Une enquête menée par le Commissariat à l'information et à la protection de la vie privée de la Colombie-Britannique (OIPC) a révélé que 4 magasins Canadian Tire en Colombie-Britannique, au Canada, ont enfreint la "Loi sur la Protection des Renseignements Personnels " de la Colombie-Britannique (PIPA en anglais) en utilisant une technologie de reconnaissance faciale pour collecter les informations biométriques de leurs clients pendant la période de 2018 à 2021. Dans les faits, 12 magasins ont été identifiés comme utilisant cette technologie mais l’enquête n’a pas été mené à l’encontre de toutes ces institutions. Les magasins restant ont confirmé avoir retiré leurs systèmes de reconnaissance faciale après le début de l'enquête.

L’autorité de contrôle a considéré que les magasins n'ont pas informés correctement les clients et n'ont pas obtenu le consentement des clients lors de l’usage de la technologie de reconnaissance faciale. Il a d’ailleurs été considéré que les enseignes n’ont pas pu démontrer que l’usage de la technologie est proportionné par rapport à la finalité du traitement qui est celle de lutter contre le vol à l’étalage. En d’autres termes, l’usage de cette technologie peut être considéré comme trop ostentatoire aux droits et libertés des personnes pour atteindre la finalité du traitement. Les magasins auraient alors dû utiliser d’autres moyens pour aboutir à la finalité souhaitée. 

Bien que les magasins aient agi rapidement en retirant les systèmes de reconnaissance faciale et en détruisant les renseignements personnels associées, le Commissaire a émis une recommandation visant à ce que les magasins créent et maintiennent des programmes de protection de la vie privée solides. 

Deux recommandations ont été adressées au gouvernement de la Colombie-Britannique pour harmoniser la Loi de Protection des Renseignements Personnels (PIPA)  avec les législations biométriques en vigueur dans d'autres juridictions :
- Modifier la Loi sur les Services de Sécurité (Security Services Act en anglais) ou d'autres textes similaires afin de réglementer explicitement la vente ou l'installation de technologies qui recueillent des informations biométriques ;
- Modifier la Loi sur la Protection des Renseignements Personnels (PIPA) afin de créer des obligations supplémentaires pour les organisations qui déploient des technologies biométriques, et notamment l’obligation de signaler auprès de l’autorité de contrôle toute installation de ce type de technologie.

Enfin, le Commissaire rappelle que les détaillants doivent tenir compte des droits dont disposent leurs clients en matière de protection des données avant d'installer de nouvelles technologies qui collectent des données personnelles sensibles. 

Pour vous, il est alors opportun de se demander plusieurs choses : 

• Toujours identifier si le traitement de renseignements personnels sensibles est proportionnel à la finalité, et si la finalité du traitement ne peut pas être atteint d’une manière moins ostentatoire aux libertés et droits des personnes.
• S’interroger sur la faisabilité du projet vis-à-vis des lois en matière de protection des renseignements personnels, et sur l’encadrement des renseignements personnels qui doit être fait en amont de la mise en œuvre du traitement. Ici, Canadian Tire aurait dû informer les personnes et s’assurer d’avoir le consentement des personnes pour pouvoir mettre en œuvre le traitement de renseignements personnels.
• Disposer d’une ressource interne ou externe afin de vous conseiller sur la mise en œuvre d’un traitement de renseignements personnels sensibles.

Si vous souhaitez protéger votre entreprise, et vous assurer que vos pratiques sont conformes aux lois en matière de protections des renseignements personnels, contactez-nous.