Le gardien de la vie privée canadien sollicite des commentaires sur les directives mises à jour en matière de biométrie

Afin de s’adapter à l’évolution du paysage technologique biométrique et à ses implications sur la vie privée, le Bureau du commissaire à la vie privée du Canada (BCVP) sollicite des commentaires sur ses directives provisoires récemment publiées concernant la gestion des informations biométriques. Ces directives sont conçues pour garantir que les organisations au Canada gèrent et traitent les données biométriques de manière responsable, en les alignant sur les préoccupations contemporaines en matière de cybersécurité, de prévention de la fraude et d’identité numérique. Le BCVP invite les parties prenantes du secteur de la biométrie et le public à fournir leurs avis sur ces documents provisoires.

Le commissaire Philippe Dufresne a souligné la nécessité de mettre à jour les directives existantes, qui ont été publiées pour la dernière fois en 2011. Il souligne la prévalence accrue des technologies biométriques dans divers secteurs, comme l’utilisation par les forces de l’ordre de la technologie de reconnaissance faciale et les cas où des entreprises, comme Rogers Inc., ont manqué d’obtenir le consentement pour leurs programmes d’authentification par empreinte vocale. Ces exemples illustrent la pertinence croissante des données biométriques, qui a dépassé la portée des anciennes directives.

Dufresne approfondit davantage le changement de paysage biométrique, mentionnant la reconnaissance faciale, la reconnaissance vocale et d’autres systèmes biométriques comme des technologies qui ont considérablement évolué depuis l’introduction initiale des directives. Le développement rapide dans ce domaine appelle des directives mises à jour pour garantir que les organisations utilisent ces technologies d’une manière qui protège les droits à la vie privée des individus.

Les directives provisoires sollicitent les commentaires des parties prenantes

Pour faciliter le processus de révision de leurs directives, le BCVP a publié deux documents provisoires. L’un se concentre sur les risques liés à la vie privée dans le secteur privé en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), tandis que l’autre traite de la Loi sur la protection des renseignements personnels, qui régit les institutions fédérales. Les deux documents sont accessibles au téléchargement sur le site officiel du BCVP. Les parties prenantes et les parties intéressées sont encouragées à examiner ces ébauches et à fournir leurs commentaires d’ici janvier 2024.

De manière générale, les directives provisoires couvrent une série de questions liées à l’utilisation des données biométriques, y compris l’assurance que la biométrie est utilisée à des fins appropriées, l’obtention des consentements nécessaires et l’évitement des pratiques de profilage ou de catégorisation qui pourraient entraîner un traitement injuste, non éthique ou discriminatoire, contrevenant ainsi au droit des droits de la personne.

Les directives offrent un cadre clair, délimitant les « Doits » et les « Devrais » que les organisations sont censées suivre. Parmi les « Doits » figurent des exigences telles que l’utilisation de l’authentification avant l’identification et la suppression rapide des informations biométriques sur demande. Ces mesures sont cruciales pour maintenir un niveau élevé de vie privée et de sécurité lors de la manipulation de données biométriques sensibles. De plus, les directives conseillent aux organisations de prendre des mesures proactives pour garder les modèles biométriques sous le contrôle des individus auxquels ils se rapportent et de privilégier la reconnaissance biométrique active par rapport aux méthodes passives.

Inquiétudes concernant l’utilisation de la reconnaissance faciale

Les directives provisoires pour les institutions fédérales mettent également en évidence des cas spécifiques qui ont suscité des préoccupations concernant l’utilisation de la technologie biométrique, notamment l’utilisation par la Gendarmerie royale du Canada (GRC) d’un système fourni par Clearview AI pour la reconnaissance faciale. Le BCVP a déterminé que cette utilisation constituait une violation de la Loi sur la protection des renseignements personnels.

L’enquête du BCVP sur cette question a révélé que Clearview AI avait procédé au grattage en ligne d’images et à la création de tableaux de reconnaissance faciale biométriques sans consentement approprié, entraînant une identification massive et la surveillance d’individus. De telles pratiques soulèvent d’importantes préoccupations en matière de vie privée et d’éthique, rendant impératif pour le BCVP de souligner l’importance du respect des principes de protection de la vie privée lors de l’utilisation de la technologie biométrique.