De l’environnement de bureau jusqu’à la file d’attente à la caisse enregistreuse, les outils biométriques sont désormais omniprésents : pointeuses à empreintes digitales pour enregistrer les employés, authentification vocale des clients, ou encore surveillance des planchers de vente au moyen de la reconnaissance faciale. Mais une question demeure : quelles règles encadrent leur utilisation?
Le 11 août 2025, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié son Document d’orientation à l’intention des entreprises sur le traitement des renseignements biométriques (Document d’orientation). Destiné aux organisations du secteur privé qui déploient des initiatives biométriques, le Document d’orientation présente les principales considérations relatives aux obligations de protection de la vie privée en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), ainsi que les pratiques exemplaires pour la gestion de ce type de renseignements.
L’essentiel du Document d’orientation
Le Document d’orientation a été conçu tant pour le secteur public que privé et fait suite à une consultation publique menée par le CPVP entre novembre 2023 et février 2024. Au cours de cet exercice, le CPVP a reçu 34 observations écrites et a rencontré 31 organisations afin de recueillir les points de vue des parties prenantes sur la version provisoire du Document (Document provisoire).
Le Document d’orientation tire sa raison d’être de ce que la version précédente, publiée en 2011, ne reflétait plus la réalité du nombre croissant d’organisations utilisant des technologies biométriques telles que la reconnaissance faciale ou la lecture d’empreintes digitales. Le CPVP a souligné que, bien que la biométrie puisse améliorer la sécurité et contribuer à la prestation de services, elle soulève également d’importants enjeux de vie privée, puisque les renseignements biométriques sont intimement liés au corps de la personne et peuvent révéler des données sensibles. Le CPVP a donc jugé nécessaire de fournir des indications actualisées afin d’aider les organisations à utiliser ces technologies dans le respect de la vie privée.
Bien que le Document d’orientation n’ait pas force de loi en soi, l’usage intentionnel des termes devrez et devriez tout au long du texte illustre son poids pratique. En réalité, même les passages où figure le mot devriez impliquent souvent une exigence qui, si elle n’est pas respectée, pourrait mener à un rapport d’enquête en vertu de la LPRPDE. Par exemple, le fait que le CPVP applique des critères de caractère acceptable dans ses enquêtes signifie que les organisations doivent, plutôt que devraient, suivre ces critères.
Comparaison avec le Document provisoire
Le Document d’orientation du CPVP traite de façon plus approfondie que le Document provisoire le fonctionnement des systèmes biométriques. Il définit les principaux termes, distingue la reconnaissance de la classification et précise davantage ce qui constitue un renseignement biométrique. Nous examinons ces définitions et distinctions plus en détail ci-dessous.
Le Document d’orientation actualisé propose également une analyse plus nuancée de la sensibilité : un renseignement biométrique qui identifie de façon unique une personne est toujours considéré comme sensible, alors qu’un renseignement non identifiable peut ou non être sensible selon les risques qu’il présente ou selon ce qu’il révèle sur la personne concernée. Dans le Document provisoire, la sensibilité faisait partie intégrante du test du caractère acceptable, ce qui revenait à la traiter comme un élément de ce seuil. Le Document d’orientation considère désormais la sensibilité comme un facteur indépendant, tandis que le caractère acceptable est évalué au moyen de son propre test structuré, tel qu’exposé ci-dessous.
Le Document d’orientation du CPVP modifie aussi l’approche relative au consentement. Alors que le Document provisoire indiquait que l’utilisation de la biométrie nécessiterait « presque toujours » un consentement exprès, le document final parle plutôt d’« une forme de consentement appropriée ». Cela signifie que, si le consentement exprès demeure la règle générale pour les renseignements biométriques, il peut exister des contextes restreints où un consentement implicite suffirait pour des renseignements biométriques qui ne sont pas considérés comme sensibles.
Parallèlement, le Document d’orientation atténue certaines obligations catégoriques de type « devez / devrez » présentes initialement dans le Document provisoire, tout en en renforçant d’autres.
Par exemple, le Document provisoire imposait aux organisations de « devoir » recourir à la vérification avant l’identification, de limiter l’échange de renseignements à des tiers et d’informer systématiquement les personnes des transferts à des fournisseurs de services. Dans la version finale, ces exigences sont reformulées comme des obligations de type « devriez », accordées cette fois au conditionnel, ouvrant la voie à une application fondée sur les risques.
Inversement, d’autres attentes ont été renforcées : les organisations « doivent » désormais utiliser des systèmes biométriques conçus dans une optique de protection de la vie privée et elles « doivent » garantir à la fois l’exactitude technique et l’équité, y compris en minimisant les écarts de rendement entre groupes sociodémographiques.
Le Document d’orientation du CPVP revoit également la manière de présenter les mesures de sécurité. Le Document provisoire détaillait divers types d’attaques techniques comme celles par mystification ou par escalade. La version mise à jour élimine en grande partie cette taxonomie et propose plutôt une liste opérationnelle axée sur les résultats. Elle met l’accent sur des exigences telles que l’utilisation de gabarits annulables, le recours au chiffrement de bout en bout et la réalisation régulière de tests de vulnérabilité. Ce virage reflète la volonté du CPVP d’orienter les organisations vers des résultats de sécurité pratiques et mesurables, rendant ces sections plus accessibles et centrées sur la mise en œuvre pour les entreprises.
Interaction avec le Québec
Le Document d’orientation actualisé du CPVP s’aligne généralement sur le guide d’accompagnement de la Commission d’accès à l’information (CAI) concernant la biométrie et tient compte de récentes décisions de la CAI portant sur le traitement, par des organisations, de renseignements biométriques à des fins de prévention des pertes et de contrôle d’accès aux locaux commerciaux. Ces décisions illustrent l’intensification de la surveillance réglementaire entourant l’usage de la biométrie, en particulier quant à la nécessité et à la proportionnalité de ces outils plus intrusifs en matière de vie privée.
Il convient de noter que, bien que le Document d’orientation du CPVP ait un caractère consultatif, le Québec a établi des exigences plus prescriptives. Ainsi, même si la Loi sur la protection des renseignements personnels dans le secteur privé (Loi sur le privé) n’encadre les renseignements biométriques qu’à travers la notion de renseignements personnels sensibles, la Loi concernant le cadre juridique des technologies de l’information (Loi sur les TI) prévoit expressément les obligations des organisations relativement à la collecte et au traitement de renseignements biométriques.
Par exemple, les organisations québécoises doivent, en plus d’obtenir le consentement exprès des personnes pour la collecte de leurs données biométriques, déclarer préalablement à la CAI l’utilisation d’un système biométrique pour la vérification ou la confirmation de l’identité d’une personne, et ce, même si aucune donnée biométrique n’est conservée dans une base de données. Cette déclaration doit être faite au plus tard 60 jours avant l’utilisation d’une banque de caractéristiques biométriques. La CAI exige également que les organisations réalisent une évaluation des facteurs relatifs à la vie privée (EFVP) avant le déploiement de tout système biométrique, alors que le CPVP ne l’impose pas formellement – mais la recommande fortement.
Notions clés
La « biométrie » est généralement interprétée comme étant la quantification de caractéristiques humaines en termes mesurables. Dans le contexte du Document d’orientation du CPVP, elle renvoie habituellement aux systèmes servant à identifier ou à vérifier l’identité de personnes au moyen de leurs renseignements biométriques, tels que les empreintes digitales, les motifs de l’iris ou de la rétine, la géométrie de la main ou du visage, ou encore l’empreinte vocale (c’est-à-dire la reconnaissance biométrique). Elle peut toutefois aussi englober de nouveaux systèmes qui analysent des renseignements biométriques afin de prédire certains attributs comme l’âge ou le sexe (sous le vocable de classification biométrique).
Il s’agit d’un point important, puisque les renseignements biométriques – c’est-à-dire des renseignements relatifs à des caractéristiques biométriques qui ont été extraits d’un échantillon biométrique – sont généralement considérés comme des renseignements personnels sensibles et, de ce fait, sont assujettis aux lois en matière de protection des renseignements personnels dans le secteur privé, peu importe la finalité de leur utilisation. Il est intéressant de noter que la définition de la biométrie retenue par le CPVP est plus large que celle de la CAI, ce qui permet une portée réglementaire accrue et une approche de sécurité plus souple et fondée sur les risques.
La vérification et l’identification constituent les deux principales fonctions de la biométrie (aussi appelées authentification et identification, respectivement, au Québec). Leur fonctionnement technique est distinct, ce qui peut entraîner des implications juridiques et des risques différents. La « vérification » consiste à vérifier ou à confirmer l’identité d’une personne (comparaison un à un), alors que l’« identification » consiste plutôt à rechercher une identité dans une banque de données afin de déterminer de qui il s’agit (comparaison un à plusieurs).
Par exemple, la vérification permet de confirmer qu’une personne est bien celle qu’elle prétend être, tandis que l’identification peut servir à autoriser ou refuser l’accès (c’est-à-dire que les renseignements biométriques captés ont été retrouvés dans une base de données). La fonction d’identification présente généralement davantage de risques, puisqu’elle suppose la mise en place d’une base de données de référence, ce qui n’est pas nécessairement le cas pour la fonction de vérification.
