القانون 25 في كيبيك والقياسات الحيوية: دليل التحقق من الهوية (2026)

آخر مراجعة: 31 أكتوبر 2026 · ليس استشارة قانونية

القانون 25 في كيبيك (مشروع القانون 64 قبل إقراره) هو قانون عام 2021 الذي حدّث قوانين الخصوصية في كيبيك، وتشمل قواعده الخاصة بالقياسات الحيوية عمليات التحقق من الهوية عبر الإنترنت التي تقارن صورة سيلفي حية بالصورة الموجودة على وثيقة الهوية.^[8][6] بالنسبة إلى المنشأة الخاضعة لهذه القواعد، تُعد مطابقة الوجه عملية يُفصح عنها وتقوم على الموافقة، ولها قاعدة حذف خاصة بها، وتتطلب تقييم أثر على الخصوصية عندما تغادر البيانات المقاطعة.^[1][3]

يقرأ هذا الدليل النصوص الرسمية مادةً مادة، ومنها Act respecting the protection of personal information in the private sector (قانون حماية المعلومات الشخصية في القطاع الخاص)، ونموذج الإفصاح الخاص بـ CAI، وقراراتها منذ عام 2024، والإرشادات الفيدرالية الصادرة في 11 أغسطس 2025، ومشروع القانون C-36، وقواعد القطاع العام في أربع مقاطعات. ويختتم بقائمة تحقق لهذا الشهر (وبـصفحتنا الخاصة بكندا).

القانون 25 في كيبيك والقياسات الحيوية في لمحة

1. سبتمبر 2022تعديل المادتين 44-45تدخل تعديلات القانون 25 الخاصة بالقياسات الحيوية حيز التنفيذ؛ وتحديث دليل CAI.
2. 22 سبتمبر 2023معظم الالتزاماتتقييم أثر على الخصوصية قبل مغادرة البيانات كيبيك، وموافقة صريحة للبيانات الحساسة.
3. 18 فبراير 2025قرار Metroأول قرار تصدره CAI بموجب المادة 45: حظر قاعدة بيانات بيومترية.
4. 11 أغسطس 2025إرشادات OPCإرشادات فيدرالية للشركات بشأن البيانات البيومترية.
5. 15 يونيو 2026مشروع القانون C-36قُدِّم، وكان في مرحلة القراءة الثانية في 31 أكتوبر 2026.

محطات مؤرخة للتحقق البيومتري من الهوية في كيبيك وكندا.^{[6][8][10][14][17]}

ماذا يقول القانون 25 في كيبيك عن التحقق البيومتري من الهوية

عدّل القانون 25 عدة قوانين. وترد قواعده الخاصة بالبيانات البيومترية في المادتين 44 و45 من Act to establish a legal framework for information technology (قانون إرساء إطار قانوني لتكنولوجيا المعلومات، CQLR c. C-1.1؛ وبالفرنسية Loi concernant le cadre juridique des technologies de l’information، LCCJTI).^[1] والمادة 44 هي التي يُفعّلها مسار التحقق من الهوية.

المادة 44قانون إنشاء إطار قانوني لتكنولوجيا المعلومات (Act to establish a legal framework for information technology)

"لا يجوز التحقق من هوية شخص أو تأكيدها بواسطة عملية تتيح استخدام الخصائص أو القياسات البيومترية لاحقًا، إلا إذا جرى الإفصاح المسبق عن هذا التحقق أو التأكيد إلى Commission d’accès à l’information، وإلا بموافقة صريحة من الشخص المعني."

المصدر: LégisQuébec، CQLR c. C-1.1^[1]

يبدأ النص الفرنسي، وله الحجية الرسمية نفسها، بحظر: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (لا يجوز لأحد أن يشترط التحقق من الهوية بعملية بيومترية دون الإفصاح عنها مسبقًا إلى CAI ودون الموافقة الصريحة من الشخص.)^[2] وتذهب صفحة CAI نفسها أبعد من ذلك: فهي تنص على أن اشتراط التحقق البيومتري من الهوية محظور، وأنه يجب توفير وسيلة أخرى عندما لا يوافق الشخص.^[5]

ثم تضيف المادة 44 ثلاثة قيود تحدد شكل المنتج:

• الحد الأدنى من البيانات: الخصائص اللازمة فقط لربط الشخص بالفعل، وتُجمع بعلم الشخص.^[1]
• لا استخدام آخر: لا يجوز استخدام أي شيء آخر تكشفه البيانات البيومترية لاتخاذ قرار بشأن الشخص أو لأي غرض آخر.^[1]
• الإتلاف: "يجب إتلاف سجل الخصائص أو القياسات وأي ملاحظة متعلقة به فور تحقق الغرض من التحقق من الهوية أو تأكيدها، أو فور زوال سبب التحقق أو التأكيد."^[1]

مطابقة صورة السيلفي 1:1 مشمولة

يغطي دليل CAI الغرضين معًا: تحديد الهوية، أي البحث في قاعدة بيانات بين هويات كثيرة، والمصادقة، أي التحقق من صحة هوية بمقارنة "واحد مقابل واحد" مع البيانات البيومترية لشخص معروف.^[6] وينص الدليل أيضًا على أن الرمز أو القالب أو النموذج المستخرج من صورة بواسطة خوارزمية يُعدّ معلومة بيومترية كذلك.^[6] وفي فبراير 2025 خلصت CAI إلى أن مشروع التعرف على الوجه لدى أحد تجار التجزئة يُعدّ تحققًا من الهوية بوسائل بيومترية، وهو ما يتطلب موافقة صريحة بموجب القانون.^[11]

إفصاح المادة 44 أم قاعدة بيانات المادة 45

تنطبق المادة 45 على قاعدة البيانات البيومترية، مثل صور الوجه أو القوالب المخزنة.^[1]

هذه الصلاحيات تُستخدم فعلًا: أول أمر أصدرته CAI بموجب المادة 45، في فبراير 2025، حظر قاعدة بيانات للتعرّف على الوجه لدى شركة بيع بالتجزئة.^[11]

ما الذي يطلبه نموذج الإقرار لدى CAI، وما الذي تحصل عليه من المورّد

المؤسسة التي تتحقق من الهوية هي التي تقدّم الإقرار عبر النموذج الإلكتروني لـ CAI، وكل حقوله إلزامية.^[5][7] عمليًا، كثير من الإجابات يتعلق بنظام المورّد، لذا اطلبها قبل التوقيع.

أرفق دليل المستخدم، ونموذج الموافقة، والاتفاقية الخاصة بالبيانات المرسلة خارج كيبيك، وتقييم الأثر على الخصوصية (بالفرنسية évaluation des facteurs relatifs à la vie privée، EFVP).^[7]

الموافقة الصريحة والبديل غير البيومتري

تنص المادة 12 من القانون الخاص بالقطاع الخاص على أن الموافقة "يجب أن تُعطى صراحةً عندما تتعلق بمعلومات شخصية حساسة"، وتذكر الطبيعة البيومترية ضمن الأسباب التي تجعل المعلومات حساسة.^[3][4] وبالنسبة إلى البيانات البيومترية، تقول CAI إن الموافقة الصحيحة تكون جلية وصريحة، وحرة، ومستنيرة، ومحددة، ومحدودة في الزمن.^[5] وتنشر CAI نموذج موافقة يمكن تكييفه مع نظامك.^[5]

النصف الثاني من القاعدة هو ما تغفله فرق المنتجات. بما أن الشخص يجب أن يكون حرًا في الرفض أو في سحب موافقته، تقول CAI إنه يجب توفير حل آخر.^[5] وتقول الجهة التنظيمية الاتحادية الشيء نفسه بشأن الاستخدامات غير الأساسية: "يجب أن توفر للأفراد وسائل أخرى للوصول أو المشاركة"، ويجب ألا تعيق الوصول إليها.^[15]

مسار تحقق يبدأ بالموافقة للمستخدمين في كيبيك. يجب ألا يكون البديل طريقًا مسدودًا.^[3][5]

تضيف المادة 12.1 أنه عندما يستند قرار حصريًا إلى معالجة مؤتمتة، يجب إبلاغ الشخص بذلك والسماح له بتقديم ملاحظاته إلى موظف قادر على مراجعة القرار.^[3]

المادة 17: تقييم الأثر على الخصوصية قبل خروج البيانات من كيبيك

المادة 17Act respecting the protection of personal information in the private sector (قانون حماية المعلومات الشخصية في القطاع الخاص)

"قبل الإفصاح عن معلومات شخصية خارج كيبيك، يجب على الشخص الذي يدير مؤسسة أن يجري تقييمًا للأثر على الخصوصية."

المصدر: LégisQuébec, CQLR c. P-39.1^[3]

يجب أن يوازن التقييم بين حساسية البيانات، والغرض منها، وتدابير الحماية بما فيها العقود، والإطار القانوني في جهة الوصول.^[3] ولا يجوز نقل البيانات إلا إذا أظهر التقييم وجود حماية كافية، ويجب أن يكون النقل "موضوع اتفاق مكتوب" يعكس نتائج التقييم.^[3] وينطبق الأمر نفسه عندما يقوم شخص أو جهة خارج كيبيك بجمع البيانات أو استخدامها أو الإفصاح عنها أو الاحتفاظ بها نيابةً عنك، وهي حالة المزوّد.^[3] ووفق قراءتنا، تشمل عبارة "خارج كيبيك" المقاطعات الكندية الأخرى: فالنص لا يتوقف عند الحدود الكندية.^[3]

تشترط المادة 3.3 إجراء تقييم للأثر على الخصوصية لأي مشروع لاقتناء نظام معلومات أو إعادة بنائه، لذا يحتاج أي مزوّد جديد إلى تقييم حتى داخل كيبيك.^[3] وتشترط المادة 18.3 عقدًا مكتوبًا يقصر عمل المزوّد على حدود التكليف ويمنعه من الاحتفاظ بالبيانات بعد ذلك.^[3]

موضع كل التزام من التزامات القانون 25 في عملية تحقق تعتمد على مزوّد.^[1][3]

العقوبات بموجب القانون 25

قد يؤدي جمع المعلومات الشخصية أو استخدامها أو الاحتفاظ بها أو إتلافها بما يخالف القانون إلى عقوبة إدارية تفرضها CAI أو إلى غرامة جزائية.^[3][9]

ما قررته CAI بشأن التعرف على الوجه

السياق على مستوى كندا: PIPEDA وإرشادات OPC ومشروع القانون C-36

التحقق من العمر باستخدام الوجه يُعدّ أيضًا من القياسات الحيوية. يتناول دليلنا حول التحقق من العمر في كندا هذه الحالة.

خارج كيبيك، تخضع القياسات الحيوية في القطاع الخاص في معظم المقاطعات للقانون الاتحادي Personal Information Protection and Electronic Documents Act (PIPEDA). في 11 أغسطس 2025 نشر Office of the Privacy Commissioner of Canada (OPC) إرشاداته بشأن القياسات الحيوية، وهي تتوافق مع قواعد كيبيك.^[14]

في المعالجة العابرة للحدود، يعمل PIPEDA بطريقة مختلفة عن المادة 17. تنص إرشادات OPC على أن «PIPEDA لا يمنع المنظمات في كندا من نقل المعلومات الشخصية إلى منظمة في ولاية قضائية أخرى لمعالجتها»، لكن المنظمة تبقى مسؤولة ويجب أن تستخدم العقود أو وسائل أخرى لتوفير «مستوى حماية مماثل».^[16]

قُدِّم مشروع القانون C-36، الذي من شأنه أن يسنّ Protecting Privacy and Consumer Data Act ويعدّل PIPEDA، وقُرئ قراءة أولى في 15 يونيو 2026، وهو في مرحلة القراءة الثانية في House of Commons حتى 31 أكتوبر 2026، وفقًا لـ LEGISinfo.^[17] إنه مشروع قانون وليس قانونًا نافذًا. بصيغته المقدَّمة، تشترط المادة 57(1) منه إجراء تقييم أثر على الخصوصية واتخاذ تدابير للحد من المخاطر قبل الإفصاح عن المعلومات الشخصية أو نقلها خارج كندا، وتكون الغرامة القصوى على المخالفات في تحقيق واحد هي الأعلى من بين CAD 10 ملايين و3% من الإيرادات العالمية الإجمالية.^[18] كما يصنّف المعلومات البيومترية القادرة على تحديد هوية الشخص بشكل فريد ضمن المعلومات الحساسة.^[18]

إقامة البيانات في القطاع العام في كولومبيا البريطانية ونوفا سكوشا وأونتاريو وألبرتا

تتبع الهيئات العامة القوانين الإقليمية، وهي التي تقف وراء كثير من أسئلة إقامة البيانات في طلبات تقديم العروض. لشركات المدفوعات والعملات المشفرة: راجع KYC لشركات خدمات تحويل الأموال والعملات المشفرة في كندا.

التوطين في كندا لا يُعفي من تقييم المادة 17 في كيبيك عند انتقال البيانات من كيبيك إلى مقاطعة أخرى.^[3]

قائمة تحقق للتحقق البيومتري بموجب القانون 25 في كيبيك هذا الشهر

قدّم إقرار CAI قبل تشغيل مطابقة الوجه لمستخدمي كيبيك.^[1]

• اذكر كل مسار يلتقط الوجه ويقارنه، بما في ذلك استعادة الحساب.
• وثّق المشكلة التي تحلها مطابقة الوجه، مستندًا إلى بيانات الاحتيال لديك، والخيارات الأقل تدخلًا التي جرّبتها.^[5]
• تحقّق مما إذا كانت الصور أو القوالب المخزّنة تشكّل قاعدة بيانات بيومترية. إذا كان الأمر كذلك، فأفصح عنها فورًا وقبل الاستخدام بـ 60 يومًا على الأقل.^[1]
• أجرِ تقييمَي المادة 3.3 والمادة 17، ووقّع اتفاقًا مكتوبًا مع المورّد.^[3]
• صمّم شاشة موافقة صريحة بالفرنسية والإنجليزية، واحتفظ بسجل لكل موافقة.^[5]
• وفّر مسارًا غير بيومتري يصلح لمن يرفض الموافقة أو يسحبها.^[5]
• اضبط مدة الاحتفاظ بحيث تُتلف البيانات البيومترية بمجرد تحقق الغرض، لدى المورّد وفي النسخ الاحتياطية.^[1][15]
• أحِل المطابقات الفاشلة إلى شخص يستطيع مراجعتها، وأبلغ المستخدمين بالقرارات الآلية.^[3][15]
• قدّم إقرار CAI مرفقًا به الدليل ونموذج الموافقة والاتفاق والتقييم.^[7]

أسئلة التوطين الموجّهة إلى المورّدين:

• اسأل أين تُعالَج البيانات وتُخزَّن افتراضيًا، وهل تتوفر منطقة أخرى بموجب العقد.
• اطلب القائمة الكاملة للمعالجين من الباطن مع بلد كل منهم.
• اسأل هل يستطيع موظفون خارج كندا الاطلاع على بيانات بيئة الإنتاج.
• اطلب منهجية المورّد في الاختبار الديموغرافي ومقاييس الخطأ لديه.^[15]

الجهات المُبلِّغة بموجب القواعد الفيدرالية لمكافحة غسل الأموال: يغطي دليلنا حول التحقق من الهوية وفق FINTRAC في 2026 هذا الجانب. قيّم التزامات الخصوصية في كيبيك بشكل منفصل.

كيف تساعد Didit

تعمل خدمتا التحقق من الهوية والتحقق من الحيوية لدى Didit ضمن مسار عمل واحد. تُقرأ الوثيقة ويُفحص ما إذا كانت قد تعرضت للتلاعب، ثم يؤكد فحص حيوية سلبي أو فحص بحركة 3D أو فحص بالوميض وجود شخص حي، وتقارن مطابقة وجه 1:1 الصورة الذاتية بصورة الوجه في الوثيقة.^[24][25][34] لا يُحتفظ بقوالب الوجه بعد حذف الجلسة إلا إذا فعّلت خيار الاحتفاظ بالقوالب مع تحديد عدد معين من الأيام.^[27]

تعمل Didit بصفتها معالِجًا للبيانات، وتبقى أنت المسؤول عن المعالجة.^[29] التحقق من قواعد البيانات، بما فيه فحص مكتب الائتمان الكندي، هو فحص غير بيومتري يمكنك تقييمه كمسار بديل. راجع التحقق من قواعد البيانات وفحص مكافحة غسل الأموال والأسعار.^[33]

الأسئلة الشائعة

المصادر

1. قانون إرساء إطار قانوني لتقنية المعلومات (Act to establish a legal framework for information technology)، CQLR c. C-1.1، المادتان 44 و45، LégisQuébec، مُحدَّث حتى 29 أكتوبر 2026.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45، LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1، LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1، LégisQuébec.
5. Biométrie، Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0، CAI، 21 سبتمبر 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques، CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui، CAI، 22 سبتمبر 2023.
9. Principaux changements apportés par la Loi 25، CAI.
10. Décision, dossier 1037199-S, Metro Inc.، CAI، 18 فبراير 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques، CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec، Ogletree Deakins، 2 يوليو 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing، Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics، OPC، 11 أغسطس 2025.
15. Guidance for processing biometrics, for businesses، OPC، 11 أغسطس 2025.
16. Guidelines for processing personal data across borders، OPC، 2009.
17. مشروع القانون C-36، البرلمان الـ45، الدورة الأولى، LEGISinfo، تمت القراءة في 31 أكتوبر 2026.
18. مشروع القانون C-36، نص القراءة الأولى، Parliament of Canada، 15 يونيو 2026.
19. إرشادات بشأن الإفصاح خارج كندا، Government of British Columbia، حُدّثت في 13 فبراير 2025.
20. Personal Information International Disclosure Protection Act، أسئلة وأجوبة، Government of Nova Scotia.
21. قانون Freedom of Information and Protection of Privacy Act الجديد في Nova Scotia، David Fraser، Canadian Privacy Law Blog، 9 نوفمبر 2025.
22. تحديثات FIPPA وMFIPPA، Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act، Office of the Information and Privacy Commissioner of Alberta.
24. مطابقة الوجه (1:1)، وثائق Didit.
25. كشف الحيوية، وثائق Didit.
26. الموافقة على البيانات البيومترية، وثائق Didit.
27. الاحتفاظ بالبيانات وحذفها، وثائق Didit.
28. حذف الجلسة، وثائق Didit.
29. الأمن والامتثال، وثائق Didit.
30. الشهادات، وثائق Didit.
31. اللغات المدعومة، وثائق Didit.
32. المراجعة اليدوية، وثائق Didit.
33. التحقق عبر مكتب الائتمان في كندا (FINTRAC)، وثائق Didit.
34. التحقق من الهوية، وثائق Didit.

التالي: التحقق من الهوية في كندا، ودليلنا الخاص بـ FINTRAC، وصفحة التحقق من الهوية.