La Commission d’accès à l’information du Québec maintient la sévérité des exigences applicables au traitement des renseignements biométriques : leçons pour les entreprises

À la fin de l’année dernière, la section de surveillance de la Commission d’accès à l’information du Québec (CAI) a rendu sa première décision depuis l’entrée en vigueur des changements considérables apportés par la Loi 25. Elle a rendu sa décision (datée de septembre 2024) après avoir fait enquête sur les pratiques d’une imprimerie qui lui avait déclaré son utilisation d’un système biométrique, comme l’exigent les lois du Québec. La CAI a ordonné à l’entreprise de cesser d’utiliser la reconnaissance faciale pour contrôler l’accès des employés à ses locaux et a conclu que, l’utilisation de renseignements biométriques aux fins de la reconnaissance faciale n’était pas suffisamment nécessaire et proportionnelle pour justifier l’atteinte grave atteinte à la vie privée des employés que représente cette pratique selon la CAI.

Tout en étant cohérente avec les ordonnances et lignes directrices antérieures de la CAI, la décision souligne la sévérité des obligations à respecter pour pouvoir utiliser la reconnaissance faciale et d’autres technologies d’identification biométrique au Québec en vertu de la Loi sur la protection des renseignements personnels dans le secteur privé (la Loi sur le privé) et des dispositions connexes de la Loi concernant le cadre juridique des technologies de l’information (la Loi sur les TI).

La décision reflète également une tendance observée au Québec ces dernières années, où la CAI – conformément aux exigences particulières de la province concernant la constitution de banques de caractéristiques ou de mesures biométriques – a pris des mesures d’application de la loi contre les entreprises qui utilisaient ces technologies et a exprimé son scepticisme quant à la nécessité et à la proportionnalité de ces outils. Cette tendance est évidente non seulement dans la récente décision de la CAI, mais aussi dans ses récentes lignes directrices, ainsi que dans ses interactions avec les entreprises qui déclarent des systèmes biométriques.

La position de la CAI sur l’utilisation de la biométrie est particulièrement intéressante pour les entreprises, compte tenu des lourdes sanctions pécuniaires prévues en cas de non-respect des lois du Québec en matière de protection de la vie privée. En vertu de la Loi sur le privé, les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu.

Mes collègues ont préparé un présent bulletin dans lequel nous présentons les principales obligations légales régissant les systèmes de vérification de l’identité au moyen de la biométrie au Québec, l’application par la CAI de ces obligations aux faits de cette décision, ainsi que de précieuses indications à l’intention des entreprises.

Vous pouvez consulter le bulletin disponible sur le site d’Osler.

This content has been updated on January 29, 2025 at 20 h 32 min.