Un tribunal albertain élargit la portée de l’exception relative aux renseignements accessibles au public

Dans l’affaire Clearview AI Inc v. Alberta (Information and Privacy Commissioner) (l’« affaire Clearview ») (en anglais), la Cour du Banc du Roi de l’Alberta (la « CBRA ») a élargi la portée de l’exception relative aux renseignements accessibles au public (publicly available) à l’exigence de consentement prévue dans la loi albertaine intitulée Personal Information Protection Act (la « PIPA »), pour la collecte, l’utilisation ou la communication des renseignements personnels d’un particulier, afin d’inclure dans les renseignements accessibles au public les renseignements publiés par un particulier sur Internet, y compris sur des sites de médias sociaux, sans paramétrage de confidentialité. Cependant, l’élargissement de la portée de cette exception n’autorise pas les organisations à recueillir, à utiliser ou à communiquer de façon arbitraire des renseignements personnels figurant sur des sites de médias sociaux. La collecte, l’utilisation et la communication de renseignements personnels doivent continuer d’être faites à des fins raisonnables, et les renseignements personnels doivent être publiés par le particulier auquel ils se rapportent.

Exception relative aux renseignements accessibles au public

Sous réserve de certaines exceptions limitées, la PIPA interdit à toute organisation de recueillir, d’utiliser ou de communiquer les renseignements personnels d’un particulier sans son consentement. La collecte, l’utilisation ou la communication de renseignements accessibles au public constituent l’une de ces exceptions, comme le prévoit le règlement pris en application de la PIPA. En vertu de ce règlement, les renseignements personnels ne sont pas considérés comme accessibles au public, sauf dans des circonstances précises, notamment lorsque [TRADUCTION] « les renseignements personnels sont contenus dans une publication, y compris, sans s’y limiter, un magazine, un livre ou un journal, qu’il soit imprimé ou électronique, mais seulement :

i) si la publication est accessible au public;

ii) s’il est raisonnable de présumer que le particulier auquel se rapportent les renseignements a fourni ces derniers. »

Avant l’affaire Clearview, cette exception était interprétée de façon restrictive en fonction du principe selon lequel la PIPA et d’autres lois sur la protection de la vie privée sont des lois en matière de droits de la personne et que la protection offerte à ces droits par de telles lois devait faire l’objet d’une interprétation large, sous réserve de certaines exceptions. Une interprétation restrictive de cette exception ne permettrait pas d’inclure les renseignements personnels publiés par un particulier sur des sites de médias sociaux.

Jugement rendu dans l’affaire Clearview

Dans l’affaire Clearview, la CBRA a statué que l’interprétation restrictive de l’exception relative aux renseignements accessibles au public et l’obligation qui en résulte d’obtenir le consentement d’un particulier constituaient dans l’ensemble une atteinte injustifiée au droit à la liberté d’expression d’une organisation. Selon la CBRA, l’extraction de données au moyen d’un robot qui recueille des images et des renseignements sur Internet et sur des sites de médias sociaux en vue de créer une base de données de reconnaissance faciale pour les clients constitue une activité expressive (expressive activity) protégée par la Charte canadienne des droits et libertés.

La CBRA a conclu que cette activité expressive était restreinte, car l’exigence de consentement conjuguée à l’interprétation étroite de l’exception relative aux renseignements accessibles au public avait pour effet d’interdire la collecte, l’utilisation et la communication de renseignements en ligne, l’obtention du consentement étant pratiquement impossible dans les circonstances. Enfin, la CBRA a déterminé que cette restriction était injustifiée au motif que la portée de l’exception est trop large, car elle limite la définition de « publication » aux magazines, aux livres et aux journaux et restreint les activités expressives utiles, telles que l’exploitation de moteurs de recherche. La CBRA a statué que rien ne justifiait qu’une telle activité soit restreinte et que les effets préjudiciables d’une telle interprétation l’emportaient sur ses effets bénéfiques. 

La CBRA a remédié à une telle atteinte au droit à la liberté d’expression en supprimant « including, but not limited to, a magazine, book or newspaper » (y compris, sans s’y limiter, un magazine, un livre ou un journal) de l’exception relative aux renseignements accessibles au public. La CBRA a ajouté que cette modification aurait pour effet de donner au mot « publication » son acception habituelle, à savoir [TRADUCTION] « quelque chose qui a été rendu public intentionnellement ». et que [TRADUCTION] « les renseignements personnels et les images publiés sur Internet sans paramétrage de confidentialité constituent des publications et leur utilisation n’est pas assujettie à une exigence de consentement. »

Principaux points à retenir pour les entreprises

Voici quelques points clés que devraient retenir les entreprises à la lumière de cette décision : 

• En Alberta, les renseignements personnels qui sont publiés sur Internet par un particulier (y compris sur les sites de médias sociaux) sans paramétrage de confidentialité peuvent être recueillis, utilisés et communiqués par une organisation à des fins considérées comme raisonnables dans les circonstances sans que l’organisation ne soit tenue d’obtenir le consentement du particulier. Fait important à noter, la décision n’aborde pas la question de savoir si l’entraînement des modèles d’intelligence artificielle (« IA ») est considéré comme une fin raisonnable. De plus, l’exigence selon laquelle l’organisation doit pouvoir [TRADUCTION] « raisonnablement présumer que le particulier auquel se rapportent les renseignements a fourni ces derniers » entrave probablement la capacité d’une organisation de se prévaloir de cette exception afin d’extraire des données de sites de médias sociaux pour entraîner des modèles d’IA.
• Les organisations doivent faire preuve de prudence et éviter d’interpréter largement de la même manière les dispositions prévoyant une exception relative aux renseignements accessibles au public similaire qui s’appliquent dans d’autres territoires canadiens, puisque le libellé de telles dispositions varie d’une loi à l’autre. De plus, certains commissaires à la protection de la vie privée au Canada ont publié des lignes directrices selon lesquelles les renseignements personnels publiés sur les sites de médias sociaux ne sont pas considérés comme accessibles au public.

La PIPA doit faire l’objet d’un examen tous les six ans, le rapport de son plus récent examen (disponible uniquement en anglais) ayant été publié en février 2025 (le « rapport »). Bien que ce rapport ait été publié avant la décision rendue dans l’affaire Clearview, il recommande d’apporter plusieurs modifications à la PIPA, y compris d’harmoniser cette dernière avec la législation en matière de protection de la vie privée des autres provinces et territoires du Canada, ainsi que d’autres pays. Le rapport recommande également de s’assurer que la PIPA comporte des exigences comparables ou supérieures pour les organisations afin de protéger les renseignements personnels. À l’heure actuelle, rien n’indique que la décision rendue dans l’affaire Clearview sera portée en appel, mais comme il en résulte un affaiblissement de la protection des renseignements personnels par rapport à ceux d’autres territoires canadiens, il se peut que l’exception relative aux renseignements accessibles au public soit révisée de nouveau dans le cadre des modifications prévues à la PIPA et au Règlement.

Pour en savoir davantage, communiquez avec l’un des auteurs du présent bulletin ou un autre membre de notre groupe Protection de la vie privée et des données.