Cadre juridique recommandé pour le recours à la reconnaissance faciale par les services de police

Déclaration commune des commissaires fédéral, provinciaux et territoriaux à la protection de la vie privée

Le 2 mai 2022

La reconnaissance faciale (RF) s’est révélée être un outil d’intérêt considérable pour les services de police partout au Canada. Malgré la popularité grandissante de cette technologie, l’utilisation qu’en font les services de police n’est pas assujettie à un ensemble de règles claires et exhaustives. La RF est plutôt réglementée par une mosaïque de lois qui, pour la plupart, ne tiennent pas précisément compte des différentes utilisations de cette technologie ni des risques qui y sont propres. Cette incertitude juridique est accentuée par l’absence de jurisprudence dans le domaine. Le cadre juridique actuel, dans son ensemble, risque d’encourager l’adoption d’approches fragmentées à l’égard de la RF, approches pour lesquelles il faudrait des années avant que les tribunaux ne statuent.

Les lois canadiennes sur la protection des renseignements personnels qui régissent la collecte, l’utilisation et la communication de ces renseignements sont fondées sur des principes. Dans le contexte de la RF, il s’agit d’un niveau trop élevé pour assurer une protection suffisante, étant donné le caractère intrusif de la technologie. Les lois fondées sur des principes sont avantageuses à certains égards : il n’est pas nécessaire de devoir constamment les modifier en fonction des avancées technologiques et elles ne risquent pas de devenir rapidement désuètes. Toutefois, dans le cas de technologies potentiellement intrusives comme la RF, si on s’appuie uniquement sur de grands principes, cela donne un pouvoir discrétionnaire considérable aux services de police et n’offre pas un degré élevé de certitude quant au respect des droits des personnes.

Par ailleurs, l’absence d’une législation expressément applicable à l’utilisation de la RF par les services de police détonne par rapport à la manière dont d’autres formes de données biométriques sont réglementées. Par exemple, la façon dont les services de police peuvent recueillir, utiliser, communiquer et détruire des échantillons d’ADN, des empreintes digitales et des photos signalétiques est régie par la Loi sur l’identification par les empreintes génétiques et la Loi sur l’identification des criminels.

L’utilisation de la RF par les services de police au Canada soulève, en fin de compte, d’importantes questions quant au type de société dans laquelle nous voulons vivre. Les capacités de cette technologie sont considérables et elle peut être mise au service de la sécurité publique si elle est utilisée de façon responsable et dans les bonnes conditions. Par exemple, elle peut servir à résoudre des crimes graves dans des enquêtes complexes et à trouver des personnes disparues, et contribuer à atteindre des objectifs de sécurité nationale.

Or, l’utilisation de la RF entraîne la collecte et le traitement de renseignements personnels très sensibles. Les données biométriques du visage sont propres à chaque individu, peu susceptibles de varier de manière importante au fil du temps, et ont des caractéristiques intrinsèques qui sont difficiles à modifier. Ces données constituent le noyau même de l’identité personnelle. La RF peut recueillir ces renseignements à grande échelle, à un coût minime, et permettre aux services de police d’identifier et, possiblement, de surveiller secrètement un grand nombre de personnes.

Le fait que les services de police puissent intégrer la technologie de RF dans leurs activités d’application de la loi crée la possibilité d’un risque de graves atteintes à la vie privée, à moins que des mesures de protection appropriées ne soient mises en place. Les Canadiens doivent être libres de participer volontairement et activement à une société moderne sans risquer d’être systématiquement identifiés, suivis et surveillés. Même si certaines atteintes à ce droit peuvent être justifiées dans des circonstances précises, les gens ne renoncent pas à leur droit à la vie privée, y compris à leur anonymat, simplement en évoluant dans le monde d’une manière qui peut révéler leur visage à d’autres personnes, ou qui peut permettre à une caméra de capter leur portrait.

La protection de la vie privée est essentielle à l’exercice des droits fondamentaux protégés par la Charte canadienne des droits et libertés, notamment la dignité, l’autonomie, l’épanouissement personnel et la participation libre et ouverte des citoyens à la vie démocratique. Une surveillance accrue peut dissuader les gens d’exercer ces droits et libertés et bien d’autres. L’utilisation inappropriée de la RF peut avoir des effets graves et durables, non seulement pour les personnes dont les renseignements personnels peuvent être recueillis, traités ou communiqués, mais aussi pour la société en général, en raison de la plus grande capacité des autorités à surveiller les espaces physiques et numériques dans lesquels les citoyens interagissent. Il peut être difficile de limiter cette plus grande capacité de surveillance une fois qu’elle est enclenchée.

À notre avis, le cadre juridique actuel pour le recours à la RF par les services de police au Canada est insuffisant pour contrer les risques afférents pour la vie privée et d’autres droits fondamentaux. En effet, utiliser la RF vient avec tout un éventail de risques. Toute utilisation de ce type est actuellement régie par une mosaïque de lois mises en place bien avant l’apparition de la RF sous sa forme actuelle, et avant que les conséquences possibles de cette technologie ne soient bien comprises. Il existe donc des lacunes dans la loi qui, si elles ne sont pas comblées, favoriseront l’émergence de graves préjudices pour les personnes en cas d’atteinte à la vie privée et à d’autres droits fondamentaux.

C’est pourquoi nous réclamons un nouveau cadre juridique qui fixe des limites appropriées au recours à la RF par les services de police. Ce cadre juridique devrait, selon nous, établir clairement et explicitement les situations où le recours à la RF par les services de police est acceptable et celles où il ne l’est pas. Il devrait comprendre des mesures de protection de la vie privée propres à l’utilisation de la RF et des mesures pour assurer la surveillance qui s’impose lors du déploiement de la technologie.

Cela peut se faire soit en apportant des modifications aux lois actuelles sur la protection des renseignements personnels, soit en promulguant une loi pour régir la RF de manière distincte, puisque l’utilisation de la RF a aussi une incidence sur les droits au-delà de la vie privée (comme l’égalité et la non-discrimination). Dans un cas comme dans l’autre, un nouveau cadre juridique pour le recours à la RF par les services de police devrait comprendre plusieurs éléments clés, dont ceux qui sont présentés ci-dessous. Ces éléments ont été élaborés en tenant compte des observations formulées par des intervenants lors de notre consultation, de nos récentes enquêtes sur le recours à la RF par les services de police, ainsi que de nos propres recherches et analyses respectives.

Principaux éléments d’un cadre juridique pour réglementer le recours à la RF par les services de police

I. Définition claire et explicite des fins auxquelles le recours à la RF par les services de police serait permis, sous réserve de zones interdites

Pour commencer, la loi devrait définir clairement et explicitement les fins auxquelles les services de police sont autorisés à utiliser la RF. L’absence de clarté risque de donner lieu à des interprétations différentes du pouvoir des services de police d’utiliser la RF, ce qui peut conduire à une incohérence dans l’application de la loi et dans les attentes à cet égard.

La loi devrait clairement indiquer que la police ne peut utiliser la RF qu’à des fins expressément autorisées par la loi et à aucune autre fin. Il est important d’ajouter cette précision explicitement dans la loi, afin d’éviter les lacunes concernant la légalité d’autres utilisations possibles. À défaut d’inclure cette précision, une ambiguïté peut persister au moment d’établir si l’utilisation de la RF est légale ou non.

À notre avis, toute autorisation d’utiliser la RF dans un contexte de prévention ou d’enquête criminelle devrait être réservée à des fins impératives, comme limiter son utilisation uniquement à des actes criminels graves^{Note de bas de page 1}. Certaines juridictions ont adopté une approche similaire, par exemple en limitant certaines utilisations de la RF à des fins d’enquête sur des crimes violents ou des crimes passibles de peines d’emprisonnement minimales, selon les circonstances^{Note de bas de page 2}. Toute autorisation d’utiliser la RF à des fins de prévention de la criminalité devrait être circonscrite de la même manière.

Il peut également être approprié d’autoriser le recours à la RF par les services de police à des fins humanitaires, par exemple pour aider à rechercher des personnes disparues, ou à des fins administratives, comme pour caviarder des visages dans des images captées par des caméras de surveillance en vue de faciliter le traitement des demandes d’accès à l’information. Les limites d’une telle utilisation devraient être proportionnelles aux risques encourus.

Compte tenu des risques pour la vie privée pouvant découler de l’utilisation de la RF, la loi devrait imposer des restrictions claires et explicites à certaines utilisations (c’est-à-dire des zones interdites), quelles que soient les fins visées, pour empêcher le déploiement de la RF qui pourrait avoir des effets inacceptables sur la vie privée et d’autres droits de la personne. À notre avis, ces limites devraient inclure une interdiction explicite de toute utilisation de la RF pour surveiller des personnes participant à une manifestation pacifique, et de toute utilisation pouvant donner lieu à une surveillance de masse, dont la définition devrait englober la surveillance, systématique ou non, d’une population ou d’une composante importante de celle-ci^{Note de bas de page 3}. Même pour la prévention de crimes graves et les enquêtes sur de tels crimes, l’utilisation de la RF par les services de police ne devrait être autorisée que si elle est ciblée, fondée sur le renseignement et d’une durée limitée.

Par ailleurs, des restrictions devraient s’appliquer aux utilisations autorisées pour la création et l’utilisation de bases de données d’images faciales dans le cadre d’un projet de RF, lesquelles sont une source importante de risques. Selon nous, il devrait être interdit de recueillir sans distinction des images faciales permettant d’établir une comparaison, y compris les images prélevées en ligne^{Note de bas de page 4}. Des restrictions devraient aussi s’appliquer à l’autorisation d’accès aux bases de données d’images créées ou alimentées par d’autres organismes publics ou par des entités privées, ou à l’utilisation de celles-ci par les services de police. Si les services de police canadiens sont autorisés à utiliser de telles bases de données, l’autorisation devrait être clairement définie et de portée limitée, et elle devrait exiger que les renseignements personnels contenus dans la base de données sont recueillis légalement. Soulignons que le Parlement européen a demandé l’interdiction de l’utilisation de bases de données privées de RF à la suite de la collecte illégale et sans distinction d’images par la société Clearview AI^{Note de bas de page 5}.

La loi devrait également imposer des restrictions relativement aux circonstances dans lesquelles l’image d’une personne peut être versée dans une base de données permettant d’établir une comparaison – par exemple, uniquement en cas de déclaration de culpabilité pour certaines infractions ou lorsque des critères précis de menace sont remplis. Il est à noter que la Loi sur l’identification par les empreintes génétiques impose des restrictions de ce genre aux circonstances dans lesquelles les services de police sont autorisés à verser des échantillons d’ADN dans la banque nationale de données génétiques.

II. Exigences strictes en matière de nécessité et de proportionnalité

Les risques d’atteinte à la vie privée que peut poser la RF dépendent en partie des circonstances propres au déploiement de la technologie dans une situation donnée. Si les risques sont trop grands dans certaines circonstances pour justifier l’utilisation de la RF, comme dans l’exemple de la surveillance de masse, d’autres circonstances pourraient justifier son utilisation. Étant donné que la loi ne saurait anticiper et traiter toutes les circonstances, il est important qu’en plus des limites concernant les fins autorisées, elle exige également que le recours à la RF par les services de police soit à la fois nécessaire et proportionnel pour tout déploiement de la technologie.

Soulignons que les organismes d’application de la loi dans l’Union européenne, s’ils sont assujettis à la Directive dans le domaine répressif, ne peuvent traiter des données biométriques à des fins d'identification que lorsque cela est « en cas de nécessité absolue^{Note de bas de page 6}». Au nombre des conditions supplémentaires, mentionnons que le traitement biométrique doit être autorisé par le droit de l’Union européenne ou le droit d’un État membre (ou par d’autres motifs précisés de traitement licite), sous réserve de garanties appropriées pour les droits et libertés de la personne concernée. De même, le code de pratique du Royaume-Uni sur les caméras de surveillance (Surveillance Camera Code of Practice) exige que toute utilisation de la RF ou d’un autre système de reconnaissance fondé sur des caractéristiques biométriques, par les services de police, soit clairement justifiée, nécessaire pour répondre à un besoin urgent et proportionnelle à l’atteinte de l’objectif déclaré^{Note de bas de page 7}.

Nous sommes d’avis que les critères de nécessité et de proportionnalité devraient être inclus explicitement dans la loi en tant que conditions préalables essentielles à toute utilisation de la RF. Ces critères devraient s’appliquer à la collecte, à l’utilisation ou à la communication des images contenues dans les bases de données de comparaison et des images saisies dans le système, ainsi que de tout autre renseignement personnel en cause. Le critère de nécessité devrait être défini de manière à ce que toute utilisation autorisée soit strictement nécessaire pour répondre à un besoin précis^{Note de bas de page 8} − compte tenu du caractère intrusif de la RF, il ne suffit pas d’invoquer des objectifs généraux de sécurité publique pour en justifier l’utilisation. De même, le critère de proportionnalité devrait être défini de manière à ce que les avantages possibles de l’utilisation de la RF soient examinés par rapport, d’une part, à l’incidence générale qui en découle (p. ex. l’augmentation de la surveillance généralisée) et, d’autre part, à l’incidence du projet proposé sur des personnes et des groupes en particulier.

III. Surveillance indépendante des projets de RF

Une surveillance forte et indépendante est essentielle pour garantir la mise en œuvre responsable des projets de RF. La surveillance est particulièrement importante pour ce qui est du recours à la RF par les services de police, car les répercussions potentielles peuvent être complexes et difficiles à prévoir, et avoir de lourdes conséquences pour les personnes, les groupes et les communautés. Si elle est bien réalisée, la surveillance peut également contribuer à maintenir la confiance du public dans l’utilisation responsable de la RF et à renforcer la responsabilité dans le cadre des projets où on a recours à cette technologie.

De notre point de vue, la meilleure façon d’y parvenir serait d’accorder à un organisme public externe et indépendant les pouvoirs nécessaires pour surveiller, de manière proactive et utile, le recours à la RF par les services de police. Les pouvoirs et les responsabilités de l’organisme de surveillance devraient inclure les éléments clés qui suivent.

Premièrement, il devrait y avoir un engagement obligatoire et proactif entre l’organisme de surveillance et les services de police pendant toutes les phases d’un projet de RF. Consulter dès le départ et fréquemment l’autorité de surveillance peut contribuer à ce que les risques soient bel et bien pris en compte et à ce que les préjudices potentiels soient réduits au minimum. Cela peut aussi contribuer à ce que les projets respectent les exigences prévues par la loi tout au long de leur mise en œuvre, notamment les exigences proposées en matière de nécessité et de proportionnalité. Le mécanisme pour favoriser un tel engagement devrait consister à exiger des services de police qu’ils procèdent à une évaluation des facteurs relatifs à la vie privée (EFVP), ou à une évaluation similaire des risques, avant toute utilisation prévue de la RF, et qu’ils soumettent cette évaluation à l’organisme de surveillance aux fins d’examen. Les évaluations telles que les EFVP sont en voie de devenir la norme sur le plan juridique dans bon nombre de juridictions, tant au Canada que dans d’autres parties du monde, comme en Europe.

Deuxièmement, les services de police devraient être tenus d’obtenir l’autorisation préalable d’un organisme de surveillance, au niveau du programme, ou de donner à ce dernier un préavis de l’utilisation proposée, avant de lancer un projet de RF. Au Québec, selon le modèle de surveillance en vigueur, la création d’une banque de données biométriques doit être préalablement divulguée à la Commission d’accès à l’information du Québec (CAI), qui est l’organisme de réglementation en matière de protection de la vie privée pour la province. La CAI dispose d’une série de pouvoirs de rendre des ordonnances concernant les banques de données biométriques. Elle peut suspendre ou interdire la mise en service d’une telle banque de données si celle-ci ne respecte pas ses ordonnances ou si elle porte autrement atteinte au respect de la vie privée^{Note de bas de page 9}.

Troisièmement, l’organisme de surveillance doit disposer des pouvoirs nécessaires pour assurer de manière efficace la conformité et l’application de la loi. En ce qui concerne les interventions des services de police, où l’utilisation de la RF peut avoir de graves répercussions sur la vie privée et d’autres droits de la personne, il serait important que l’organisme de surveillance puisse mener des vérifications et des inspections proactives afin de garantir le respect constant de la loi. À notre avis, de telles mesures sont cruciales pour assurer la responsabilité dans le cadre des projets de RF et la transparence dans la manière d’utiliser la technologie. Les pouvoirs de surveillance devraient également permettre de rendre des ordonnances en cas de violation de la loi dans le cadre des projets de RF. En fin de compte, les mécanismes d’application de la loi devraient favoriser une conformité générale et constante de la part des services de police et offrir aux personnes des recours rapides et efficaces.

IV. Droit à la vie privée et mesures de protection

Toutes les utilisations de la RF comportent des risques potentiels pour la vie privée et d’autres droits fondamentaux. Étant donné la gravité de certains risques, il est important, lorsque la RF est utilisée, de prendre les mesures de protection de la vie privée qui s’imposent pour les atténuer.

Nous sommes d’avis que les lois actuelles sur la protection des renseignements personnels devraient continuer de régir le recours à la RF par les services de police lorsque celles-ci offrent une protection suffisante contre ces risques. Toutefois, il faudrait apporter des modifications supplémentaires afin de rendre certaines dispositions et certains principes plus clairs et plus précis quant aux risques pouvant découler de l’utilisation de la RF. Ces modifications pourraient soit être apportées aux lois actuelles sur la protection de renseignements personnels, soit figurer dans une loi régissant la RF de manière distincte, puisque l’utilisation de cette technologie a une incidence sur les droits au-delà de la vie privée (comme l’égalité et la non-discrimination).

L’une de ces modifications concerne l’exactitude des systèmes de RF. Par exemple, la Loi sur la protection des renseignements personnels exige des institutions fédérales, y compris des services de police, qu’elles veillent à ce que les renseignements personnels qu’elles utilisent soient exacts et à jour. Pour atténuer les risques liés à la RF, il faut aussi s’assurer de l’exactitude de la procédure de mise en correspondance utilisée pour comparer les images. Il est donc important que la loi aborde directement cette nuance en exigeant des essais rigoureux des systèmes de RF, compte tenu des conséquences possibles d’une identification erronée, comme la reproduction de biais systémiques à l’encontre des populations racisées et d’autres groupes^{Note de bas de page 10}. Pour atténuer encore plus les risques que posent les erreurs algorithmiques, la loi devrait exiger qu’un humain participe à l’examen des correspondances faciales obtenues par le logiciel de RF^{Note de bas de page 11}.

Une autre modification proposée concerne la conservation des renseignements personnels. Les considérations relatives à la conservation dans le cadre de projets de RF peuvent être complexes, car les images de comparaison, les images qui se trouvent dans une base de données d’images faciales préalablement saisies et les empreintes faciales peuvent toutes s’avérer nécessaires pendant différentes périodes, dont la durée peut varier. Dans le contexte des services de police, certains renseignements peuvent également être nécessaires plus longtemps, par exemple, comme preuve dans une instance judiciaire. Pour ces raisons, il est important que la loi comporte des directives claires et précises qui tiennent compte de la réalité opérationnelle des services de police et qui indiquent quand et pendant combien de temps il est nécessaire de conserver les images et les autres renseignements personnels. Par exemple, la loi devrait interdire la conservation d’images de personnes innocentes ou lavées de tout soupçon, comme les passants qui ont été filmés, les personnes qui n’ont jamais été déclarées coupables d’une infraction ou les personnes dont le casier judiciaire a été suspendu.

Une troisième modification proposée concerne les mesures de transparence pour les projets de RF. De notre point de vue, de solides mesures de transparence sont nécessaires, au niveau du programme, pour garantir que les personnes ont la possibilité d’être informées des renseignements personnels qui peuvent être recueillis à leur sujet et de la manière dont ils peuvent être utilisés. Ces mesures, qui sont importantes pour assurer la responsabilité et favoriser la confiance du public à l’égard du recours à la RF par les services de police, devraient comprendre des exigences explicites quant à la publication d’information sur la nature, la portée, les méthodes, les fins et le traitement des renseignements personnels dans les projets de RF, y compris des sommaires d’EFVP s’il y a lieu^{Note de bas de page 12}.

Enfin, comme la plupart des lois sur la protection des renseignements personnels au Canada sont conçues de manière à reconnaître le droit des personnes à la vie privée, il sera important de tenir compte des intérêts collectifs en matière d'information, notamment ceux des Autochtones. Le processus de consultation publique entourant la réforme de la Loi sur la protection des renseignements personnels et, particulièrement, le Rapport sur la mobilisation des partenaires autochtones^{Note de bas de page 13} pourraient éclairer la question. Selon nous, tout cadre juridique pour le recours à la RF par les services de police devrait comporter une exigence de consultation véritable en continu avec les peuples autochtones, ainsi qu’avec d’autres groupes qui subissent un nombre disproportionné d’interventions policières et qui sont surreprésentés dans le système de justice pénale.

Signataires :

Daniel Therrien
Commissaire à la protection de la vie privée du Canada

Patricia Kosseim
Commissaire à l'information et à la protection de la vie privée de l’Ontario

Diane Poitras
Présidente, Commission d’accès à l’information du Québec

Tricia Ralph
Commissaire à l’information et à la protection de la vie privée pour la Nouvelle-Écosse

Marie-France Pelletier
Ombud du Nouveau-Brunswick

Jill Perron
Ombudsman du Manitoba

Michael McEvoy
Commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique

Denise Doiron
Commissaire à l’information et à la protection de la vie privée de l’Île-du-Prince-Édouard

Ron Kruzeniski
Commissaire à l’information et à la protection de la vie privée de la Saskatchewan

Jill Clayton
Commissaire à l’information et à la protection de la vie privée de l’Alberta

Michael Harvey
Commissaire à l’information et à la protection de la vie privée de Terre-Neuve-et-Labrador

Andrew Fox
Commissaire à l’information et à la protection de la vie privée des Territoires du Nord-Ouest

Diane McLeod-McKay
Commissaire à l’information et à la protection de la vie privée du Yukon

Graham Steele
Commissaire à l’information et à la protection de la vie privée du Nunavut

---

Ce que nous avons entendu – Contexte de nos consultations sur le document d’orientation préliminaire et sur le cadre juridique à établir pour le recours à la reconnaissance faciale par les services de police

En juin 2021, les commissaires à la protection de la vie privée à l’échelle fédérale, provinciale et territoriale au Canada ont publié un document d’orientation préliminaire visant à définir les obligations des services de police en matière de protection de la vie privée lorsqu’ils utilisent la RF. Au même moment, nous avons lancé une consultation publique afin de connaître le point de vue de divers intervenants sur ce document d’orientation, ainsi que sur le cadre juridique et de politique à établir pour régir le recours à la RF par les services de police.

Au terme de la consultation, nous avons reçu 29 mémoires de particuliers et d’organisations issus de tous les secteurs concernés : société civile, universités, services de police, milieu des affaires, milieu gouvernemental et milieu juridique. À l’automne 2021, le Commissariat a rencontré des organismes d’application de la loi, des groupes de la société civile, des organisations représentant des communautés marginalisées et des groupes en quête d’équité, ainsi que des commissaires aux droits de la personne à l’échelle fédérale, provinciale et territoriale afin de recueillir leurs observations.

Le Commissariat à l’information et à la protection de la vie privée de l’Ontario a également organisé une table ronde pour consulter un large éventail d’intervenants de la province; celui de la Colombie-Britannique a rencontré des services de police locaux; et la Commission d’accès à l’information du Québec (CAI) a consulté des services de police et d’autres intervenants. Des commissariats d'autres provinces ont aussi reçu des observations supplémentaires.

Observations sur le document d’orientation préliminaire

En ce qui concerne notre document d’orientation préliminaire sur l’application de la loi actuelle au recours à la RF par les services de police, les intervenants ont pour la plupart trouvé le document pertinent, avantageux et opportun, mais ont aussi souligné qu’il est peut-être trop général pour être d’une véritable utilité pratique.

En particulier, les intervenants ont précisé qu’il faudrait :

• clarifier les recommandations concernant l’exactitude, la conservation et la participation de tiers aux projets de RF, et clarifier les explications des principes et concepts juridiques;
• fournir davantage de directives sur ce que doivent contenir les avis publics des services de police et sur le mode de publication de ces avis pour satisfaire aux obligations de transparence;
• ajouter l’obligation pour les services de police d’élaborer une politique officielle pour encadrer l’utilisation de la RF, compte tenu des risques élevés que pose cette technologie;
• faire en sorte que le document d’orientation contienne des cas particuliers d’utilisation de la RF, pour permettre aux services de police de mieux comprendre diverses situations;
• ajouter des exigences en matière d’approvisionnement et de mise à l’essai pour les projets et les systèmes de RF.

Nous avons également entendu de la part des intervenants consultés que le document d’orientation ne permettra pas à lui seul de remédier aux difficultés découlant du recours à la RF par les services de police. Certains ont réclamé l’imposition d’un moratoire jusqu’à ce qu’un nouveau cadre juridique et de politique puisse être mis en place.

Nous avons donné suite aux observations formulées par les intervenants en apportant un certain nombre de modifications au document d’orientation. Nous comptons aussi conseiller les services de police sur des cas particuliers d’utilisation à mesure que ceux-ci seront définis dans les différentes juridictions. En tant qu’organismes de réglementation, nous continuons de croire qu’un document d’orientation général, auquel seront ajoutés des cas particuliers d’utilisation, sera utile en attendant que la loi soit clarifiée en fonction du cadre juridique que nous recommandons.

Observations sur le cadre juridique et de politique

Lors de notre consultation, nous avons également demandé aux intervenants de se prononcer sur le cadre juridique et de politique à établir pour régir le recours à la RF par les services de police. Les observations que nous avons reçues, qui étaient très variées, fluctuaient quelque peu d’un groupe d’intervenants à l’autre. Toutefois, certains thèmes et points communs s’en sont dégagés.

Dans l’ensemble, les intervenants s’accordent sur la nécessité d’agir : un cadre juridique s’impose pour régir le recours à la RF par les services de police. La grande majorité d’entre eux estime qu’il existe actuellement des lacunes dans la loi et qu’il est nécessaire d’établir une nouvelle loi encadrant précisément le recours à la RF par les services de police.

Voici des exemples de lacunes dans nos lois actuelles sur la protection des renseignements personnels qui ont fait l’objet du plus grand consensus parmi les intervenants :

• Le manque de précisions concernant les obligations qui incombent aux services de police en vue d’assurer la transparence et la responsabilité au moment de conclure des marchés avec le secteur privé pour recourir à des services de RF;
• Le manque de clarté juridique quant à ce qui constitue des « renseignements accessibles au public », puisque les personnes peuvent toujours conserver un intérêt relativement à la protection de leurs renseignements communiqués en ligne;
• La présence d’exceptions ou d’exigences ambiguës pour les organismes chargés de l’application de la loi et de sécurité nationale en ce qui concerne les obligations en matière d’exactitude;
• La nécessité d’une plus grande latitude pour la communication de renseignements à des organismes d’enquête précis.

En ce qui concerne les principales mesures qui seraient nécessaires dans le cadre juridique pour réglementer adéquatement le recours à la RF par les services de police, les intervenants du milieu juridique, de la société civile, des universités et du milieu gouvernemental ont largement recommandé la création d’un organisme de surveillance multidisciplinaire et indépendant pour répondre aux préoccupations relatives à la responsabilité et à la transparence. Ils ont également demandé des modifications aux lois afin de :

• fixer des limites pour l’utilisation de la RF, établir des zones interdites et préciser quels cas nécessitent une autorisation préalable;
• restreindre le partage de données avec les partenaires du secteur privé et les autres organismes chargés de l’application de la loi;
• rendre obligatoires les évaluations qui comprennent des critères incitant les services de police à devoir justifier la nécessité et la proportionnalité avant d’utiliser la RF.

Parmi les autres mesures recommandées par les intervenants, mentionnons l’intégration dans la loi d’une approche fondée sur les droits pour assurer la protection contre les atteintes à la vie privée et aux droits de la personne en rapport avec la RF, une vérification imposée par la loi (pour vérifier l’exactitude et la partialité), des exigences en ce qui concerne l’établissement de rapports destinés au public et l’approvisionnement pour la RF, ainsi qu’un moyen d’application de la loi efficace pour assurer la conformité à la loi. Un groupe d’intervenants, notamment issus des secteurs de l'application de la loi, ont dit souhaiter que le cadre juridique contienne une échelle progressive de risques pour les utilisations de la RF par les services de police, puisque selon eux, ce ne sont pas toutes les utilisations de la RF qui présentent le même niveau de risque.

La plupart des répondants étaient favorables à l’adoption de protections juridiques, dans certaines situations, pour les personnes dont les empreintes faciales sont conservées dans une base de données permettant d’établir une comparaison, notamment les suivantes :

• la destruction automatique des renseignements recueillis sur des personnes reconnues non coupables d’une infraction (ou dans d’autres circonstances définies);
• l’établissement de limites claires quant aux périodes de conservation des empreintes faciales et des mesures de sécurité renforcées pour la conservation de celles-ci et pour en empêcher l’accès inapproprié;
• l’obligation de recueillir et de conserver des empreintes faciales exactes, afin d’éviter tout risque d’erreur ou d’identification erronée, et d’offrir la possibilité de rectifier les erreurs, le cas échéant;
• l’envoi d’un avis aux personnes dont les empreintes faciales ont été saisies, par exemple, les personnes condamnées;
• des restrictions pour empêcher l’inclusion de concordances faciales par la RF à partir de données obtenues illégalement.

Par ailleurs, nous avons entendu d’autres intervenants, principalement issus des secteurs de l’application de la loi, nous mettre en garde contre l’adoption de mesures de protection générales pour les renseignements biométriques contenus dans les bases de données, soulignant qu’il est important de tenir compte du contexte. Une autre mise en garde a également été faite concernant l’obligation de détruire des renseignements pouvant constituer des preuves disculpatoires. Enfin, de nombreux intervenants ont souligné l’importance de tenir un débat public approfondi sur la question afin d’orienter les prochaines lois sur le recours à la RF par les services de police, avant que ce recours ne devienne plus répandu.