Points clés
- La CAI a conclu que le projet pilote de reconnaissance faciale de Metro inc. satisfait au critère de la nécessité prévu par la Loi sur la protection des renseignements personnels dans le secteur privé (la LPRPSP).
- Bien qu’elle ait qualifié la reconnaissance faciale de plus intrusive qu’une vidéosurveillance traditionnelle et les données biométriques de « sensibles », la CAI a jugé que la banque de caractéristiques ou de mesures biométriques ne portait pas « autrement » atteinte à la vie privée au sens de l’article 45 de la Loi concernant le cadre juridique des technologies de l’information (LCCJTI).
- Le critère de la nécessité repose sur un test structuré : les objectifs doivent être importants, légitimes et réels, et la collecte doit être proportionnelle, rationnellement liée aux objectifs, minimisée et plus avantageuse que préjudiciable.
Fait notable, la CAI est parvenue à cette conclusion après un examen exigeant et souvent critique des risques pour la vie privée posés par la technologie, concluant que les avantages du projet l’emportent sur l’atteinte à la vie privée, sous réserve d’une obligation de reddition de compte semestrielle sur deux ans et de sa décision distincte du 18 février 2025 sur le consentement, qui demeure contestée.
Cette décision de 2026 constitue le deuxième volet de la même enquête. Dans sa décision du 18 février 2025, la CAI avait conclu que la reconnaissance faciale de Metro constituait une vérification de l’identité à l’aide d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques nécessitant le consentement exprès en vertu de l’article 44 de la LCCJTI, et avait interdit la mise en service de la banque sur ce fondement. Cette décision, que nous avions examinée dans notre article précédent sur l’approche restrictive du Québec en matière de données biométriques, fait toujours l’objet d’une contestation devant la Cour du Québec. La décision de 2026 la laisse expressément intacte. Le « feu vert » relatif à la nécessité est donc conditionnel : l’interdiction fondée sur le consentement demeure en vigueur tant qu’elle n’est pas infirmée.
Metro a proposé un projet pilote dans un maximum de dix épiceries et pharmacies qui convertirait les images de vidéosurveillance de récidivistes présumés en gabarits biométriques, les stockerait dans une banque de données et signalerait les correspondances en temps réel. La CAI s’est montrée ouvertement sceptique : elle a jugé les preuves d’efficacité insuffisantes, souligné les risques réels de faux positifs et de biais démographiques, et averti que le fait de se fonder sur un rapport de police plutôt que sur un verdict de culpabilité crée une « présomption de culpabilité ». Malgré cela, elle a conclu que la collecte était nécessaire et que la banque ne portait pas autrement atteinte à la vie privée, permettant au projet de se poursuivre sous conditions.
En vertu de l’article 5 de la LPRPSP du Québec, l’organisation qui collecte des renseignements personnels doit prouver que la collecte est nécessaire. La CAI procède en deux étapes. D’abord, elle examine si les objectifs sont importants, légitimes et réels; l’élément « réel » exige des problèmes concrets et documentés plutôt que des allégations générales. Pour y répondre, Metro a fourni des estimations de pertes (environ 30 millions de dollars de pertes liées aux vols externes en 2024) ainsi que des registres d’incidents et les coûts croissants des agents de sécurité. Ces informations ont été caviardes dans la décision, mais faisaient partie de l’analyse. La CAI a été satisfaite que ses objectifs de lutte contre le vol, la fraude et d’assurer la sécurité étaient véritablement fondés dans chaque établissement visé.
La CAI a appliqué un seuil d’approbation particulièrement élevé. Les organisations pourraient noter que la CAI attendait de Metro qu’elle explique clairement non seulement pourquoi l’outil était nécessaire, mais aussi qu’elle décrive en détail le fonctionnement du processus de balayage biométrique. La décision révèle que la CAI a identifié des faiblesses dans certaines explications fournies quant au fonctionnement des systèmes en pratique. La CAI a observé que certains intermédiaires ne semblaient pas au courant de l’efficacité réelle du système, ce qui rendait difficile l’obtention d’un portrait clair de la fiabilité de la technologie.
Les organisations qui envisagent des outils biométriques pourraient donc souhaiter examiner soigneusement les fournisseurs dès le départ, afin que si un outil fait l’objet d’un examen réglementaire, l’organisation soit en mesure de fournir des réponses claires et précises sur le fonctionnement de la technologie. Il serait prudent pour les organisations d’éviter de s’en remettre uniquement aux déclarations des fournisseurs et de chercher plutôt à comprendre suffisamment les mécanismes de l’outil pour pouvoir les expliquer de manière indépendante à un organisme de réglementation.
Deuxièmement, la collecte doit être proportionnelle. En appliquant le test de la Société de transport de la Ville de Laval de la Cour du Québec, la CAI évalue si la collecte est rationnellement liée à chaque objectif, si l’atteinte est minimisée et si les avantages l’emportent clairement sur le préjudice pour les personnes concernées.
Sur la minimisation, la CAI a reconnu le bilan et les engagements de Metro : elle avait déjà déployé et épuisé des mesures moins intrusives, accepté de ne pas conserver les gabarits biométriques lorsqu’aucune correspondance n’est effectuée, limité le projet pilote à dix établissements identifiés et plafonné la conservation à dix-huit mois. La CAI est demeurée prudente quant à la centralisation de toutes les données biométriques dans une seule banque de données et a recommandé de centraliser uniquement lorsqu’un lien régional le justifie.
En soupesant les avantages par rapport à l’atteinte à la vie privée, la CAI a accordé un poids limité à la dissuasion et a traité la reconnaissance faciale comme un « outil » complémentaire et non comme une « solution » autonome. Dans l’ensemble, elle a tout de même conclu que l’effet utile du projet l’emportait sur le préjudice, tout en se réservant le droit de revoir cette conclusion.
Prochaines étapes
La décision constitue un signal prudemment encourageant pour les organisations au Québec qui collectent ou traitent des données biométriques : de tels projets peuvent survivre à l’examen de la CAI, mais uniquement avec une justification rigoureuse et bien documentée. Au-delà de la biométrie, la décision offre des enseignements plus larges sur l’approche de la CAI en matière d’application des lois sur la protection de la vie privée au Québec (notamment la Loi sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25). Les employeurs et autres organisations pourraient vouloir considérer les points à retenir suivants :
Constituer un dossier de preuve. La CAI a exigé que Metro documente en interne pourquoi la reconnaissance faciale était nécessaire pour ses objectifs spécifiques et qu’elle démontre que des outils alternatifs avaient été déployés et jugés insuffisants. Cette approche est susceptible de s’étendre à d’autres activités de traitement de données à fort impact. Les employeurs pourraient vouloir conserver des dossiers contemporains expliquant pourquoi des pratiques particulières de collecte de données sont nécessaires, quelles alternatives ont été envisagées et pourquoi ces alternatives ne répondaient pas aux fins légitimes de l’organisation. Des statistiques générales ou des tendances sectorielles ne suffiront pas; la CAI s’attend à une justification spécifique à chaque établissement et à chaque objectif.
Examiner les fournisseurs et comprendre la technologie. L’enquête de la CAI a révélé que certains fournisseurs et intermédiaires ne pouvaient pas expliquer adéquatement le fonctionnement de leurs systèmes, ce qui a créé des difficultés pour démontrer leur fiabilité. Un fournisseur a déclaré qu’il « n’en avait aucune idée » quant à la façon dont le système crée des signatures faciales parce qu’il ne fait que revendre la technologie; un autre ne pouvait pas préciser les taux d’erreur parce que l’algorithme appartenait à un tiers. Les employeurs qui déploient toute technologie traitant des renseignements personnels pourraient vouloir effectuer une diligence raisonnable approfondie sur les fournisseurs dès le départ. Les employeurs pourraient vouloir éviter de s’en remettre uniquement aux déclarations des fournisseurs et s’assurer plutôt que l’organisation peut expliquer de manière indépendante les mécanismes, la précision et les limites de la technologie à un organisme de réglementation si nécessaire.
Minimiser dès la conception. La CAI a reconnu que Metro avait limité le projet pilote à dix établissements identifiés, s’était engagée à ne pas conserver les gabarits biométriques lorsqu’aucune correspondance n’est effectuée et avait plafonné la conservation à dix-huit mois. Pour tout traitement de données sensibles, les organisations pourraient vouloir limiter la portée géographique, éviter la centralisation inutile des données entre les établissements, fixer des périodes de conservation courtes et mettre en œuvre des protocoles de suppression liés à des déclencheurs spécifiques (comme l’absence de correspondance, l’absence de condamnation ou l’absence d’objectif continu). La CAI a recommandé de ne pas centraliser les données provenant d’établissements physiquement éloignés ou sans lien entre eux, notant qu’une centralisation plus large augmente le caractère invasif de toute surveillance.
Aborder proactivement la précision et les biais. La CAI est demeurée « perplexe » face à la faiblesse de la preuve d’efficacité du système et a noté que les biais algorithmiques et les faux positifs sont des risques « inhérents » aux systèmes basés sur l’intelligence artificielle, incluant la reconnaissance faciale. Pour tout outil d’IA ou de prise de décision automatisée, il serait prudent de recueillir des preuves crédibles de fiabilité, de mettre en œuvre des contrôles pour les biais démographiques et d’exiger une révision humaine par du personnel formé avant que toute action conséquente ne soit entreprise. La CAI a accepté l’engagement de Metro en matière de supervision humaine comme facteur atténuant, suggérant que les organisations déployant des outils similaires pourraient vouloir intégrer des mécanismes de contrôle humain dans leurs processus.
Prêter attention aux obligations de consentement et de transparence. Cette décision sur la nécessité ne résout pas la question distincte du consentement en vertu de l’article 44 de la LCCJTI, qui demeure en appel. La vérification de l’identité à l’aide de la biométrie pourrait encore nécessiter le consentement exprès, et les organisations pourraient vouloir suivre l’appel de près. Plus généralement, la CAI s’attend à une transparence claire : Metro a été tenue de produire un affichage détaillé expliquant le système de reconnaissance faciale aux personnes entrant dans les établissements. En vertu de la Loi 25, les employeurs et organisations doivent être prêts à fournir un avis significatif sur leurs pratiques en matière de données et à répondre aux demandes d’accès, ce qui peut inclure la divulgation de l’existence d’un profilage ou d’une prise de décision automatisée.
S’attendre à une surveillance continue. La CAI a conservé sa compétence et imposé une reddition de compte semestrielle pendant deux ans, avec le droit exprès de revoir sa conclusion si les systèmes ne démontrent pas une efficacité suffisante ou si des problèmes de biais ou de faux positifs émergent. Un engagement réglementaire continu est probable, de sorte que les organisations exploitant des systèmes de données à fort impact pourraient vouloir mettre en place des processus de reddition de compte internes capables de satisfaire à ces exigences. Cette approche de surveillance pourrait signaler une tendance plus large sous la Loi 25, où la CAI maintient une surveillance active des activités de traitement de données sensibles plutôt que d’accorder simplement des approbations ponctuelles.
Considérer la nature quasi constitutionnelle de la protection de la vie privée. Les décisions de la CAI reflètent la position du Québec selon laquelle la protection de la vie privée a un statut quasi constitutionnel, justifiant une interprétation large et libérale des dispositions protectrices.
Le bureau de Montréal, le groupe de pratique Cybersécurité et protection de la vie privée et le groupe de pratique Technologie d’Ogletree Deakins continueront de surveiller les développements et de fournir des mises à jour sur les blogues Canada, Transfrontalier, Cybersécurité et protection de la vie privée, Commerce de détail et Technologie.
Suivez-nous et abonnez-vous
LinkedIn | Instagram | Webinaires | Balados
