Rapport spécial – questions et réponses

Questions

Enquête concernant la Gendarmerie royale du Canada (GRC)

Que répondez-vous à ceux qui affirment qu’il vaut la peine de renoncer à une partie de la vie privée pour attraper les abuseurs d’enfants/autres criminels/identifier les victimes?

La surveillance de masse n’est pas un abandon d’une « partie » de la vie privée. C’est une question de proportionnalité.

Tout dépend du type de société dans laquelle nous voulons vivre.

L’installation de caméras de surveillance à chaque coin de rue et le prélèvement d’un échantillon d’ADN de chaque personne à la naissance nous aideraient à résoudre davantage de crimes. Cependant, nous avons conclu, en tant que société, que ces actions auraient un impact disproportionné sur la vie privée ­ même si cela signifie que certains criminels ne seront pas arrêtés.

D’un autre côté, la plupart d’entre nous considèrent qu’il est acceptable que la police intercepte des voitures pour repérer les conducteurs en état d’ébriété lors de contrôles routiers ponctuels. Nous considérons que l’intrusion dans la vie privée est proportionnelle au bénéfice obtenu.

Nous avons déjà établi des mécanismes pour fixer des limites à l’utilisation par la police des empreintes digitales et de l’ADN.

Par exemple, la Loi sur l’identification des criminels autorise la police à prendre les empreintes digitales ou la photographie d’un individu à des fins d’identification. Mais la Loi n’autorise ces actions que dans des conditions précises, par exemple lorsqu’un individu est en détention légale et qu’il est accusé ou reconnu coupable d’un acte criminel.

La Loi sur l’identification par les empreintes génétiques autorise la police à prélever des échantillons d’ADN pour les utiliser dans une banque nationale de données génétiques, dans le but d’identifier les victimes et les auteurs de crimes graves et violents. La banque de données génétiques ne peut être utilisée que dans des conditions strictes et pour des crimes précis.

Notre projet de document d’orientation fourni des recommandations sur la façon dont l’utilisation de la technologie de reconnaissance faciale peut être mise en œuvre d’une manière qui est conforme aux lois sur la protection de la vie privée et qui minimise les risques d’atteinte à la vie privée.

Ces questions sont extrêmement complexes, c’est pourquoi nous consulterons la police, la société civile et d’autres parties prenantes sur le contenu du document d’orientation avant sa finalisation.

Est-ce que la GRC a pu identifier des victimes d’exploitation sexuelle ou des auteurs d’exploitation sexuelle envers des enfants ou d’autres crimes grâce à cet outil?

La GRC nous a dit et a affirmé publiquement qu’elle avait réussi à identifier deux enfants victimes au moyen de Clearview.

Nous n’affirmons pas que la technologie de reconnaissance faciale ne peut jamais être utilisée légalement aux fins de l’application de la loi.

Voici ce qui était en cause lors de l’enquête :

• premièrement, la collecte de renseignements personnels auprès d’un agent de tierce partie qui avait lui-même recueilli ces renseignements en contrevenant aux lois;
• deuxièmement, l’absence de systèmes à la GRC pour évaluer, suivre et contrôler son utilisation des nouvelles sources et technologies afin d’assurer le respect des lois avant de les utiliser.

Combien de recherches la GRC a-t-elle effectuées au moyen de Clearview?

Selon les renseignements que nous avons pu obtenir, la GRC a effectué environ 500 recherches au moyen de Clearview par le biais de services achetés et de comptes d’essai.

Croyez-vous que la plupart de ces recherches effectuées par la GRC concernaient des enquêtes sur des crimes sexuels envers des enfants?

La GRC n’a pas établi que la plupart des recherches qu’elle a effectuées concernaient des enquêtes sur l’exploitation sexuelle d’enfants.

En fait, selon les dossiers de Clearview, elle a fourni une explication raisonnable pour environ 15 % des recherches.

Environ 6 % du total des recherches effectuées semblait concerner l’exploitation d’enfants.

Nous avons été informés que 19 recherches ont été menées par le Centre national contre l’exploitation des enfants pour identifier des victimes, 14 l’ont été pour tenter de trouver un suspect identifié qui échappait à la police et 45 l’ont été pour faire des essais en utilisant des images de membres de la GRC, d’autres personnes consentantes ou d’objets inanimés.

Nous ne pouvons tout simplement pas confirmer le but de la plupart des recherches.

Dans quelles circonstances la police devrait-elle être autorisée à utiliser la technologie de RF?

Actuellement, si la police s’appuie sur ses pouvoirs de la common law pour utiliser la technologie de reconnaissance faciale, il convient de déterminer si elle est raisonnablement nécessaire et s’il existe une proportionnalité entre l’impact sur la vie privée et le bien public.

Mais notre régime actuel de protection de la vie privée est inadéquat. La police dispose d’un grand pouvoir discrétionnaire et cette enquête nous a montré comment cela pouvait conduire à des choses inappropriées.

L’utilisation de la technologie de reconnaissance faciale est réglementée par une mosaïque de lois et de décisions judiciaires qui, pour la plupart, ne traitent pas spécifiquement des risques posés par cette technologie. Cela crée de l’incertitude quant aux utilisations de la reconnaissance faciale qui peuvent être acceptables, et dans quelles circonstances.

Au minimum, nous pouvons y remédier en veillant à ce que les principes de nécessité et de proportionnalité soient clairement inscrits dans notre droit. Avec cette approche, les utilisations appropriées de la TRF par la police varieraient en fonction de l'objectif de son utilisation et des risques d'atteinte à la vie privée.

Toute utilisation de la technologie de reconnaissance faciale par la police doit être nécessaire pour répondre à un besoin précis, proportionnée aux risques d'atteinte à la vie privée, autorisée par la loi et conforme aux autres principes largement acceptés de protection de la vie privée.

Cela dit, d'autres pays ont proposé des règles plus spécifiques, comme l'interdiction de l'utilisation de la reconnaissance faciale, sauf pour les crimes graves, ou l'interdiction pure et simple de son utilisation dans les espaces publics.

Cela soulève la question de savoir si les risques de la technologie de reconnaissance faciale sont tels que, en raison de la nature inaltérable de l'information concernée, des règles spécifiques ou de nouvelles lois pourraient être justifiées. C'est déjà le cas pour d'autres formes de données biométriques recueillies par les forces de l'ordre, comme les empreintes digitales et les profils d'ADN.

C'est l'une des questions sur lesquelles nous allons mener une consultation.

Devrait-on exiger un mandat pour utiliser la TRF dans le cadre d'une enquête?

Les mandats amélioreraient certainement la protection de la vie privée puisqu'ils nécessitent l'approbation d'une autorité judiciaire indépendante.

Devraient-ils être exigés? C'est là une des questions qui seront abordées dans la consultation. Il est concevable que la police puisse avoir recours à la reconnaissance faciale sans mandat, par exemple en cas d'urgence.

Son utilisation devrait-elle être limitée aux crimes les plus graves ou les plus violents?

C’est la direction que prend l’Europe. Une autre approche possible est celle d’un cadre réglementaire fondé sur des principes juridiques et de protection de la vie privée, notamment la nécessité, la proportionnalité et le respect des droits fondamentaux.

Le processus d’établissement de limites appropriées à l’utilisation de la technologie RF est en cours. Nous sommes impatients de poursuivre le dialogue avec les services de police, les législateurs et d’autres parties prenantes sur cette question lors de notre consultation sur notre projet de document d’orientation.

Dans notre document d’orientation préliminaire, nous soulignons le critère de proportionnalité et la nécessité d’évaluer si l’atteinte à la vie privée engendrée par le programme est proportionnelle à l’avantage obtenu.

Il s’agirait d’abord de déterminer les répercussions qu’aura l’utilisation de la reconnaissance faciale sur la protection de la vie privée des personnes. Ensuite, les services de police devraient établir si ces atteintes à la vie privée sont justifiées par les avantages liés au recours à la reconnaissance faciale.

Un aspect inhérent à cette étape tient à considérer le fait que tous les objectifs n’ont pas le même poids. À titre d’exemple, empêcher un complot terroriste imminent justifierait une intrusion dans la vie privée plus importante que celle qui serait associée à la capture d’une personne ayant commis un acte de vandalisme mineur.

Pour examiner cet aspect, les organismes d’application de la loi doivent être conscients de la possibilité que, dans une société libre et démocratique, le système de reconnaissance faciale envisagé qui a une incidence importante sur la vie privée (comme dans le cas d’une surveillance de masse) pourrait ne jamais être proportionnel aux avantages obtenus.

Les services de police devraient-ils être autorisés à utiliser la technologie de reconnaissance faciale dans des affaires de terrorisme?

La technologie de reconnaissance faciale porte atteinte à la vie privée et devrait uniquement être utilisée par les services de police lorsqu’il y a un lien proportionnel entre les facteurs relatifs à la vie privée et le bien public.

Bien que le terrorisme soit un crime extrêmement grave, nous devons veiller à ne pas utiliser ce terme pour justifier des atteintes disproportionnées à la vie privée.

La définition de grandes catégories de crimes pour lesquels l’utilisation de la technologie de reconnaissance faciale serait acceptable pose de nombreux problèmes. Cela ne permettrait pas de reconnaître :

1. le large éventail de cas précis qui pourraient être concernés (par exemple, une enquête sur une affaire non résolue comparativement à une enquête sur une menace imminente crédible); et
2. le large éventail des différentes façons dont la technologie de reconnaissance faciale pourrait être utilisée, dont certaines sont plus intrusives que d’autres (par exemple, la technologie de reconnaissance faciale pour s’assurer que le visage d’un visiteur qui arrive correspond à sa photo de passeport comparativement à la technologie de reconnaissance faciale pour saisir tous les visages lors d’une manifestation légale).

C’est en tenant compte de telles différences que les tribunaux ont établi des critères à l’intention des services de police pour déterminer le caractère approprié d’une recherche en particulier.

Les tribunaux ont défini un cadre pour examiner la question de ce que peuvent faire les services de police dans les limites de leurs pouvoirs accessoires en common law.

Le cadre met l’accent sur la nécessité raisonnable et le caractère proportionnel. Il porte sur une affaire précise et tient compte, d’une part de l’importance du devoir de la police et de l’utilité publique, et d’autre part, de l’atteinte aux droits, comme la protection des renseignements personnels.

Si la base de données de Clearview avait été compilée légalement, la GRC aurait-elle fait quelque chose de mal? Et si la police avait rassemblé des images et créé la base de données elle-même? Cela serait-il légal?

Dans le cadre de notre enquête, nous n’avons pas cherché à savoir si l’utilisation d’un service comme Clearview, s’il avait été compilé légalement, aurait été conforme à la Loi sur la protection des renseignements personnels.

À notre avis, pour que la collecte effectuée par une institution soit admissible en vertu de la Loi sur la protection des renseignements personnels, elle doit être directement liée à une activité ou à un programme opérationnel qui relève de l’autorité légale de l’institution et qui respecte la règle de droit générale. Pour la GRC, cela comprend le respect de la common law.

En vertu de la common law, lorsqu’une fouille porte atteinte aux attentes raisonnables d’une personne en matière de vie privée, il faut tenir compte de l’importance de l’exécution de l’obligation pour le bien public et de l’ampleur de l’atteinte à la liberté individuelle.

L’utilisation de la technologie de reconnaissance faciale, avec son pouvoir de rompre l’anonymat dans les espaces publics, peut constituer une entrave significative à la liberté des personnes.

De plus, l’utilisation de la surveillance de masse dans le but de fournir un service à la police constitue une intrusion majeure et substantielle de l’État dans la vie des Canadiens. La nécessité de recourir à de telles pratiques, et l’importance du bien public particulier, doivent donc être examinées attentivement au cas par cas, par exemple au moyen d’une demande de mandat.

Indépendamment de la question de savoir si la Loi sur la protection des renseignements personnels a été ou non violée en fin de compte, la GRC aurait quand même dû procéder à une évaluation pour la nouvelle collecte de renseignements personnels.

Quelles sont les autres nouvelles méthodes potentielles de collecte qui vous préoccupent? Est-ce que la GRC les utilise?

L’une des plus importantes préoccupations soulevées lors de notre enquête est le fait que la GRC a mentionné que ses membres sont autorisés à user de leur pouvoir discrétionnaire pour essayer de nouvelles techniques de collecte de renseignements personnels avec les autorisations appropriées à l’échelle locale. Par conséquent, en toute honnêteté, nous ne le savons pas.

Nous estimons que la GRC doit s’assurer que ses techniques d’enquête évoluent selon le contexte dans lequel elle travaille, mais cela ne devrait pas se produire sans assurer le respect des droits à la protection des renseignements personnels avant la mise en œuvre de nouvelles approches.

La GRC en a convenu et en réponse à nos recommandations, elle mettra en place des mesures pour suivre activement sa propre utilisation des nouvelles méthodes de collecte.

Je peux vous dire que nous menons actuellement une enquête sur le projet Wide Awake de la GRC, qui comprend la surveillance des réseaux sociaux et d’autres techniques.

Nous ne pouvons pas aborder les détails des enquêtes en cours.

En avril dernier, des articles de presse laissaient entendre que la GRC utilisait le logiciel de technologie de reconnaissance faciale d’une autre entreprise, IntelCentre. Est-ce que vous avez examiné cela? Est-ce que cela vous préoccupe? Avez-vous communiqué avec la GRC à ce sujet? Allez-vous mener une enquête?

Nous sommes au courant des articles de presse concernant l’utilisation antérieure des services d’IntelCentre par la GRC et nous avons communiqué avec cette dernière à cet égard. Je ne peux pas aborder les détails concernant IntelCentre pour le moment, mais nous croyons que notre enquête sur l’utilisation de la technologie de reconnaissance faciale de Clearview par la GRC est pertinente, applicable et instructive en ce qui concerne la conformité de la GRC avec toute autre utilisation potentielle de la technologie de reconnaissance faciale.

Si l’on insiste sur la question de savoir si cela fait partie de l’enquête du projet Wide Awake…

Je ne peux pas donner de détails sur une enquête en cours.

Est-ce que des éléments de preuve donnent à penser que la GRC a utilisé la technologie de reconnaissance faciale pour surveiller les activités de manifestants?

Dans le cadre de notre enquête sur l’utilisation de Clearview par la GRC, nous n’avons pas découvert d’éléments de preuve selon lesquels la GRC a utilisé Clearview AI pour surveiller des manifestants.

La GRC n’a pas fourni d’explication raisonnable pour la grande majorité des recherches.

Nous savons que de telles utilisations se produisent à l’extérieur du Canada et nous sommes préoccupés par la possibilité qu’elles puissent survenir ici. Cela témoigne de l’urgence d’agir maintenant pour établir des limites appropriées quant à l’utilisation de la technologie de reconnaissance faciale, plutôt que d’agir rétroactivement lorsque les dommages auront déjà eu lieu.

Si l’on insiste sur la question de savoir si la surveillance de manifestants a été soulevée dans le cadre de l’enquête sur le projet Wide Awake…

Cette enquête se poursuit. Nous comptons partager les détails à ce sujet au moment approprié.

Est-ce que la GRC a effectué une évaluation des facteurs relatifs à la vie privée (EFVP) pour l’utilisation de la technologie de reconnaissance faciale?

La GRC n’a pas présenté d’EFVP pour tout programme reposant sur la technologie de reconnaissance faciale; elle a accepté de le faire. (A cessé d’offrir des services à la GRC en juillet 2020.)

La GRC a eu des discussions très préliminaires avec le Commissariat à la protection de la vie privée du Canada concernant certains projets d’utilisation de la technologie de reconnaissance faciale. Nous devrions recevoir une EFVP avant tout programme de la sorte, comme l’exige la politique du gouvernement fédéral.

Conformément à la Directive sur l’évaluation des facteurs relatifs à la vie privée du Secrétariat du Conseil du Trésor, la GRC doit effectuer une EFVP sur l’utilisation de la technologie de reconnaissance faciale afin de recueillir des renseignements personnels, car les EFVP sont requises pour les « modifications importantes » apportées aux activités portant sur des renseignements personnels. La définition de « modification importante » englobe expressément « tout changement ou amendement aux pratiques relatives à la vie privée liés [sic] à des activités qui font usages [sic] de moyens automatisés ou technologiques pour identifier, créer, analyser, comparer, extraire, recueillir, apparier ou définir des renseignements personnels ».

Il est essentiel de s’assurer que des EFVP soient effectuées avant le déploiement d’une nouvelle technologie. En réponse à nos recommandations, la GRC s’est engagée à mettre en place de nouveaux cours de formation, systèmes et processus à l’échelle de l’organisation pour identifier, évaluer, suivre et contrôler les collectes novatrices de renseignements personnels (y compris l’utilisation de la technologie de reconnaissance faciale). Cela comprend l’engagement d’affecter des ressources à la réalisation d’EFVP en temps opportun.

Je note aussi que le Service de police de Toronto a convenu d’un moratoire sur l’utilisation de la technologie de reconnaissance faciale dans les caméras d’intervention en attendant la publication du document d’orientation.

Document d’orientation relatif à la technologie de reconnaissance faciale à l’intention des services de police

Certains appellent à une interdiction de l’utilisation de la technologie RF. Seriez-vous en faveur d’une telle interdiction? Pourquoi pas?

Utilisée de manière responsable et dans les bonnes circonstances, la reconnaissance faciale peut présenter des avantages pour la sécurité et la sûreté publique. Je ne crois pas qu’elle devrait être complètement interdite, bien que l’idée de zones interdites explicites pour certaines pratiques spécifiques est à envisager.

Par exemple, le projet de réglementation de l’intelligence artificielle de la Commission européenne vise à interdire un certain nombre d’utilisations de cette technologie. Si elle est adoptée, la réglementation interdira l’intelligence artificielle qui manipule le comportement d’un individu d’une manière susceptible de lui causer un préjudice physique ou psychologique. Elle interdirait également l’intelligence artificielle utilisée pour l’identification biométrique à distance en temps réel dans les espaces publics par les organismes d’application de la loi, mais avec des exceptions pour les cas de terrorisme, de grande criminalité et de recherches ciblées de victimes de crimes et d’enfants disparus.

Cela dit, compte tenu des risques liés à l’utilisation de l’intelligence artificielle, nous devons veiller à ce que nos lois soient efficaces pour protéger les droits fondamentaux des personnes lorsque cette technologie est utilisée.

En fin de compte, la décision revient au Parlement d’envisager un moratoire jusqu’à ce que des modifications législatives spécifiques sur cette question soient recommandées et adoptées.

Quelles sont les réformes législatives requises?

Des mesures de protection plus strictes sont requises dans nos lois sur la protection des renseignements personnels afin d’assurer une réglementation appropriée de la technologie de reconnaissance faciale dans les secteurs privé et public.

De telles mesures de protection devraient notamment inclure une approche de protection de la vie privée fondée sur les droits, des mesures de responsabilité véritables et des pouvoirs d’application de la loi accrus.

Cependant, les risques associés à la technologie de reconnaissance faciale sont tels qu’en raison du caractère inaltérable des renseignements, des règles précises peuvent être justifiées. C’est déjà le cas pour d’autres données biométriques recueillies par la police, comme les empreintes digitales et les profils d’ADN.

Comme nous le mentionnons dans le rapport spécial, contrairement aux autres formes de données biométriques recueillies par la police, la reconnaissance faciale n’est pas assujettie à un ensemble de règles claires et exhaustives. Son utilisation est réglementée par un ensemble disparate de lois et de cas faisant jurisprudence qui, pour l’essentiel, ne tiennent pas spécifiquement compte des risques de cette technologie. Cela entraîne de l’incertitude quant aux utilisations potentiellement acceptables de la reconnaissance faciale et aux circonstances.

Cela étant dit, il peut aussi être possible de réglementer la technologie de reconnaissance faciale de façon appropriée en réformant les lois sur la protection des renseignements personnels d’application générale dans les secteurs privé et public.

Nous espérons collaborer avec la police, les législateurs et d’autres intervenants sur des questions concernant l’utilisation et la réglementation de cette technologie.

Les services de police ont-ils déjà été consultés au sujet du document d’orientation?

Nous prévoyons communiquer avec des représentants de la GRC et de l’Association canadienne des chefs de police pour solliciter leurs observations sur le document préliminaire. Nous prévoyons rencontrer des représentants de ces groupes ainsi que d’autres intervenants, notamment de la société civile, au cours des prochains mois pour obtenir leurs observations.

Quelles seront les étapes de la consultation?

Les organismes et les particuliers qui souhaitent formuler des observations sur le document d’orientation préliminaire sont invités à le faire au moyen du processus de présentation indiqué dans notre appel aux observations.

La période de consultation se déroulera pendant environ quatre mois, du 10 juin au 15 octobre.

En plus de solliciter des présentations écrites, nous prévoyons rencontrer des représentants de la GRC et de l’Association canadienne des chefs de police ainsi que des intervenants de la société civile au cours des prochains mois pour obtenir leurs observations.

Allez-vous publier un document d’orientation sur l’utilisation de la technologie de reconnaissance faciale par le secteur privé?

À l’heure actuelle, nous ne prévoyons pas de publier un document d’orientation portant précisément sur les utilisations de la technologie de reconnaissance faciale par le secteur privé. Toutefois, notre bureau met la dernière main à un document d’orientation sur l’utilisation des données biométriques par les secteurs public et privé, ce qui comprendra la technologie de reconnaissance faciale.

Cela étant dit, nous avons récemment publié des rapports de conclusions dans deux enquêtes portant sur l’utilisation de la technologie de reconnaissance faciale par le secteur privé : Clearview AI et Cadillac Fairview. Ces deux rapports comprennent des recommandations qui pourraient intéresser d’autres entreprises qui songent à utiliser la technologie de reconnaissance faciale.

Allez-vous publier un document d’orientation à l’intention d’autres organisations de sécurité publique, comme l’Agence des services frontaliers du Canada?

À l’heure actuelle, nous ne prévoyons pas de publier un document d’orientation portant précisément sur l’utilisation de la technologie de reconnaissance faciale par d’autres organisations de sécurité publique. Toutefois, notre bureau met la dernière main à un document d’orientation sur l’utilisation des données biométriques par les secteurs public et privé, ce qui comprendra la technologie de reconnaissance faciale.

Bien que notre document d’orientation soit à l’intention des services de police et non à celle d’autres organisations qui mènent des activités d’application de la loi (comme le contrôle des frontières), ces organisations doivent quand même s’assurer qu’elles se conforment à toutes les lois applicables, y compris les lois sur la protection des renseignements personnels et les droits de la personne. Des parties de notre document d’orientation peuvent s’avérer utiles à cette fin.