Application des lois sur la protection des renseignements personnels aux sociétés étrangères Application des lois sur la protection des renseignements personnels aux sociétés étrangères

Table des matières

• Clearview AI Inc. v. British Columbia (Information and Privacy Commissioner), 2026 BCCA 67

---

Clearview AI Inc. v. British Columbia (Information and Privacy Commissioner), 2026 BCCA 67

Lire les détails de l’affaire (en anglais seulement)

Faits

Il s’agissait d’un appel d’une demande de contrôle judiciaire concernant l’application de la loi sur la protection des renseignements personnels de la Colombie-Britannique intitulée Personal Information Protection Act, S.B.C. 2003, c. 63 (la LPRP), à Clearview AI Inc. (Clearview), une société technologique fermée établie aux États-Unis qui commercialise des logiciels de reconnaissance faciale, principalement auprès des forces de l’ordre et d’autres organismes gouvernementaux. Le moteur de recherche de Clearview détecte et analyse les visages humains et les métadonnées associées provenant de sites Web accessibles au public, puis analyse chaque visage afin de générer un identifiant biométrique numérique. Toutes les images faciales, les métadonnées associées et les identifiants biométriques sont stockés indéfiniment sur les serveurs de Clearview.

Au début de 2020, les commissaires à l’information et à la protection de la vie privée de la Colombie-Britannique, de l’Alberta, du Québec et du Canada ont ouvert une enquête conjointe sur les activités de Clearview. Le rapport conjoint qui en a résulté (le rapport conjoint), publié en février 2021, a conclu que Clearview avait enfreint les lois sur la protection des renseignements personnels dans les quatre territoires. En décembre 2021, le commissaire à l’information et à la protection de la vie privée de la Colombie-Britannique (le Commissaire) a rendu une décision concluant que Clearview avait enfreint les articles 6 à 8, 11, 14 et 17 de la LPRP. Le Commissaire a ordonné à Clearview de cesser d’offrir ses services de reconnaissance faciale à ses clients en Colombie-Britannique; de faire tout son possible pour mettre fin à la collecte, à l’utilisation et à la communication d’images et de données biométriques faciales recueillies auprès de personnes en Colombie-Britannique sans leur consentement; et de faire tout son possible pour supprimer les données en sa possession (l’ordonnance).

Clearview a introduit un recours en contrôle judiciaire, qui a été rejeté par le juge en chambre en décembre 2024. Clearview a interjeté appel en invoquant trois motifs : la LPRP ne s’applique pas à elle en vertu du droit constitutionnel; le Commissaire a interprété et appliqué la LPRP de manière déraisonnable en concluant que l’exception relative aux renseignements « accessibles au public » ne s’appliquait pas et que Clearview n’avait pas de but raisonnable pour ses activités; et l’ordonnance était inutile, inapplicable ou d’une portée excessive. Des demandes de contrôle judiciaire similaires ont été introduites en Alberta et au Québec.

Décision

La Cour d’appel a rejeté l’appel de Clearview, estimant que la LPRP s’appliquait constitutionnellement à Clearview. Parmi les principales conclusions, on peut mentionner les suivantes :

• La LPRP s’applique constitutionnellement à Clearview, car il existe un lien réel et substantiel entre ses activités commerciales en ligne et la Colombie-Britannique. Même après que Clearview eut cessé ses activités de commercialisation en Colombie-Britannique, son robot de collecte d’images à l’échelle mondiale a continué à collecter des données faciales de personnes résidant en Colombie-Britannique, ce qui a maintenu un lien suffisant avec cette province aux fins de l’application de la LPRP. Après un examen détaillé de la jurisprudence en la matière, la Cour a conclu que les progrès technologiques ont conduit à une prolifération d’entreprises dont le modèle d’affaires repose sur l’acquisition de renseignements provenant de sites Internet mondiaux, de sorte que l’emplacement physique revêt une importance nettement moindre dans l’analyse du lien réel et substantiel, qu’il s’agisse de fournisseurs de contenu, de serveurs ou d’utilisateurs finaux. En l’espèce, le modèle d’affaires de Clearview repose sur l’acquisition de données faciales à l’échelle mondiale.
• La Cour a confirmé la conclusion du Commissaire selon laquelle les images obtenues à partir de sites de réseaux sociaux ne constituent pas des « publications » au sens de l’exception relative aux renseignements « accessibles au public » (contrairement aux publications traditionnelles, telles que les livres ou les journaux).
• La collecte de données faciales par Clearview n’avait pas pour objet ce qu’une personne raisonnable considérerait comme approprié dans les circonstances. Le rapport conjoint a conclu que les renseignements recueillis par Clearview étaient « extrêmement sensibles », et la Cour a reconnu que l’objectif de Clearview était correctement défini comme la fourniture d’un service commercial aux forces de l’ordre et à d’autres entités, mais que cet objectif ne relevait pas de l’application de la loi et ne correspondait pas à l’intention de ceux qui avaient publié leurs images.
• L’ordonnance était raisonnable et exécutoire. L’interdiction d’offrir des services en Colombie-Britannique était justifiée malgré le retrait annoncé par Clearview du marché canadien. Le fait qu’une entité cesse ses activités dans un territoire ne prive pas l’autorité de réglementation de son pouvoir de rendre des ordonnances, y compris des ordonnances prospectives, sur la base du comportement de l’entité pendant qu’elle faisait affaire dans ce territoire. La Cour a également confirmé les dispositions exigeant que Clearview fasse « tout son possible » pour cesser de collecter et supprimer les données faciales, rejetant les arguments suivant lesquels l’exigence était imprécise. Elle a noté que les ordonnances exigeant de faire « tout son possible » sont couramment utilisées pour remédier au non-respect des lois sur la protection des renseignements personnels et offrent la souplesse nécessaire à leur application.

Principaux points à retenir

Cette décision conclut que les lois provinciales sur la protection des renseignements personnels peuvent s’appliquer aux sociétés étrangères qui acquièrent des renseignements personnels de particuliers dans la province par le biais d’activités sur Internet, même lorsque la société a cessé de commercialiser ses services dans le territoire, à condition qu’il existe un lien réel et substantiel entre les activités de la société et la province. Cela encouragera probablement les autorités de réglementation à revendiquer leur compétence sur les entreprises en ligne n’ayant aucune présence physique au Canada. La décision restreint sans doute l’interprétation de l’exception relative aux renseignements « accessibles au public » prévue par la LPRP, limitant ainsi le type de contenu pouvant bénéficier de cette exception.