Le 23 septembre 2026, la Cour du Québec a confirmé l'ordonnance de la Commission d'accès à l'information contre Clearview AI. L'entreprise américaine bâtissait une banque de visages à partir d'images trouvées sur le Web et les réseaux sociaux. Pour un cabinet financier, l'enjeu n'est pas la reconnaissance faciale. C'est un réflexe bien plus banal : chercher un client sur LinkedIn ou Facebook avant le rendez-vous, puis noter au dossier ce qu'on a trouvé.
Deux textes publiés cette année disent la même chose, l'un à propos de la reconnaissance faciale, l'autre à propos de l'intelligence artificielle générative. Qu'un renseignement soit visible en ligne ne donne pas le droit de le recueillir. Voici ce qu'ils disent, et ce que ça change concrètement dans un cabinet.
- Clearview AI (2026 QCCQ 4502). La Cour du Québec confirme qu'une entreprise ne peut pas constituer des dossiers sur des Québécois à partir d'images trouvées en ligne sans leur consentement, même sans bureau au Québec.
- OpenAI (6 mai 2026). Pour la Commission d'accès à l'information, un renseignement diffusé sur le Web n'est pas public pour autant, et le publier n'équivaut pas à consentir à sa réutilisation.
- Pour un cabinet. Ce qu'on trouve sur LinkedIn ou Facebook et qu'on verse au dossier est recueilli auprès d'un tiers. Le plus simple est de demander l'information au client.
Ce que la Cour du Québec a confirmé
Clearview AI exploite un moteur de recherche par reconnaissance faciale. Elle indexe des images publiées sur des pages Web, y compris sur les réseaux sociaux, et crée pour chaque visage un identifiant biométrique. Ses clients sont surtout des services de police et des organismes publics.
En décembre 2021, la Commission lui a ordonné trois choses : cesser de constituer des dossiers sur des personnes au Québec, cesser de recueillir leurs images pour en tirer des identifiants, et détruire ce qu'elle avait déjà amassé. Clearview a porté la décision en appel. La Cour du Québec a rejeté cet appel, et trois points de son jugement méritent l'attention.
- La loi s'applique même sans bureau au Québec. Clearview disait n'avoir ni bureau, ni employé, ni client au Québec. Le tribunal juge que recueillir des renseignements sur des personnes qui y résident suffit à créer le lien nécessaire.
- Le consentement était requis. Constituer ces dossiers sans consentement contrevient à la loi sur le secteur privé, et Clearview n'a pas démontré d'intérêt sérieux et légitime.
- La liberté d'expression ne l'emporte pas. Le tribunal reconnaît que les activités de Clearview ont un contenu expressif protégé par la Charte canadienne. Mais les règles de la loi sur la collecte, la communication et le consentement constituent des limites justifiées dans une société libre et démocratique.
OpenAI : publier n'est pas consentir
Le 6 mai 2026, le Commissariat à la protection de la vie privée du Canada et ses homologues du Québec, de la Colombie-Britannique et de l'Alberta ont publié leur enquête conjointe sur ChatGPT. Ils concluent qu'OpenAI n'a pas obtenu de consentement valide pour les renseignements personnels qui ont servi à entraîner ses modèles GPT-3.5 et GPT-4, en bonne partie moissonnés sur le Web.
OpenAI soutenait qu'une personne qui publie sans restriction accepte, au moins implicitement, que ses renseignements soient réutilisés. La Commission d'accès à l'information du Québec a répondu sur trois points.
- Visible n'est pas public. La loi québécoise ne rend pas un renseignement public du seul fait qu'il est diffusé sur le Web. Seuls les renseignements qui ont un caractère public en vertu d'une loi échappent à ses règles.
- Publier n'est pas consentir. Une publication sans restriction ne prouve pas que la personne a été informée ni qu'elle a consenti.
- Un réseau social est un tiers. Recueillir un renseignement sur un réseau social, c'est en principe le recueillir auprès d'un tiers, ce qui demande le consentement de la personne.
Et quand une entreprise ignore si la personne a autorisé la publication, la Commission tranche : « dans le doute, elle devrait s'abstenir de les recueillir ». Pour le Québec, la plainte sur le consentement a été jugée fondée et non résolue.
Ce qui est visible en ligne n'est pas pour autant disponible.
Trois gestes du quotidien à revoir
Ces affaires visent de grandes entreprises technologiques, mais le principe vaut pour tout cabinet qui recueille des renseignements personnels. La loi sur le secteur privé pose deux règles simples. On ne recueille que ce qui est nécessaire à l'objet du dossier. Et on le recueille auprès de la personne elle-même, à moins qu'elle ne consente à ce qu'on s'adresse à un tiers.
1. La recherche avant le rendez-vous
Taper le nom d'un client dans Google, consulter son profil LinkedIn, voir ses photos de voyage sur Facebook : tout cela prend quelques secondes. Ce qui compte, c'est ce qu'on en fait. Dès qu'une information trouvée en ligne est consignée au dossier ou sert à une recommandation, le cabinet l'a recueillie auprès d'un tiers.
La façon la plus simple de rester du bon côté, c'est de poser la question au client. Il connaît sa situation mieux que LinkedIn, et la réponse qu'il vous donne lui-même est la seule que vous pourrez défendre.
Les vérifications qu'une loi vous impose, par exemple en matière de lutte contre le blanchiment d'argent, relèvent d'une autre logique : c'est la loi elle-même qui les autorise.
2. Les listes de prospection
Une liste de contacts achetée, ou compilée à partir de profils publics, pose exactement la question tranchée dans Clearview et dans l'enquête sur OpenAI. Avant de l'utiliser, demandez au fournisseur d'où viennent les renseignements et sur quel consentement il s'appuie. S'il ne peut pas répondre, vous avez votre réponse.
3. Les outils qui complètent la fiche à votre place
Extensions de navigateur qui affichent le profil LinkedIn d'un correspondant, CRM qui remplissent une fiche tout seuls, assistants IA qui font une recherche sur le client avant la rencontre : la collecte se fait sans que personne ne clique sur quoi que ce soit. Elle reste pourtant une collecte du cabinet, et c'est le cabinet qui en répond.
Un mot sur les visages
Clearview rappelle aussi que la biométrie est un terrain à part. Au Québec, la loi concernant le cadre juridique des technologies de l'information exige le consentement exprès de la personne avant de vérifier son identité au moyen de caractéristiques biométriques. La création d'une banque de caractéristiques biométriques doit aussi être déclarée à la Commission avant sa mise en service.
Si un fournisseur vous propose de vérifier l'identité de vos clients par égoportrait, posez-lui deux questions : qui a fait la déclaration à la Commission, et où sont conservés les gabarits des visages?
Quatre réflexes pour votre cabinet
- Visible n'est pas public. Au sens de la loi, un renseignement n'est public que si une loi le rend public. Un profil LinkedIn ne l'est pas.
- Le client d'abord. Recueillez l'information auprès de la personne elle-même. C'est plus exact, et c'est la règle.
- Questionnez vos fournisseurs. Listes, outils d'enrichissement, IA : demandez d'où viennent les données et sur quel consentement elles reposent.
- Dans le doute, abstenez-vous. C'est la position de la Commission, et elle coûte bien moins cher qu'une plainte.