La Cour du Banc du Roi de l’Alberta envoie un signal fort : toute entreprise qui exerce ses activités dans la province, qu’elle y soit établie ou non, doit se conformer aux règles strictes sur la protection des renseignements personnels. La récente décision de la Cour du Banc du Roi de l’Alberta (la « Cour ») dans l’affaire Clearview AI Inc c. Alberta (Information and Privacy Commissioner) marque un tournant dans l’application de la loi en matière de protection des renseignements personnels et de la vie privée.[1]

Le 8 mai 2025, la Cour a confirmé l’ordonnance P2021-12 du Commissaire à l’information et à la protection de la vie privée de l’Alberta (le « Commissaire ») ordonnant à Clearview AI Inc. (la « Société ») de cesser toutes ses activités en Alberta et d’effacer tous les renseignements personnels qu’elle a en sa possession au sujet de personnes résidant en Alberta. Lors de son examen, la Cour a également estimé que certaines parties du Personal Information Protection Act de l’Alberta (la « loi PIPA ») étaient obsolètes et inconstitutionnelles, ce qui laisse présager des réformes urgentes.

Cette décision envoie un message clair aux entreprises qui exercent leurs activités en Alberta : le cadre législatif en matière de protection de la vie privée est en pleine transformation, et une attention immédiate et constante est désormais essentielle. Dans cet article, nous mettons en perspective les principales conclusions de la Cour et leurs répercussions pratiques sur les obligations que les entreprises seront, à l’avenir, tenues de respecter dans le domaine de la protection des renseignements personnels.

Mise en contexte

La Société utilise l’IA pour recueillir des photos de personnes publiées sur les médias sociaux ou sur Internet et les compiler dans une base de données de reconnaissance faciale, qui est vendue aux organismes chargés de l’application de la loi. Ces dernières années, dans plusieurs provinces et territoires, la Société a fait l’objet de vives critiques pour ses manquements à la protection de la vie privée.

En 2021, les commissaires responsables de la protection de la vie privée à l’échelon fédéral et dans les provinces de l’Alberta et de la Colombie-Britannique, ainsi que la Commission du Québec, ont unanimement déterminé que la Société avait enfreint les lois du Canada en matière de protection de la vie privée dans chaque province et territoire et lui ont ordonné de cesser toute activité dans ces provinces et territoires et de supprimer tous les renseignements personnels recueillis au sujet de résidents du Canada. Lors de la révision judiciaire de cette ordonnance devant la Cour de l’Alberta, la Société a soutenu ce qui suit :

  1. Ses activités ne relèvent pas de la compétence du Commissaire;
  2. L’ordonnance du Commissaire a porté atteinte à la liberté d’expression de la Société protégée par la Charte canadienne des droits et libertés (la « Charte »);
  3. La conclusion du Commissaire selon laquelle elle n’avait pas de motif valable pour recueillir, utiliser et communiquer des renseignements personnels était déraisonnable.

La loi PIPA s’applique-t-elle aux sociétés étrangères?

Au Canada, la jurisprudence reconnaît depuis longtemps qu’une loi provinciale ne peut s’appliquer à une partie située hors de la province qu’en présence d’un « rapport réel et substantiel » entre cette province et la partie en cause.[2] Dans le cas qui nous occupe, la Cour a confirmé que, bien que la Société ait son siège social aux États-Unis, elle était tout de même assujettie à la loi PIPA, car elle exerçait des activités en Alberta et recueillait, utilisait et communiquait des renseignements personnels au sujet de personnes résidant en Alberta, ce qui justifiait la reconnaissance d’un « rapport réel et substantiel » entre la province et la Société.[3]

Le caractère inconstitutionnel de l’exception concernant les renseignements personnels « accessibles au public »

La loi PIPA permet aux entreprises de recueillir les renseignements personnels au sujet d’une personne sans son consentement si ceux-ci sont « accessibles au public », comme le prévoit le Personal Information Protection Act Regulation (le « Règlement »).Cette exception, invoquée par la société, précise qu’il n’est pas nécessaire d’obtenir le consentement lorsque les renseignements sont accessibles au public, notamment dans des publications comme des journaux, des livres ou des magazines, qu’ils soient en format imprimé ou numérique. La Cour a entériné la décision du Commissaire selon laquelle, en l’absence de référence à des pages Web ou à des plateformes de médias sociaux, les renseignements personnels tirés de ces sources ne peuvent être qualifiés d’« accessibles au public » au sens de la loi PIPA.

En s’appuyant sur l’article 2(b) de la Charte, la Société a fait valoir que cette exception portait indûment atteinte à sa liberté d’expression et était donc inconstitutionnelle.[4]

Après avoir examiné l’argument de la Société fondé sur la Charte, la Cour a conclu que les protections qu’elle confère s’appliquent également aux processus automatisés, comme l’utilisation de robots pour extraire des images et des renseignements en ligne, dans la mesure où il s’agit d’un maillon dans un processus de « transmission de sens ».[5]De plus, la Cour a donné raison à la Société et a conclu que l’atteinte à la liberté d’expression protégée par l’article 2(b) n’était pas justifiée, car cette restriction était trop large. Dans sa formulation actuelle, la loi PIPA imposerait les mêmes exigences de consentement aux moteurs de recherche, ce qui entraînerait un fardeau opérationnel difficilement soutenable.[6]

La Cour a donc ordonné la suppression de l’expression « y compris, sans toutefois s’y limiter, les magazines, livres et journaux » dans le Règlement, afin de laisser au terme « publication » toute la portée de son acception habituelle.[7]Cette décision marque une étape déterminante dans le droit canadien en matière de protection de la vie privée, car elle redéfinit de manière élargie ce qui peut être considéré comme des renseignements personnels « accessibles au public » en vertu de la loi PIPA, englobant désormais les contenus en ligne tels que les sites Web et les publications sur les réseaux sociaux. La Cour a reconnu que le Règlement, adopté en 2003, ne tenait pas compte de l’évolution fulgurante de l’Internet, devenu aujourd’hui un canal de diffusion majeur de renseignements personnels.[8]

En interprétant de manière plus large le terme « publication », la Cour a exprimé une volonté claire d’adapter le vocabulaire législatif aux avancées technologiques et aux pratiques actuelles de communication. Cette orientation soulève toutefois un risque de disparité entre les territoires de compétence, certaines provinces, comme la Colombie-Britannique, ayant privilégié une interprétation plus étroite de clauses semblables. Cette absence d’harmonisation pourrait être une source d’incertitude pour les entreprises actives dans plusieurs provinces, qui devront composer avec des normes variables dans la définition des renseignements personnels « accessibles au public » selon la province. Les entreprises ont tout intérêt à surveiller de près l’évolution des interprétations judiciaires et à se préparer à des réformes ou à des clarifications de la part des législateurs, ce qui pourrait conduire à l’harmonisation des normes de protection de la vie privée dans l’ensemble du Canada.

Motifs raisonnables

Malgré le constat d’inconstitutionnalité de certaines dispositions de la loi PIPA, la Cour a néanmoins maintenu l’ordonnance rendue par le Commissaire. La Cour a en effet conclu que la Société ne disposait pas de motifs raisonnables, comme l’exige la loi PIPA, pouvant justifier la collecte, l’utilisation et la communication de renseignements personnels au sujet des résidents de l’Alberta. Les motifs de la Société ont été jugés déraisonnables pour les raisons suivantes :

  • Les raisons invoquées ne correspondaient pas à celles ayant motivé la publication initiale des images;
  • Les renseignements personnels ont été utilisés au détriment de la personne qui a publié les photos;
  • L’utilisation de ces images par la Société risque de causer d’importants préjudices aux personnes concernées, notamment en cas d’identification erronée ou de violation de la sécurité des données.

Traitement de la situation dans les autres provinces ou territoires

La Société a engagé des procédures semblables en Colombie-Britannique, où le tribunal de cette province a conclu que la loi provinciale s’appliquait en raison de la présence d’un rapport réel et substantiel entre la Société et la province, et que l’extraction de données biométriques à partir des médias sociaux exigeait le consentement des utilisateurs.Toutefois, la Cour suprême de la Colombie-Britannique a pris une position différente de celle de la Cour de l’Alberta sur la question de la constitutionnalité, estimant que la définition de l’expression « accessible au public » doit être interprétée de manière plus restrictive.

La Société a été confrontée à des restrictions semblables dans d’autres pays, notamment en Europe (elle a été condamnée à des amendes de 35,5 millions d’euros aux Pays-Bas, de 20 millions d’euros en Italie, en Grèce et en France, et a été jugée illégale en Allemagne et en Autriche). Au Royaume-Uni, la Société a été condamnée à une amende de 9 millions de dollars, mais a contesté cette amende avec succès en faisant valoir que le tribunal n’avait pas compétence sur la manière dont les autorités étrangères utilisent les renseignements personnels concernant les sujets britanniques. Le commissaire chargé de la protection des renseignements personnels au Royaume-Uni a obtenu l’autorisation de porter cette décision en appel.[9]

Principaux points à retenir

Pratiquement tous les territoires de compétence ont opposé de la résistance à l’égard de l’utilisation des renseignements à caractère personnel par la Société. Même si la Cour de l’Alberta a souligné le besoin de moderniser certains aspects de la loi PIPA afin de tenir compte de l’évolution des technologies et des façons d’utiliser les renseignements personnels, elle a néanmoins confirmé la conclusion du Commissaire selon laquelle la Société ne pouvait justifier son utilisation des renseignements à caractère personnel.

À la lumière de cette décision, il est conseillé aux entreprises d’adopter les mesures suivantes :

  • Passer en revue leurs motifs. Procéder à une analyse rigoureuse pour s’assurer que les motifs justifiant la collecte des renseignements personnels sont raisonnables et qu’ils ont un rapport avec les objectifs pour lesquels ces renseignements ont été fournis;
  • Vérifier que le consentement pour l’utilisation de l’IA a été obtenu. Examiner l’intégration de l’IA dans les processus opérationnels et veiller à ce que tous les consentements nécessaires aient été obtenus avant toute collecte, utilisation ou communication de renseignements personnels. Le fait qu’une personne ait rendu ses renseignements personnels publics sur Internet ne signifie pas que les entreprises ont le droit de les recueillir, de les utiliser ou de les communiquer librement sans restriction.
  • Examiner les lois en vigueur dans le territoire de compétence concerné. Les entreprises peuvent être assujetties aux lois locales en matière de protection de la vie privée lorsqu’il y a un rapport réel et substantiel entre le territoire de compétence et l’entreprise qui y exerce des activités.

Si vous avez des questions ou souhaitez obtenir des conseils concernant les répercussions que cette décision pourrait avoir sur votre entreprise, n’hésitez pas à communiquer avec un membre du groupe Technologies, propriété intellectuelle et protection de la vie privée de Miller Thomson.

[1] Clearview AI Inc c. Alberta (Information and Privacy Commissioner), 2025 ABKB 287 (la « décision »).

[2] Ibid, par. 44; Unifund Assurance Co c. Insurance Corp. of British Columbia, 2003 CSC 40.

[3] Ibid, par.61.

[4] Ibid, par. 98.

[5] Ibid, par. 104.

[6] Ibid, par. 132 à 135.

[7] Ibid, par. 149.

[8] Ibid, par. 134.

[9] https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/11/information-commissioner-seeks-permission-to-appeal-clearview-ai-inc-ruling/.