Vous entrez dans le stationnement d'un centre commercial. Aucune barrière, aucun horodateur, aucun préposé. Juste un petit boîtier noir fixé sur un poteau, à hauteur de pare-chocs, que vous n'avez jamais remarqué. Il vient de photographier votre plaque, d'en extraire les caractères et d'inscrire l'heure exacte de votre arrivée dans une base de données. À votre sortie, la même opération se répète. Si l'écart dépasse la durée gratuite affichée quelque part sur un panneau, une facture peut suivre par la poste.
Le site français Les Numériques vient de documenter la généralisation de ces dispositifs dans les stationnements de magasins de l'Hexagone : des caméras de lecture automatisée des plaques d'immatriculation (LAPI, ou ANPR en anglais) installées par des sociétés privées de gestion de stationnement, qui identifient les automobilistes ayant dépassé la durée autorisée et leur envoient une réclamation. Le mécanisme est purement contractuel — il ne s'agit pas d'une contravention, mais d'une pénalité privée fondée sur les conditions d'utilisation du terrain.
La question qui se pose immédiatement de ce côté-ci de l'Atlantique : un commerçant québécois pourrait-il faire la même chose? Et si oui, à quelles conditions?
La plaque d'immatriculation est-elle un renseignement personnel?
C'est le nœud juridique. Une plaque, en soi, est une suite alphanumérique. Elle ne contient ni nom, ni adresse, ni date de naissance. Mais le droit québécois ne raisonne pas ainsi.
L'article 2 de la Loi sur la protection des renseignements personnels dans le secteur privé définit le renseignement personnel comme « tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier ». Le mot clé est indirectement. Une plaque d'immatriculation renvoie à un enregistrement de la Société de l'assurance automobile du Québec qui, lui, désigne une personne. La Commission d'accès à l'information du Québec (CAI) a d'ailleurs déjà eu à se pencher sur des dossiers impliquant des numéros de plaque et les a traités comme des renseignements permettant l'identification indirecte d'un individu.
Autrement dit : dès qu'une caméra lit votre plaque et l'associe à un horodatage, un commerçant constitue un fichier de renseignements personnels. Et à partir de là, tout l'appareil de la Loi 25 — la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, entrée pleinement en vigueur par étapes depuis septembre 2022 — s'applique.
Ce raisonnement n'est pas isolé. Le Commissariat à la protection de la vie privée du Canada et plusieurs commissaires provinciaux ont adopté la même lecture. En Colombie-Britannique, le commissaire à l'information et à la protection de la vie privée avait conclu, dans une enquête devenue une référence sur les systèmes ANPR utilisés par la police de Victoria, que les données de plaques constituaient des renseignements personnels et que leur collecte massive sans finalité précise était illégale. Le principe traverse les juridictions canadiennes.
Ce que la Loi 25 exige concrètement d'un commerçant
Un exploitant de stationnement qui déploie de la LAPI au Québec ne se trouve pas dans un vide juridique. Il hérite d'une série d'obligations assez lourdes.
Une finalité déterminée et légitime. L'entreprise doit établir, avant la collecte, pourquoi elle recueille ces données. « Faire respecter la durée maximale de stationnement pour la clientèle » est probablement défendable. « Constituer un historique des visites pour du marketing ciblé » est une tout autre affaire, qui exigerait un consentement distinct et explicite.
La minimisation. On ne peut recueillir que les renseignements nécessaires à cette finalité. Une caméra qui capte aussi les visages des occupants, ou qui conserve l'image intégrale du véhicule plutôt que la seule chaîne de caractères, dépasse vraisemblablement le nécessaire.
L'information de la personne concernée. L'article 8 de la loi impose d'informer l'individu de l'objet du dossier, de l'usage des renseignements, des catégories de personnes qui y auront accès, du lieu de détention et de ses droits d'accès et de rectification. Dans un stationnement, cela signifie un affichage réel, visible, lisible depuis un véhicule en mouvement — pas une mention en corps 6 au bas d'un panneau de tarification.
Une évaluation des facteurs relatifs à la vie privée (EFVP). Depuis septembre 2023, la Loi 25 oblige les entreprises à mener une EFVP pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Un déploiement de LAPI entre clairement dans cette catégorie.
Une politique de conservation et de destruction. Les données doivent être détruites ou anonymisées une fois la finalité atteinte. Si le but est de vérifier une durée de séjour, la conservation d'un historique de plusieurs mois devient difficile à justifier.
Un responsable de la protection des renseignements personnels identifié, dont les coordonnées sont publiées, et une obligation de signaler à la CAI tout incident de confidentialité présentant un risque de préjudice sérieux.
À cela s'ajoute le régime de sanctions, qui est la véritable nouveauté de la Loi 25 : des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et des amendes pénales jusqu'à 25 millions ou 4 % du chiffre d'affaires. La loi ouvre également la porte à des dommages-intérêts punitifs d'au moins 1 000 $ en cas d'atteinte illicite et intentionnelle ou de faute lourde — un levier qui rend les recours collectifs plausibles.
La position de la CAI sur les technologies d'identification
La Commission d'accès à l'information a développé, au fil de ses avis et enquêtes, une méthode d'analyse constante pour les technologies d'identification : nécessité, proportionnalité, efficacité démontrée, absence de moyen moins intrusif. C'est la grille qu'elle a appliquée aux caméras de surveillance dans les lieux publics, aux systèmes biométriques et, plus récemment, aux dispositifs de reconnaissance faciale.
L'affaire la plus éclairante reste celle de la boutique Clearview AI, où la CAI a agi de concert avec ses homologues fédéral, britanno-colombien et albertain pour conclure que la collecte d'images faciales sans consentement était illégale. Le message était limpide : le fait qu'une donnée soit techniquement accessible dans l'espace public ne la rend pas librement collectable à des fins commerciales.
En matière de biométrie, le Québec impose même une obligation particulière : toute création d'une banque de caractéristiques biométriques doit être divulguée à la CAI, et depuis la Loi 25, la déclaration doit précéder la mise en service de 60 jours. Une plaque n'est pas une donnée biométrique — c'est un identifiant attribué à un véhicule, non une caractéristique du corps. Mais cette exigence illustre la sensibilité du régulateur québécois aux dispositifs d'identification automatisée.
L'écart entre ce qu'on croit consentir et ce qui est collecté
Voilà le vrai problème, et il n'est pas juridique — il est perceptuel.
En stationnant dans un centre commercial, un client comprend qu'il y a probablement des caméras de sécurité. Il ne comprend pas nécessairement qu'un système automatisé lit son identifiant, l'horodate, le stocke et pourrait le corréler avec ses passages antérieurs. La différence est considérable : une caméra de sécurité produit des images qu'un humain doit consulter en cas d'incident; un système LAPI produit un registre structuré, interrogeable, exportable, qui documente les déplacements d'une personne dans le temps.
En droit québécois, la notion de consentement implicite existe pour certaines collectes, mais la Loi 25 a resserré les exigences : le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Le simple fait de rouler sur un terrain privé constitue-t-il un consentement éclairé à la constitution d'un dossier nominatif? La question n'a pas reçu de réponse jurisprudentielle claire au Québec pour ce type de dispositif précis, et c'est précisément là que réside l'incertitude.
À cela s'ajoute la question de la légitimité des réclamations elles-mêmes. Au Québec, une pénalité imposée par un exploitant privé de stationnement relève du droit contractuel, non du droit pénal. Elle n'a aucune valeur d'amende, ne peut donner lieu à des points d'inaptitude, et sa validité dépend de la démonstration que le conducteur a été adéquatement informé des conditions — ce qui ramène à l'affichage. Une entreprise qui souhaiterait poursuivre un automobiliste récalcitrant devrait le faire devant la Division des petites créances, avec le fardeau de preuve correspondant. En Ontario, où ce modèle est plus répandu, des observateurs comme le Toronto Star ont documenté des contestations d'automobilistes face à des factures émises par des gestionnaires privés.
Ce qui change vraiment : le coût
La LAPI n'est pas une technologie nouvelle. Les corps policiers l'utilisent depuis les années 2000, notamment pour repérer les véhicules volés ou les immatriculations expirées. Ce qui change, c'est l'économie du dispositif.
Une caméra de lecture de plaques équipée de reconnaissance optique embarquée coûte aujourd'hui quelques centaines de dollars. Des modèles de vision par ordinateur suffisamment performants tournent sur du matériel bon marché, et plusieurs fournisseurs offrent la LAPI comme service infonuagique facturé à l'usage. Un commerçant n'a plus besoin d'un contrat d'intégrateur à six chiffres pour surveiller son terrain : il installe deux boîtiers et s'abonne.
Cette banalisation déplace l'enjeu. Il ne s'agit plus de savoir si la technologie est disponible — elle l'est, massivement — mais de savoir si l'usager disposera d'un moyen réaliste de savoir qu'il y est soumis. Or l'affichage est aujourd'hui le seul mécanisme de transparence, et c'est le plus faible de tous : personne ne lit les panneaux d'un stationnement.
La Loi 25 donne au Québec l'un des cadres les plus stricts en Amérique du Nord sur le papier. Le test viendra de son application effective à des milliers de petits exploitants privés que la CAI, avec ses ressources limitées, ne peut pas inspecter un par un. En attendant, la meilleure défense d'un automobiliste reste banale : lever les yeux vers les poteaux à l'entrée, et exercer, au besoin, son droit d'accès aux renseignements qu'une entreprise détient sur lui — un droit que la loi lui garantit, avec réponse obligatoire dans les 30 jours.