vie privée, ayant déjà plaidé devant les tribunaux du Royaume-Uni, de Colombie, du Kenya, de France, d’Allemagne et des États-Unis, ainsi que devant la Cour européenne des droits de l’homme.

PI dialogue régulièrement avec les autorités britanniques et étrangères afin de les mettre en garde contre les risques liés à la technologie de reconnaissance faciale et de veiller à ce que toute utilisation de celle-ci soit légale et respecte les droits fondamentaux.2 Tout récemment, nous avons déposé des plaintes auprès des autorités chargées de la protection des données dans cinq pays européens contre la société Clearview AI, spécialisée dans le web scraping et la reconnaissance faciale, ainsi que contre l’utilisation de sa technologie par les forces de l’ordre.3 Nous saluons les efforts déployés par le commissaire pour renforcer le cadre réglementaire régissant l’utilisation de la reconnaissance faciale par la police, et nous sommes très reconnaissants au commissaire ainsi qu’à l’ACLC de nous avoir donné l’occasion de faire part de notre point de vue.

Nos réponses traitent de manière ciblée des questions posées dans l’avis de consultation.

Présentation de l’initiative

Ces lignes directrices présentent à la fois des opportunités et des risques. Les organismes d’application de la loi canadiens se sont montrés un peu plus prudents dans l’adoption de la technologie de reconnaissance faciale (TRF) que leurs homologues aux États-Unis ou au Royaume-Uni, mais comme l’a montré la débâcle Clearview AI4, il existe un intérêt marqué pour l’expérimentation et l’intégration de cette technologie dans toute une gamme d’activités policières au sein des services de police à travers le Canada. Le moment est venu pour le Commissariat à la protection de la vie privée du Canada et ses homologues provinciaux de saisir l’occasion de publier des lignes directrices afin de garantir que l’acquisition, les essais et l’utilisation de la TRF par les services de police soient conformes aux lois sur la protection de la vie privée, respectent la Charte des droits et libertés et ne soient entrepris qu’en accordant une attention particulière aux meilleures pratiques et aux principes en matière de protection de la vie privée. Le risque lié à la publication de telles lignes directrices est toutefois que le débat se concentre alors sur la « manière » d’utiliser cette technologie dans le respect des droits, plutôt que sur la question de savoir « s’il est possible » de le faire. À l’ACLC et à PI, nous estimons que la question du « si » devrait rester au cœur des débats publics concernant cette technologie controversée, risquée et souvent raciste.5 C’est particulièrement le cas compte tenu de la prise de conscience canadienne du racisme systémique qui a suivi le meurtre de George Floyd, lequel a eu des répercussions au Canada allant jusqu’à la relance des débats sur la réorientation des missions et le retrait du financement de la police.6

Par conséquent, bien que nous répondions de manière constructive dans la présente contribution aux questions relatives au texte du projet de lignes directrices, nous tenons à préciser d’emblée que nous estimons qu’il convient d’instaurer un moratoire sur l’utilisation de la reconnaissance faciale à des fins policières en l’absence d’une législation complète et efficace qui

• fournit un cadre juridique clair pour son utilisation,
• comporte des dispositions strictes en matière de responsabilité et de transparence,
• nécessite un contrôle indépendant, et
• prévoit des mesures coercitives efficaces en cas de non-respect.

Nous estimons en outre que l’utilisation de la reconnaissance faciale à des fins de surveillance de masse, c’est-à-dire le déploiement à grande échelle de la reconnaissance faciale dans les espaces publics ou accessibles au public pour identifier des individus, présente un risque d’abus si élevé et fait peser une menace si grave sur les droits de l’homme qu’aucun cadre, qu’il soit technique ou juridique, ne saurait éliminer cette menace.7 Nous notons que le Parlement européen, dans le cadre de ses délibérations sur la proposition de loi relative à l’intelligence artificielle8, a récemment voté en faveur d’une interdiction de la surveillance biométrique de masse et a appelé à l’interdiction de l’utilisation de bases de données privées de reconnaissance faciale.9

Réponses aux questions de la consultation

Ces recommandations auront-elles l’effet escompté, à savoir contribuer à garantir que l’utilisation de la reconnaissance faciale par les services de police soit conforme à la loi et atténue de manière appropriée les risques pour la vie privée ? Si vous ne le pensez pas, pourquoi ?
Ces recommandations peuvent-elles être mises en pratique ?

Ces lignes directrices pourraient s’avérer utiles en invitant les services de police à prendre en compte une série de facteurs importants et de principes fondamentaux en matière de protection de la vie privée dans l’ensemble des fondements juridiques pertinents pour l’utilisation de la reconnaissance faciale. Elles sont rendues nécessaires, mais insuffisantes, par le fait que la législation canadienne actuelle est cruellement insuffisante pour faire face aux atteintes potentielles à la vie privée et aux droits et libertés – pour lesquels la vie privée sert de droit fondamental ou de porte d’entrée – que cette technologie peut causer. Et c’est là que réside le problème : si ces lignes directrices peuvent contribuer à garantir que l’utilisation de la FRT par les services de police est conforme à la loi dans le contexte juridique actuel, la simple conformité juridique ne suffira pas à atténuer pleinement les risques pour les droits, y compris le droit à la vie privée, que représente l’ensemble des utilisations potentielles de la FR dans le cadre des activités policières.

Cette mise en garde est apparue très clairement lorsque l’ACLC a eu le privilège de participer à une réunion organisée par le Commissaire à l’information et à la protection de la vie privée de l’Ontario le 16 septembre 2021, en présence de représentants des services de police ainsi que des ministères du Procureur général et du Solliciteur général. Bien que ce résumé succinct ne rende pas pleinement justice à la conversation constructive qui a eu lieu, il n’est pas déraisonnable de décrire un clivage général entre les participants issus du milieu universitaire et de la société civile, qui se demandaient si les lignes directrices allaient suffisamment loin, et ceux qui assument une responsabilité plus directe en matière de maintien de l’ordre, qui ont généralement exprimé des inquiétudes quant au fait que les lignes directrices allaient, à certains égards, plus loin que ne le justifiait la législation actuelle.

Cela ne justifie pas pour autant de réduire la portée ambitieuse des lignes directrices ou des recommandations fondées sur les meilleures pratiques en matière de protection de la vie privée, notamment l’importance d’une analyse de la nécessité et de la proportionnalité lorsqu’il s’agit d’envisager une surveillance publique intrusive. Cela montre toutefois que la mise en œuvre concrète risque, au mieux, d’être inégale. C’est particulièrement le cas étant donné que le conseil donné aux services de police pour s’y retrouver dans l’ensemble véritablement complexe des fondements juridiques – notamment les dispositions législatives et de common law régissant les pouvoirs de la police, les lois fédérales ou provinciales pertinentes en matière de protection de la vie privée, ainsi que la Charte des droits et libertés – est de consulter un conseiller juridique. D’un point de vue pragmatique, cela est logique. En tant que stratégie efficace d’atténuation des risques pour les droits, elle s’avère insuffisante pour deux raisons.

Tout d’abord, tout conseil de ce type sera couvert par le secret professionnel et, à ce titre, restera entièrement à l’abri des regards du public. Ce conseil peut être bon ou excellent (ou ni l’un ni l’autre) ; il pourra être efficace et strictement respecté ou ignoré, il pourra s’appuyer sur une évaluation rigoureuse des protections accordées par chaque autorité juridique examinée ou se heurter à une jurisprudence insuffisamment développée dans ce domaine, ce qui risque de rendre la sécurité juridique concernant les nuances de l’utilisation de la reconnaissance faciale difficile à atteindre dans un avenir prévisible. Mais le public ne le saura jamais. Au mieux, comme dans l’affaire Cadillac Fairview, il faudra une enquête du CPVP pour révéler qu’il y a eu une interprétation contestable de la législation sur la protection de la vie privée de la part d’un acteur du secteur privé.10 Au pire, il n’y aura ni plainte, ni enquête, ni réparation pour une violation fondée sur de telles interprétations couvertes par le secret professionnel. En effet, l’opacité prévue des évaluations juridiques que les lignes directrices indiquent devoir avoir lieu avant l’utilisation de la FRT priverait le public de toute information sur la manière dont les services de police ont dûment pris en considération les droits de l’homme, y compris le droit à la vie privée, et ne lui laisserait aucun moyen d’évaluer si ces considérations ont été ou non prises en compte dans les processus d’acquisition et d’utilisation de la technologie.

Deuxièmement, dans tous ces cas, on peut légitimement s’interroger sur la cohérence avec laquelle ces directives peuvent être interprétées dans de telles circonstances. À cet égard, l’ACLC salue la contribution à la consultation en cours des professeures Lisa Austin et Andrea Slane, qui exposent en détail la complexité du paysage juridique relatif à l’utilisation de la reconnaissance faciale par la police.11 Partout au Canada, les citoyens méritent une protection égale et cohérente de leurs droits lorsque les forces de police ont recours à la reconnaissance faciale. L’obligation de « consulter votre avocat » dans ce contexte juridique incertain, face à cette technologie controversée et en pleine évolution, ne permettra pas d’y parvenir.

Quelles mesures ou pratiques les services de police peuvent-ils mettre en œuvre pour s’assurer que les tiers participant aux initiatives de lutte contre les incendies agissent dans le respect de la loi ?

L’ACLC estime qu’il est important de souligner, tout d’abord, que les lignes directrices ont tout à fait raison de faire peser sur les organismes chargés de l’application de la loi qui utilisent la reconnaissance faciale la responsabilité de s’assurer que les outils qu’ils choisissent sont conformes à toutes les lois canadiennes applicables. La réticence de la Gendarmerie royale du Canada (GRC) à assumer la responsabilité de veiller à ce que les fournisseurs tiers respectent la législation en matière de protection de la vie privée, telle qu’elle est documentée dans les conclusions de l’enquête concernant l’utilisation par la GRC de la technologie de reconnaissance faciale de Clearview AI, met clairement en évidence la nécessité de cette disposition.12 Elle doit faire partie intégrante de chaque processus d’acquisition, se poursuivre jusqu’à la mise en œuvre et s’appliquer pendant toute la durée d’utilisation de l’outil. Compte tenu des changements technologiques potentiels dans les logiciels tiers, une vigilance constante en matière de conformité revêt une importance particulière. Le manque d’expertise interne pour effectuer de telles évaluations peut et doit être comblé par le recours à des experts externes indépendants, y compris un large éventail de parties prenantes de la communauté. Au paragraphe 69 des lignes directrices, dernier point, nous demandons que la participation d’experts techniques et de groupes de parties prenantes soit considérée comme obligatoire plutôt que comme une simple option, comme le suggère actuellement la formulation « peut inclure » ; nous suggérons également que les services de police soient tenus de démontrer, dans leur rapport d’analyse d’impact sur la protection des données (PIA), comment ils ont collaboré avec ces experts et les parties prenantes de la communauté. Les lignes directrices devraient également exiger que l’évaluation de la conformité juridique et la consultation des parties prenantes externes soient effectuées, achevées et consignées dans un rapport avant tout essai impliquant des membres du public, et bien sûr avant toute passation de marché et tout déploiement effectifs d’une technologie. Les ressources nécessaires au financement de ces consultations doivent être considérées comme faisant partie des coûts d’acquisition et inscrites au budget en conséquence. Les organismes chargés de faire respecter la loi doivent démontrer qu’ils se conforment à la loi dans toutes leurs activités si l’on veut gagner ou mériter la confiance du public.

À ce sujet, PI tient à souligner que les services de police ne doivent pas se contenter de s’assurer que les tiers impliqués dans des initiatives liées à la reconnaissance faciale agissent dans le respect de la loi. Dans le cadre de ses travaux, PI constate que, alors que les autorités du monde entier cherchent à étendre leurs capacités de surveillance et à exploiter la puissance des données pour fournir des services publics, elles ont souvent recours aux services d’entreprises technologiques privées, par le biais de partenariats public-privé (« PPP »).13 Ces partenariats soulèvent de graves questions en matière de droits de l’homme concernant l’implication d’acteurs privés dans l’utilisation de technologies de surveillance intrusives et l’exercice de pouvoirs traditionnellement considérés comme relevant de la prérogative de l’État.

Grâce à son travail d’enquête et à celui de ses partenaires à travers le monde, PI a identifié un certain nombre de problèmes récurrents dans les PPP impliquant des technologies de surveillance et/ou le traitement massif de données. Pour y remédier, PI a défini des garanties correspondantes qu’elle recommande de mettre en œuvre aux autorités publiques et aux entreprises qui envisagent de conclure de tels partenariats. Classées selon les principes de transparence, de passation de marchés équitable, de légalité, de nécessité et de proportionnalité, de responsabilité, de contrôle et de recours, ces mesures visent ensemble à défendre les droits humains et à restaurer la confiance dans les fonctions publiques de l’État, alors que celles-ci sont de plus en plus souvent confiées à des acteurs privés. Ces mesures de protection se veulent indépendantes de toute juridiction, afin de pouvoir s’appliquer aussi largement que possible à travers le monde. Nous invitons humblement le commissaire à examiner ces mesures de protection proposées (ainsi que les exemples d’abus auxquelles elles visent à remédier) et à réfléchir à la manière dont elles pourraient être intégrées et respectées dans ces lignes directrices relatives à l’utilisation de la FRT par les services de police au Canada. Ces mesures de protection n’ont pas encore été officiellement lancées et nous sollicitons actuellement les commentaires de certains de nos partenaires à travers le monde, mais vous trouverez une version quasi définitive en annexe 1 de la présente soumission.

Envisagez-vous des conséquences négatives découlant des recommandations formulées dans ce guide, et si oui, quelles sont-elles ?

Dans nos remarques liminaires accompagnant cette contribution, nous avons émis une réserve quant au fait que la simple publication de ces lignes directrices, qui traitent davantage de la « manière » dont la technologie de reconnaissance faciale (FRT) peut jouer un rôle dans une application de la loi respectueuse des droits que de la question de savoir « si » elle doit jouer un tel rôle, pourrait orienter le débat public vers la recherche de la « meilleure » façon de permettre à la police d’utiliser cette technologie.

Il est particulièrement important d’en tenir compte, car si ces lignes directrices s’adressent à juste titre aux services de police, elles ont également un rôle important à jouer dans la sensibilisation du public à ses droits en matière de reconnaissance faciale. Une fois officiellement mises en place, ces lignes directrices permettront au public de mieux comprendre les fondements juridiques sur lesquels la police peut s’appuyer pour utiliser la reconnaissance faciale, les facteurs que la police devrait être tenue d’évaluer avant de recourir à cette technologie, ainsi que les garanties qu’elle devrait mettre en place pour s’assurer que toute utilisation de cette technologie est légale, éthique et équitable.

Mais il existe un risque sérieux que le fait de concentrer l’attention du public sur ces questions de « comment » empêche ou supplante une réflexion rigoureuse sur les questions de « si » ou de « quand », qui n’ont toujours pas reçu suffisamment d’attention au Canada. Et cela importe, beaucoup, car la reconnaissance faciale est véritablement dangereuse. Sa source de données, ce sont nos visages, le signe extérieur de ce que nous sommes. Elle peut fonctionner de manière cachée, derrière des infrastructures de caméras utilisées depuis suffisamment longtemps pour être devenues largement invisibles par force d’habitude, ou en conjonction avec des bases de données d’images, telles que les photos d’identité judiciaire, dont la collecte est régie, au moins en partie, par des lois qui n’ont pas pris en compte les capacités quantitativement et qualitativement différentes de la FRT par rapport à leur utilisation.14 Encore une fois, cela est particulièrement pertinent dans le contexte de la surveillance policière excessive systématique des personnes racialisées, qui sont par conséquent plus susceptibles d’être représentées dans de telles bases de données.15

La FRT est suffisamment puissante pour avoir le potentiel de transformer en profondeur les relations entre les citoyens et l’État. Ses implications dépassent le cadre de la législation sur la protection de la vie privée dans le secteur public pour s’étendre aux répercussions sociales de la surveillance, au dilemme éthique entourant l’intelligence artificielle, au flou (ou aux frontières prétendument artificielles mais pratiquement inexistantes) entre la collecte et l’utilisation des informations dans les secteurs public et privé, ainsi qu’aux liens étroits entre le big data, le tri social, le profilage et la discrimination. Le strict respect d’une définition technique et juridique de la vie privée fondée sur les informations à caractère personnel est largement insuffisant pour faire face aux risques interdépendants qui menacent ces droits et qui

reposent avant tout sur la possibilité de se déplacer librement sans être soumis à une surveillance systématique de la part de l’État. Cependant, les directives qui dépassent ces limites légales se heurteront inévitablement à une résistance et seront difficiles, voire impossibles, à faire respecter.

Nous sommes conscients qu’il s’agit d’un choix cornélien, et que ces lignes directrices s’inscrivent dans ce cadre. L’engouement pour l’expérimentation de Clearview AI (41 entités au Canada figuraient dans les données internes de l’entreprise comme ayant utilisé le logiciel) témoigne du fait que les services de police à travers le pays souhaitent aller de l’avant avec une forme ou une autre de reconnaissance faciale.16 À Toronto, la Commission des services policiers examine actuellement une politique en matière d’IA qui englobe la FRT et utilise cette technologie depuis 2018. Calgary a été le premier service de police au Canada à adopter la FRT en 2014. D’autres services de police à travers le Canada ont alloué des fonds dans leur budget, manifesté leur intérêt pour cette technologie ou conclu récemment des contrats avec des fournisseurs.17

Les risques liés à la reconnaissance faciale ne doivent jamais être évalués en se limitant à la technologie en soi (comme le font les lignes directrices), mais toujours en tenant compte du contexte dans lequel elle est déployée et des nombreux biens sociaux qu’elle menace. Par exemple, la technologie de Clearview AI n’est pas une simple base de données de visages consultable. Il s’agit d’un outil dystopique qui permet à quiconque d’identifier n’importe qui, tant en ligne que dans le monde physique, et de combiner des informations issues de ces deux mondes pour suivre, surveiller et potentiellement traquer ou harceler de manière bien plus efficace.18 Nous reconnaissons bien sûr et saluons la conclusion du commissaire selon laquelle l’utilisation par la GRC de la technologie de Clearview AI était illégale, mais nous craignons qu’une technologie légèrement différente, déployée dans un meilleur respect des garanties procédurales, puisse cocher toutes les cases des lignes directrices, tout en ayant les mêmes effets inacceptables sur les droits fondamentaux.

Même si des lignes directrices aussi minutieuses et exhaustives que celles-ci semblent, d’un point de vue pragmatique, préférables à l’absence totale de directives, le risque que leur simple existence serve à étouffer tout débat sur la question de savoir si la police devrait ou non recourir à la reconnaissance faciale est bien réel et préoccupant. C’est d’autant plus vrai que les discussions relatives à une série de demandes d’accès à l’information soumises par l’ACLC concernant l’utilisation de la FRT par la police à travers le pays ont révélé que de nombreux services de police attendent la publication de ces lignes directrices avant de procéder à l’acquisition de cette technologie.

Il existe un risque connexe que ces lignes directrices, une fois mises en œuvre, contribuent également à atténuer l’urgence d’adopter un nouveau cadre juridique, pourtant indispensable, pour régir la collecte et l’utilisation des identifiants biométriques au Canada.

Dans ce contexte, PI souhaite attirer l’attention du Commissaire sur les répercussions d’un arrêt rendu par la Cour d’appel d’Angleterre et du Pays de Galles dans l’affaire Bridges c. South Wales Police.19 La Cour a estimé dans cette affaire que le déploiement de la technologie de reconnaissance faciale automatisée par la police du sud du Pays de Galles enfreignait un certain nombre de lois sur la protection des données et sur l’égalité, et qu’il existait des « lacunes fondamentales » 20 dans le cadre juridique régissant l’utilisation de cette technologie. Bien que nous ayons salué cet arrêt, nous avons observé que diverses forces de police s’en sont ensuite prévalues pour faire valoir que leur utilisation de la technologie de reconnaissance faciale pouvait être légale si elles élaboraient de meilleures politiques, notamment concernant les « personnes » pouvant être inscrites sur une liste de surveillance et les « lieux » où cette technologie peut être déployée. Les forces de police au Royaume-Uni n’ont donc pas été dissuadées d’utiliser cette technologie et certaines déploient actuellement des systèmes de reconnaissance faciale en temps réel.21 Nous craignons donc que, malgré de nombreuses déclarations fermes sur les dangers de la technologie de reconnaissance faciale et sur la nécessité de respecter les principes de nécessité et de proportionnalité dans son utilisation, les préoccupations « faciles à résoudre » et les conseils sur la manière de les résoudre détournent en réalité l’attention des questions plus graves et fondamentales concernant la place d’une telle technologie dans les sociétés démocratiques.

L’utilisation des armes à impulsion par la police est-elle réglementée de manière adéquate au Canada en vertu de la législation en vigueur ? Si ce n’est pas le cas, quelles sont vos préoccupations concernant la manière dont cette utilisation est actuellement réglementée, et quels changements faudrait-il apporter au cadre juridique actuel ?

L’ACLC fait valoir que l’utilisation de la reconnaissance faciale par la police n’est pas réglementée de manière adéquate au Canada en vertu de la législation en vigueur. L’ensemble disparate d’instruments juridiques jugés pertinents dans les lignes directrices présente des lacunes en matière de dispositions de contrôle, d’options d’application et de protection des droits fondamentaux menacés par la surveillance biométrique, notamment le droit à la vie privée, la liberté d’expression, la liberté d’association et l’égalité.

Une loi intersectorielle sur la protection des données s’inscrivant globalement dans un cadre fondé sur les droits de l’homme serait plus pertinente, en particulier dans un contexte où les secteurs privé et public utilisent les mêmes technologies (bien que souvent à des fins différentes) mais sont désormais soumis à des exigences juridiques distinctes. Des lois ciblées régissant la biométrie ou, plus largement, les technologies à forte intensité de données, basées sur des algorithmes ou pilotées par ceux-ci, pourraient être encore mieux adaptées à l’objectif visé, et il existe un certain nombre d’exemples à l’échelle mondiale où une telle législation a récemment été adoptée ou est à l’étude.22 Au Canada, nous disposons déjà d’une loi spécifique régissant l’utilisation de l’ADN par la police, de sorte que

La jurisprudence s’est désormais établie en ce qui concerne les données à caractère hautement sensible et personnel.23

Contrôle

La « surveillance responsable », terme utilisé dans un article récent publié par le Bureau du commissaire aux caméras de surveillance du Royaume-Uni (qui constitue en soi un exemple de modèle possible), est de plus en plus nécessaire à mettre en œuvre dans un monde où les nouvelles possibilités de suivi, de surveillance et d’identification se multiplient.24 Le cadre juridique actuel présente un manque de contrôle efficace et indépendant (et non pas seulement d’examen) ainsi que d’exigences de transparence publique, ce qui laisse subsister d’importantes lacunes en matière de responsabilité.

Un élément essentiel réside dans la mise en place d’un mécanisme de contrôle global de l’utilisation des technologies de surveillance par les forces de police, qui permette de prendre en compte un large éventail de points de vue, notamment ceux des forces de l’ordre et des parties prenantes civiles, sur l’ensemble des questions pertinentes pour l’examen de l’utilisation potentielle de la reconnaissance faciale et d’autres technologies de surveillance intrusives fondées sur les données. À cet égard, l’ACLC souscrit aux suggestions relatives à l’« élaboration d’un cadre de surveillance adéquat » contenues dans la contribution à la présente consultation des professeurs Austin et Slane, qui préconisent la création d’un organisme de surveillance externe indépendant et de processus connexes.25

Application

L’application de la loi est un domaine susceptible d’être amélioré dans le cadre des lois actuelles sur la protection de la vie privée. Bien que les services de police relèvent de la compétence des provinces et que la plupart des services de police soient régis par des lois provinciales ou municipales en matière de protection de la vie privée, la GRC est soumise à la législation fédérale. Nous n’abordons ici que les améliorations nécessaires à apporter à la législation fédérale pertinente en matière de protection de la vie privée.

Le Commissariat à la protection de la vie privée du Canada, tant à titre individuel qu’en collaboration avec les commissaires provinciaux, a récemment mené trois enquêtes portant sur les technologies d’analyse et de reconnaissance faciales, et a formulé des conclusions détaillées. Dans chacun de ces cas, les dispositions applicables de nos lois fédérales actuelles régissant les secteurs public et privé ont permis de formuler des conclusions précises, mais n’ont entraîné aucune conséquence autre que la dénonciation publique. Dans chaque cas, les personnes visées par l’enquête ont contesté ou remis en cause les recommandations, et l’absence de pouvoirs d’exécution, y compris l’absence de pouvoirs de rendre des ordonnances exécutoires, dont dispose le commissaire fédéral a empêché l’application de sanctions administratives. Le projet de loi C-11 n’aurait pas résolu ce problème et il reste à voir si la prochaine loi sur la protection des renseignements personnels dans le secteur privé qui sera proposée sera adaptée à cet effet.

La récente consultation sur la modernisation de la Loi sur la protection des renseignements personnels du Canada a soulevé des questions concernant la nécessité de conférer au Commissaire à la protection de la vie privée le pouvoir de rendre des ordonnances, d’étendre la compétence de contrôle de la Cour fédérale aux questions relatives à la collecte, à l’utilisation, à la communication, à la conservation et à la protection des renseignements personnels, ainsi que d’ajouter de nouvelles infractions pour les violations graves de la Loi.26 Ces mesures sont nécessaires pour que la fonction de contrôle exercée par le CPVP sur la police nationale du Canada, la GRC, gagne en efficacité.

Protection des droits fondamentaux

La FRT comporte des risques pour les droits, tout comme, d’une manière plus générale, la prise de décision fondée sur des algorithmes, les algorithmes d’inférence et toute une série d’autres technologies biométriques susceptibles d’être utilisées pour faciliter la surveillance à distance, et dont les répercussions vont au-delà de la vie privée pour potentiellement porter atteinte à un large éventail de droits protégés par la Charte. Se concentrer sur la réglementation de l’utilisation des informations individuelles permettant d’identifier une personne ne permet pas d’atténuer pleinement ces risques, qui peuvent également toucher des groupes classés socialement à l’aide d’une série de données personnelles et déduites, et soumis de ce fait à un traitement différencié de manière subtile et cumulative plutôt que directe et ciblée. L’éventail des perspectives qu’il convient de prendre en compte pour déterminer comment réglementer les effets diffus et socialement corrosifs d’une surveillance sans limites est bien exprimé par l’actuel commissaire aux caméras de surveillance au Royaume-Uni :

1. Ce qui est techniquement possible (ce qui peut être fait)
2. Ce qui est légalement autorisé (ce qu’il faut faire ou ne pas faire) et
3. Ce qui est socialement acceptable (ce que les communautés sont prêtes à tolérer et à soutenir).27

La nécessité de disposer d’un cadre permettant de garantir la protection des droits fondamentaux au-delà du seul champ d’application du droit à la vie privée vient étayer l’appel en faveur de la création d’un organisme de contrôle indépendant, externe et multidisciplinaire chargé de surveiller l’utilisation par la police des technologies de surveillance fondées sur les données, y compris la reconnaissance faciale, conformément à la recommandation ci-dessus.

L’utilisation de la reconnaissance faciale par la police, y compris la collecte d’empreintes faciales, devrait-elle être limitée à un ensemble précis de finalités (telles que les crimes graves ou des raisons humanitaires, par exemple les personnes disparues) ? Devrait-elle pouvoir utiliser ou conserver des empreintes faciales autres que celles des personnes qui ont été arrêtées ou condamnées ?

La technologie FRT devrait être illégale si elle est déployée à grande échelle ou de manière indiscriminée (c’est-à-dire dans le cadre d’une approche de surveillance de masse).

Existe-t-il des circonstances dans lesquelles la police ne devrait jamais être autorisée à recourir à la reconnaissance faciale, ou des applications spécifiques de cette technologie qui ne devraient pas être autorisées (par exemple, les « zones interdites » telles que la collecte aveugle d’images sur Internet) ? Devrait-il y avoir des règles particulières (ou une interdiction) concernant l’utilisation de la reconnaissance faciale à l’égard des mineurs ?

Une autre « zone interdite » concernerait l’utilisation, par les services de police, de systèmes de reconnaissance faciale et de listes de surveillance mis en place par le secteur privé. Par exemple, PI a dénoncé l’année dernière les partenariats entre les forces de police britanniques et la société Facewatch, qui vend des logiciels de reconnaissance faciale aux commerces de détail et à d’autres entreprises et leur permet de télécharger des photos de « personnes d’intérêt » (« SOI ») afin d’être alertés lorsque ceux-ci pénètrent dans leurs locaux.28 Facewatch centralise même les listes de SOI que ses abonnés téléchargent et peut les partager avec les entreprises abonnées situées à proximité. Le problème posé par un tel partenariat est double : (1) il confère des pouvoirs de police à des acteurs privés, leur permettant de décider qui est un suspect ou un criminel potentiel ; et (2) il élargit le champ de la surveillance en permettant à la police d’étendre la portée de sa surveillance à des espaces privés. Nous invitons le commissaire à mettre en garde contre le recours à de tels partenariats public-privé, qui ont tendance à contourner les procédures de passation de marchés établies et à opérer en dehors du cadre juridique régissant les pouvoirs de police, et nous renvoyons à cet égard aux garanties proposées dans la pièce n° 1 (telles que présentées ci-dessus).

L’ACLC fait remarquer que cette question, ainsi que les autres qui portent sur les autorisations et les protections spécifiques relatives à l’utilisation de la reconnaissance faciale (à savoir : quelles protections devraient être accordées aux personnes dont les données biométriques figurent dans une base de données d’empreintes faciales ? L’utilisation de la reconnaissance faciale par la police, y compris la collecte d’empreintes faciales, devrait-elle être limitée à un ensemble défini de finalités (telles que les crimes graves ou des raisons humanitaires, par exemple les personnes disparues) ? Devrait-elle pouvoir utiliser ou conserver des empreintes faciales au-delà de celles des personnes qui ont été arrêtées ou condamnées ?) sont précisément le genre de questions pour lesquelles le Canada a besoin d’une autorité de surveillance indépendante, multipartite et créée par la loi, afin de les examiner, conformément à nos recommandations et à celles d’Austin et Slane dans la section « surveillance » ci-dessus. S’inspirant du Vermont Criminal Justice Council, récemment créé par voie législative en matière de politique de reconnaissance faciale29, ces questions nécessitent un examen minutieux par un groupe multidisciplinaire disposant du temps, des ressources et du mandat spécifique nécessaires pour dialoguer avec l’ensemble des parties prenantes afin de déterminer les réponses appropriées, pour les Canadiens, aujourd’hui et pour l’avenir.

L’ACLC recommande en outre, à l’instar de ce qui se fait dans le Vermont, d’instaurer un moratoire sur l’utilisation de la technologie de reconnaissance faciale par les forces de l’ordre jusqu’à ce que l’organisme de contrôle proposé ait eu l’occasion d’examiner et de répondre à ces questions ainsi qu’à d’autres, et qu’il ait formulé ses recommandations concernant une politique fédérale, provinciale et territoriale relative à l’acquisition et à l’utilisation de cette technologie par les forces de l’ordre.

Y a-t-il d’autres questions stratégiques importantes qui devraient être abordées concernant l’utilisation des armes à impulsion par la police ?

Cela inclut, par exemple, les questions juridiques, éthiques ou sociales qui se posent actuellement en lien avec le développement et la mise en œuvre de bases de données d’empreintes faciales par la police. Si tel est le cas, quelles sont ces questions, et comment recommandez-vous de les traiter ?

Felix Stalder, dans un article d’opinion intitulé à juste titre « La vie privée n’est pas l’antidote à la surveillance », fait remarquer que la surveillance est « un problème structurel du pouvoir politique ».³⁰ Nous conférons à nos forces de l’ordre des pouvoirs extraordinaires en matière d’enquête, d’arrestation et de détention afin de faire respecter l’État de droit. En contrepartie, une responsabilité et une transparence efficaces doivent constituer un élément clé de la structure qui soutient la police dans l’exercice de ses pouvoirs. La reconnaissance faciale (FRT) et d’autres technologies de surveillance à forte intensité de données ont le potentiel d’anéantir la vie privée, de rendre impossible de se déplacer dans l’espace public sans être observé, classé ou identifié.

Il convient de mentionner ici, dans cette conclusion consacrée aux enjeux émergents liés au développement de bases de données d’empreintes faciales par les forces de police, les cinq caractéristiques distinctives de la reconnaissance faciale (FRT) identifiées par Woodrow Hartzog et Evan Selinger, qui la différencient des autres techniques biométriques et des autres technologies de surveillance fondées sur les données. Premièrement, soulignent-ils, les visages sont difficiles à dissimuler, difficiles à modifier, ne peuvent être cryptés et peuvent être capturés à distance, de manière dissimulée. Deuxièmement, il existe un ensemble de bases de données existantes contenant des images, notamment des permis de conduire, des passeports, des photos d’identité judiciaire, des profils sur les réseaux sociaux, toutes créées à d’autres fins, légalement autorisées ou consensuelles, et toutes potentiellement exploitables. Troisièmement, les données d’entrée sont des images facilement collectées par les technologies actuelles — caméras de vidéosurveillance, caméras corporelles, caméras embarquées —, des outils déjà utilisés sur le terrain. Cela peut se produire de manière invisible, derrière la technologie de caméra que le public voit et connaît. Quatrièmement, il identifie le risque d’un « glissement vers le point de basculement », car le passage d’une analyse statique a posteriori à une analyse en temps réel et préventive est relativement simple sur le plan technologique et probable à mesure que s’opère l’acculturation sociale à cette technologie. Enfin, les visages font partie intégrante de notre identité fondamentale, en ligne comme hors ligne, reliant ce que Hartzog et Selinger appellent nos « activités sous notre vrai nom, anonymes et sous pseudonyme ».31

Ces cinq caractéristiques mettent en évidence le pouvoir structurel potentiel de la technologie de reconnaissance faciale, telle qu’elle est utilisée par les forces de l’ordre. La reconnaissance faciale utilise notre visage contre nous dans le cadre des activités policières. Cela peut se produire, et se produit généralement, de manière dissimulée. Elle s’appuie sur toute une série de bases de données existantes ; les bases de données de photos d’identité judiciaire, en particulier, sont lourdes d’un passé chargé en raison des arrestations et des poursuites disproportionnées, largement documentées, dont sont victimes les personnes noires et autochtones.32 Elle peut être utilisée en temps réel ou rétroactivement ; dans ce dernier cas, toute image prise à tout moment et en toute circonstance pourrait servir de référence dans des contextes où, même si l’acquisition était « légale » à ce moment-là et dans ces circonstances, elle aurait pu avoir lieu sans que le public n’ait conscience ou ne prévoie une telle utilisation.

On observe une tendance inquiétante dans les débats sur l’utilisation de la reconnaissance faciale par les forces de l’ordre : on parle d’utilisations « non controversées », voire « courantes », telles que la comparaison d’images capturées avec une base de données de photos d’identité judiciaire, par opposition à des utilisations « controversées », comme le recours à la reconnaissance faciale en temps réel dans les espaces publics. Mais les utilisations actuelles ne sont pas « non controversées » ; les forces de l’ordre ont simplement réussi à s’en tirer jusqu’à présent. À Toronto, par exemple, cela a commencé par un projet pilote secret qui a été rendu public lorsqu’un journaliste a remarqué un rapport figurant dans un ensemble de documents de police techniquement publics, mais pratiquement obscurs,

Procès-verbaux du conseil d’administration. Lorsque l’affaire a été révélée, le Service de police de Toronto avait déjà décidé de procéder à la mise en œuvre complète de cette technologie.³³ Il existe certes un éventail d’utilisations, un concept qui a émergé lors de la table ronde de la Commission de protection de la vie privée de l’Ontario mentionnée précédemment, mais aucune partie de cet éventail n’est exempte de risques pour la vie privée ni de questions sociales pressantes concernant les effets discriminatoires.

Le Canada a besoin d’un débat public sur la reconnaissance faciale. Les discussions autour des lignes directrices qui font l’objet de cette consultation ont lancé ce processus, mais uniquement au sein d’un petit groupe composé d’organismes chargés de l’application de la loi, d’acteurs de la société civile, d’universitaires et d’autorités de protection de la vie privée, et non parmi nos représentants élus démocratiquement ni au sein du grand public. Il faut aller plus loin. Dans le prolongement de cette consultation, l’ACLC estime que le CPVP est bien placé pour lancer et diriger certaines de ces consultations publiques indispensables, qui doivent inclure un volet de sensibilisation du public.

L’ACLC et PI vous remercient de leur avoir donné l’occasion de présenter ce mémoire et se réjouissent à l’idée de poursuivre le dialogue sur la technologie de reconnaissance faciale ainsi que sur les mesures de limitation et de réglementation appropriées à cet égard.