Law 25 del Quebec i biometria: guia de verificació d'identitat (2026)
Law 25 del Quebec i verificació biomètrica: declaració a la CAI i consentiment exprés (art. 44), bases de dades (art. 45), avaluació de proveïdors (art. 17), sancions, decisions de la CAI, guia de l'OPC i checklist de compra.
En resum
Segons la Law 25 del Quebec, una empresa que verifica la identitat amb una biometria facial, com ara una selfie comparada amb la foto d'un document d'identitat, ho ha de comunicar abans a la Commission d’accès à l’information (CAI, l'autoritat de protecció de dades del Quebec) i obtenir el consentiment exprés de la persona.[1][5] L'article 44 de la IT Framework Act del Quebec estableix aquesta regla, i la CAI indica que cal oferir una opció no biomètrica a qui s'hi negui.[1][5]
- Una base de dades biomètrica s'ha de declarar sense demora i com a mínim 60 dies abans que entri en funcionament (art. 45).[1]
- Enviar les dades a un proveïdor de fora del Quebec requereix abans una avaluació d'impacte relativa a la privadesa i un acord per escrit (art. 17).[3]
- Les sancions arriben a CAD 10 million o el 2% del volum de negoci mundial (administratives) i a CAD 25 million o el 4% (penals).[3]
La Law 25 del Quebec (Bill 64 abans de ser aprovada) és la llei de 2021 que va modernitzar la normativa de privadesa del Quebec, i les seves regles sobre biometria s'apliquen a les verificacions d'identitat en línia que comparen una selfie en directe amb la foto d'un document d'identitat.[8][6] Per a una empresa subjecta a aquestes regles, una comparació facial és un procés declarat i basat en el consentiment, amb una regla d'eliminació pròpia i, quan les dades surten de la província, una avaluació d'impacte relativa a la privadesa.[1][3]
Aquesta guia analitza els textos oficials article per article, inclosos l'Act respecting the protection of personal information in the private sector, el formulari de declaració de la CAI, les seves decisions des de 2024, les orientacions federals de l'11 d'agost de 2025, el Bill C-36 i les normes del sector públic de quatre províncies. Acaba amb una llista de comprovació per a aquest mes (i la nostra pàgina sobre el Canadà).
Crear un flux d'alta per al Quebec
Didit executa la verificació de documents, la prova de vida i una comparació facial 1:1 en un sol flux de treball, amb un pas de consentiment, opcions de conservació i una eliminació que controleu vosaltres. Comenceu gratis o parleu amb nosaltres sobre els vostres usuaris del Quebec.
La Law 25 del Quebec i la biometria d'un cop d'ull
| Pregunta | Resposta breu |
|---|---|
| Quina llei | Articles 44 i 45 de la IT Framework Act (CQLR c. C-1.1), modificada per la Law 25 (S.Q. 2021, c. 25)[1] |
| En vigor des de | Setembre de 2022 per als canvis sobre biometria, segons la guia de biometria de la CAI; la majoria de les altres obligacions de la Law 25, des del 22 de setembre de 2023[6][8] |
| Compta una comparació entre selfie i document d'identitat | Sí: la CAI tracta igual l'autenticació 1:1 i la identificació 1:N[6] |
| Si la persona s'hi nega | Oferiu una altra manera de verificar-se; no es pot exigir la biometria[2][5] |
| Proveïdor de fora del Quebec | Avaluació d'impacte relativa a la privadesa i acord per escrit abans de la transferència (art. 17)[3] |
| Llei federal | PIPEDA, llegida juntament amb les orientacions de l'OPC sobre biometria de l'11 d'agost de 2025; el Bill C-36 és en segona lectura[14][15][17] |
- set. 2022art. 44-45 modificatsEntren en vigor els canvis de la Law 25 sobre biometria; s'actualitza la guia de la CAI.
- 22 set. 2023La majoria d'obligacionsAvaluació d'impacte relativa a la privadesa abans que les dades surtin del Quebec, consentiment exprés per a les dades sensibles.
- 18 febr. 2025Ordre MetroPrimera ordre de la CAI en virtut de l'art. 45: es prohibeix una base de dades biomètrica.
- 11 ag. 2025Orientacions de l'OPCOrientacions federals sobre biometria per a empreses.
- 15 juny 2026Projecte de llei C-36Presentat; en segona lectura el 31 d'octubre de 2026.
Fites amb data per a la verificació biomètrica de la identitat al Quebec i al Canadà.[6][8][10][14][17]
Què diu la Law 25 del Quebec sobre la verificació biomètrica de la identitat
La Law 25 va modificar diverses lleis. Les seves normes sobre biometria són als articles 44 i 45 de la Act to establish a legal framework for information technology (CQLR c. C-1.1; en francès, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).[1] L'article 44 és el que activa un flux de verificació de la identitat.
Article 44Act to establish a legal framework for information technology
«No es pot verificar ni confirmar la identitat d'una persona mitjançant un procediment que permeti utilitzar després característiques o mesures biomètriques, tret que aquesta verificació o confirmació s'hagi comunicat prèviament a la Commission d’accès à l’information i amb el consentiment exprés de la persona afectada.»
Font: LégisQuébec, CQLR c. C-1.1[1]
El text francès, que és igualment oficial, comença amb una prohibició: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Ningú no pot exigir que la identitat es verifiqui amb un procediment biomètric sense haver-ho comunicat abans a la CAI i sense el consentiment exprés de la persona.)[2] La pàgina de la mateixa CAI va més enllà: afirma que està prohibit exigir la verificació biomètrica de la identitat i que cal oferir un altre mitjà quan una persona no hi consent.[5]
Després, l'article 44 afegeix tres límits que condicionen el producte:
- Dades mínimes: només les característiques necessàries per vincular la persona amb l'acte, recollides amb el coneixement de la persona.[1]
- Cap altre ús: res més que revelin les dades biomètriques no es pot utilitzar per prendre una decisió sobre la persona ni per a cap altra finalitat.[1]
- Destrucció: «El registre de les característiques o mesures i qualsevol anotació relativa a aquest registre s'han de destruir tan aviat com s'hagi complert la finalitat de la verificació o confirmació de la identitat o deixi d'existir el motiu de la verificació o confirmació.»[1]
Una comparació 1:1 amb selfie hi entra
La guia de la CAI cobreix les dues finalitats: la identificació, que cerca en una base de dades entre moltes identitats, i l'autenticació, que valida una identitat amb una comparació «un contra un» amb les dades biomètriques d'una persona coneguda.[6] La guia també afirma que un codi, una plantilla o un model derivat d'una imatge per un algoritme també és informació biomètrica.[6] El febrer de 2025 la CAI va concloure que el projecte de reconeixement facial d'un comerç minorista era una verificació de la identitat per mitjans biomètrics, que requereix consentiment exprés d'acord amb la Llei.[11]
Atenció
El consentiment no n'hi ha prou per si sol. La CAI escriu que, fins i tot amb consentiment, la recollida ha de superar la prova de necessitat, i que la utilitat i la comoditat no justifiquen recollir dades biomètriques.[5] Documenteu per què cal una comparació facial i quines opcions menys intrusives heu considerat.
Declaració de l'article 44 o base de dades de l'article 45
L'article 45 s'aplica a una base de dades biomètrica, per exemple imatges facials o plantilles emmagatzemades.[1]
Tota verificació biomètrica
Declaració de l'article 44
- Comunicar el procediment a la CAI abans d'utilitzar-lo
- Obtenir el consentiment exprés de cada persona
- Destruir el registre biomètric quan s'hagi complert la finalitat
art. 44, CQLR c. C-1.1
Si es crea una base de dades biomètrica
Base de dades de l'article 45
- Comunicar-ho sense demora, i almenys 60 dies abans de la posada en marxa
- La CAI pot fixar normes sobre l'ús, la conservació i la destrucció
- La CAI pot suspendre, prohibir o ordenar la destrucció
art. 45, CQLR c. C-1.1
Aquestes facultats s'utilitzen: la primera ordre de la CAI en virtut de l'article 45, el febrer de 2025, va prohibir la base de dades de reconeixement facial d'un comerç minorista.[11]
Què demana el formulari de declaració de la CAI i què heu d'obtenir del vostre proveïdor
L'empresa que verifica la identitat fa la declaració mitjançant el formulari en línia de la CAI, i tots els camps són obligatoris.[5][7] A la pràctica, moltes de les respostes tracten sobre el sistema del proveïdor. Demaneu-les abans de signar.
| Pregunta del formulari de la CAI | Què demana | Què heu d'obtenir del proveïdor |
|---|---|---|
| Q7, Q8 | Data prevista de posada en marxa; model o nom del producte i proveïdor, amb la guia d'usuari adjunta[7] | Nom del producte, la documentació que podeu adjuntar |
| Q9, Q11 | Com funciona el sistema; quines característiques es capturen, per exemple la forma de la cara[7] | Una descripció clara de la captura, la prova de vida i la comparació 1:1 |
| Q14 | Si es crea una base de dades biomètrica[7] | Si les imatges o les plantilles es desen en una base de dades, i durant quant de temps |
| Q16, Q17 | Mitjans menys intrusius considerats i el problema documentat[7] | Les vostres pròpies dades de frau; les opcions no biomètriques del proveïdor |
| Q20 | Format d'emmagatzematge: imatges en brut, una plantilla irreversible o res conservat[7] | Què es desa, en quin format i el termini de conservació per defecte |
| Q22 | On s'allotja una base de dades central: al Quebec, a una altra part del Canadà o a l'estranger[7] | Països d'allotjament de les dades i de cada subencarregat |
| Q23 | Quan es destrueixen les dades biomètriques i les notes[7] | Fets que activen la supressió, còpies de seguretat incloses |
| Q24 a Q26 | Consentiment exprés, la seva forma, retirada en qualsevol moment, un altre mitjà d'identificació[7] | Una pantalla de consentiment, el seu registre i una via no biomètrica |
| Q27, Q28 | Qui pot accedir a les dades, inclòs el personal del proveïdor; mesures de seguretat[7] | Rols d'accés, xifratge, informes d'auditoria |
Adjunteu el manual d'usuari, el formulari de consentiment, l'acord per a les dades enviades fora del Quebec i l'avaluació d'impacte relativa a la privadesa (en francès, évaluation des facteurs relatifs à la vie privée, EFVP).[7]
Consentiment exprés i l'alternativa no biomètrica
L'article 12 de la llei del sector privat diu que el consentiment «s'ha de donar expressament quan es refereix a informació personal sensible», i esmenta la naturalesa biomètrica entre els motius pels quals una informació és sensible.[3][4] Per a la biometria, la CAI diu que un consentiment vàlid és manifest i exprés, lliure, informat, específic i limitat en el temps.[5] La CAI publica un model de formulari de consentiment per adaptar-lo al vostre sistema.[5]
La segona meitat de la norma és la que els equips de producte passen per alt. Com que la persona ha de poder negar-se o retirar el consentiment lliurement, la CAI indica que cal oferir una altra solució.[5] El regulador federal diu el mateix per als usos no essencials: "heu d'oferir a les persones altres mitjans d'accés o de participació" i no s'ha d'obstaculitzar l'accés a aquests mitjans.[15]
1Expliqueu la verificació abans de qualsevol captura
Finalitat, què es captura, conservació, on van les dades, l'alternativa.
La persona dona el consentiment exprés a la comparació facial
Document, prova de vida i comparació 1:1
Registreu el consentiment. Destruïu les dades biomètriques quan s'hagi complert la finalitat.
Via no biomètrica
Per exemple, una consulta a una base de dades o un document revisat per una persona, sense captura facial.
2Decidiu, amb una persona que pugui revisar
Informeu els usuaris de les decisions totalment automatitzades i permeteu-los ser escoltats (art. 12.1).
Un flux de verificació amb el consentiment primer per als usuaris del Quebec. L'alternativa no pot ser un atzucac.[3][5]
L'article 12.1 afegeix que, quan una decisió es basa exclusivament en un tractament automatitzat, cal informar-ne la persona i permetre-li presentar observacions a un membre del personal que la pugui revisar.[3]
Article 17: l'avaluació d'impacte sobre la privadesa abans que les dades surtin del Quebec
Article 17Act respecting the protection of personal information in the private sector
"Abans de comunicar informació personal fora del Québec, qui explota una empresa ha de dur a terme una avaluació d'impacte sobre la privadesa."
Font: LégisQuébec, CQLR c. P-39.1[3]
L'avaluació ha de ponderar la sensibilitat de les dades, la seva finalitat, les mesures de protecció, inclosos els contractes, i el marc jurídic del destí.[3] Les dades només poden sortir si l'avaluació demostra una protecció adequada, i la transferència "ha de ser objecte d'un acord escrit" que reflecteixi l'avaluació.[3] El mateix s'aplica quan una persona o un organisme de fora del Quebec recull, utilitza, comunica o conserva les dades per compte vostre, que és el cas del proveïdor.[3] Segons la nostra lectura, "fora del Quebec" inclou les altres províncies canadenques: el text no s'atura a la frontera del Canadà.[3]
L'article 3.3 exigeix una avaluació d'impacte sobre la privadesa per a qualsevol projecte d'adquisició o de reforma d'un sistema d'informació, de manera que un proveïdor nou en necessita una fins i tot dins del Quebec.[3] L'article 18.3 exigeix un contracte escrit que limiti el proveïdor al mandat i li impedeixi conservar les dades després.[3]
Abans de la posada en marxa: avaluació d'impacte (PIA), declaració de l'art. 44, acord escrit
Prova de vida i comparació 1:1
On se situa cada obligació de la Law 25 en una verificació amb un proveïdor.[1][3]
Prepareu les respostes sobre el proveïdor amb Didit
La documentació de Didit cobreix el pas de consentiment, la conservació, la supressió i la regió de tractament que pregunta el formulari de la CAI. Parleu amb nosaltres abans de triar un proveïdor de verificació.
Sancions previstes per la Law 25
Recollir, utilitzar, conservar o destruir informació personal en contra de la llei pot comportar una sanció administrativa de la CAI o una multa penal.[3][9]
| Instrument | Màxim per a una empresa | Secció |
|---|---|---|
| Sanció administrativa pecuniària | CAD 10,000,000 o, si és superior, el 2% de la facturació mundial de l'exercici fiscal anterior[3] | s. 90.12 |
| Multa penal | De CAD 15,000 a CAD 25,000,000, o el 4% de la facturació mundial si és superior[3] | s. 91 |
| Reincidència | Les multes penals es dupliquen[3] | s. 92.1 |
Què ha decidit la CAI sobre el reconeixement facial
| Decisió | Fets | Resultat |
|---|---|---|
| Empresa ocupadora, setembre de 2024 | Reconeixement facial per a l'accés a l'edifici; l'empresa ocupadora tenia el consentiment i havia declarat la base de dades, segons Osler[13] | Ordre d'aturar-ho: la recollida no complia els requisits de la llei, segons Osler[13] |
| Metro Inc., 18 de febrer de 2025 | Base de dades prevista de rostres de persones vinculades a furts en botigues o a fraus, declarada el 6 de setembre de 2024[10][11] | Base de dades prohibida; la verificació de la identitat per biometria requereix consentiment exprés; primera ordre en virtut de la s. 45[11] |
| Metro Inc., 1 d'abril de 2026 | Prova pilot en fins a deu botigues, cap plantilla conservada si no hi ha coincidència, conservació de 18 mesos, segons Ogletree[12] | Recollida considerada "necessària"; informes semestrals durant dos anys; la decisió sobre el consentiment continua recorreguda, segons Ogletree[12] |
Lliçó per a la selecció de proveïdors
Segons el relat d'Ogletree sobre la decisió de 2026, un proveïdor va dir que "no tenia ni idea" de com el sistema crea les signatures facials, i un altre no va poder donar taxes d'error perquè l'algorisme pertanyia a un tercer.[12] Pregunteu al vostre proveïdor com funciona la seva comparació i com mesura els errors abans de presentar la declaració a la CAI.
Context a tot el Canadà: PIPEDA, les orientacions de l'OPC i el Bill C-36
Les comprovacions d'edat amb el rostre també compten com a biometria; la nostra guia sobre la verificació de l'edat al Canadà tracta aquest cas.
Fora del Quebec, la biometria del sector privat es regeix per la llei federal Personal Information Protection and Electronic Documents Act (PIPEDA) a la majoria de províncies. L'11 d'agost de 2025, l'Office of the Privacy Commissioner of Canada (OPC) va publicar les seves orientacions sobre biometria, que s'alineen amb les normes del Quebec.[14]
| Tema | Orientacions de l'OPC, 11 d'agost de 2025 | Quebec |
|---|---|---|
| Verificació 1:1 | Una comparació «un a un». Cal preferir-la a la identificació sempre que sigui possible[15] | Inclosa com a autenticació[6] |
| Consentiment | Consentiment exprés com a regla general per a la biometria sensible, plantilles incloses[15] | Consentiment exprés obligatori (art. 44)[1] |
| Alternativa | Obligatòria per als usos no essencials[15] | Obligatòria si la persona s'hi nega[5] |
| Supressió | De tots els llocs, inclosos l'emmagatzematge al núvol i les còpies de seguretat, i també a tercers[15] | Totes les còpies, també a qualsevol proveïdor amb accés[6] |
| Exactitud | Cal fer proves en diversos grups demogràfics. No n'hi ha prou amb les afirmacions del proveïdor[15] | Taxes d'error examinades a Metro 2026, segons Ogletree[12] |
| Transparència | Cal indicar on s'emmagatzemen les dades biomètriques i identificar o descriure els proveïdors de serveis[15] | Formulari de la CAI, Q22 i Q27[7] |
Pel que fa al tractament transfronterer, la PIPEDA funciona de manera diferent de l'article 17. Les directrius de l'OPC indiquen que «la PIPEDA no prohibeix que les organitzacions del Canadà transfereixin informació personal a una organització d'una altra jurisdicció perquè la tracti», però l'organització continua sent responsable i ha d'utilitzar contractes o altres mitjans per garantir «un nivell de protecció comparable».[16]
El projecte de llei C-36, que promulgaria la Protecting Privacy and Consumer Data Act i modificaria la PIPEDA, es va presentar i llegir per primera vegada el 15 de juny de 2026 i, a 31 d'octubre de 2026, és en segona lectura a la House of Commons, segons LEGISinfo.[17] És un projecte de llei, no una llei. En la versió presentada, el seu article 57(1) exigiria una avaluació d'impacte sobre la privacitat i mesures de mitigació del risc abans de comunicar o transferir informació personal fora del Canadà, i la sanció màxima per les infraccions d'una mateixa investigació seria la més alta entre CAD 10 milions i el 3% dels ingressos bruts mundials.[18] També qualifica de sensible la informació biomètrica capaç d'identificar una persona de manera única.[18]
Residència de dades del sector públic a la Colúmbia Britànica, Nova Escòcia, Ontàrio i Alberta
Els organismes públics segueixen lleis provincials, que motiven moltes de les preguntes sobre residència de dades en les licitacions. Empreses de pagaments i de criptoactius: vegeu KYC per a empreses de serveis monetaris i criptoactius al Canadà.
| Província | Norma per als organismes públics | Efecte per a un proveïdor de verificació d'identitat |
|---|---|---|
| Colúmbia Britànica | La residència estricta es va suprimir el 25 de novembre de 2021. Emmagatzemar dades sensibles fora del Canadà exigeix una avaluació addicional a l'avaluació d'impacte en la privadesa (PIA) i una decisió basada en el risc[19] | És possible després de l'avaluació. Les orientacions esmenten les dades biomètriques com a dades habitualment sensibles[19] |
| Nova Scotia | PIIDPA: les dades en mans d'organismes públics i dels seus proveïdors de serveis es queden al Canadà i només s'hi accedeix des del Canadà, llevat que el responsable ho consideri necessari i n'informi[20] | L'emmagatzematge i l'accés des de l'estranger necessiten l'excepció. Segons David Fraser, una llei del 2025 substituirà la PIIDPA per normes fixades per reglament[21] |
| Ontario | Avaluacions d'impacte en la privadesa obligatòries abans de recollir informació personal en virtut de la FIPPA des de l'1 de juliol de 2025[22] | No hi ha cap norma de residència a la llista de canvis de l'IPC. Cal esperar preguntes sobre la PIA |
| Alberta | Protection of Privacy Act en vigor des de l'11 de juny de 2025. Programes de gestió de la privadesa obligatoris a partir de l'11 de juny de 2026[23] | Cal esperar que es demani la PIA i proves del programa |
La residència al Canadà no elimina l'avaluació de l'article 17 del Quebec quan les dades surten del Quebec cap a una altra província.[3]
Llista de comprovació aquest mes per a la verificació biomètrica sota la Law 25 del Quebec
Presenteu la declaració a la CAI abans que la comparació facial entri en funcionament per als usuaris del Quebec.[1]
- Enumereu tots els fluxos que capturen i comparen una cara, inclosa la recuperació del compte.
- Deixeu per escrit el problema que resol la comparació facial, amb les vostres pròpies dades de frau, i les opcions menys intrusives que heu provat.[5]
- Comproveu si les imatges o plantilles emmagatzemades formen una base de dades biomètrica. Si és així, comuniqueu-ho sense demora i com a mínim 60 dies abans de fer-la servir.[1]
- Feu les avaluacions de l'article 3.3 i de l'article 17, i signeu un acord per escrit amb el proveïdor.[3]
- Creeu una pantalla de consentiment exprés en francès i en anglès, i conserveu un registre de cada consentiment.[5]
- Oferiu una via no biomètrica que funcioni per a les persones que refusin o retirin el consentiment.[5]
- Fixeu la conservació perquè les dades biomètriques es destrueixin un cop complerta la finalitat, al proveïdor i a les còpies de seguretat.[1][15]
- Adreceu les comparacions fallides a una persona que les pugui revisar, i informeu els usuaris de les decisions automatitzades.[3][15]
- Presenteu la declaració a la CAI amb el manual, el formulari de consentiment, l'acord i l'avaluació adjunts.[7]
Preguntes sobre residència per als proveïdors:
- Pregunteu on es tracten i s'emmagatzemen les dades per defecte, i si hi ha una altra regió disponible per contracte.
- Demaneu la llista completa de subencarregats amb el país de cadascun.
- Pregunteu si personal de fora del Canadà pot accedir a les dades de producció.
- Demaneu el mètode de proves demogràfiques del proveïdor i les mesures d'error.[15]
Entitats obligades per la normativa federal contra el blanqueig de capitals: la nostra guia sobre la verificació d'identitat de FINTRAC el 2026 cobreix aquesta part. Avalueu per separat les obligacions de privadesa del Quebec.
Com ajuda Didit
La verificació de documents d'identitat i la prova de vida de Didit funcionen en un sol flux: es llegeix el document i se'n comprova la manipulació, després una prova de vida passiva, una d'acció 3D o una amb flaixos confirma que hi ha una persona viva, i una comparació facial 1:1 compara la selfie amb la foto del document.[24][25][34] Les plantilles facials no es conserven després d'eliminar una sessió, tret que activeu la conservació de plantilles amb un nombre de dies determinat.[27]
Didit proporciona
- Un pas de consentiment biomètric abans de la primera captura facial, que es mostra a tothom en el mode "Always", amb la resposta desada a la sessió[26]
- Conservació d'1 mes a 10 anys, eliminació de sessions des de la consola o per API i una instrucció d'esborrament per privadesa que purga les plantilles conservades[27][28]
- Tractament a la UE per defecte; tractament al país en el pla Enterprise, segons disponibilitat i contracte[27]
- Un flux de verificació en francès, revisió manual de les sessions marcades i una comprovació de dades de capçalera de crèdit d'una agència de crèdit al Canadà[31][32][33]
- SOC 2 Type 2, ISO/IEC 27001:2022 i detecció d'atacs de presentació iBeta Level 1[30]
Queda al vostre càrrec
- L'anàlisi de necessitat i la declaració a la CAI
- Les avaluacions d'impacte en la privadesa previstes als articles 3.3 i 17
- El text del consentiment i l'alternativa no biomètrica
- La decisió final i la revisió dels resultats impugnats
Didit actua com a encarregat del tractament; vosaltres continueu sent el responsable del tractament.[29] La validació en bases de dades, inclosa la comprovació amb l'agència de crèdit canadenca, és una comprovació no biomètrica que podeu avaluar per a la vostra via alternativa: vegeu validació en bases de dades, cribratge AML i preus.[33]
Creeu una comparació facial amb consentiment previ per al Quebec
Document, prova de vida i comparació facial en un sol flux, amb un pas de consentiment i una eliminació que controleu vosaltres.
Punts clau
- Una comparació facial entre selfie i document d'identitat és una verificació biomètrica de la identitat segons l'article 44: declareu-la a la CAI i obteniu el consentiment exprés.
- La CAI diu que no es pot exigir la verificació biomètrica: oferiu una via no biomètrica a qualsevol persona que no hi consenti.
- Una base de dades biomètrica d'imatges o plantilles facials emmagatzemades s'ha de declarar sense demora i com a mínim 60 dies abans de posar-la en servei.
- Un proveïdor de fora del Quebec, també d'altres llocs del Canadà, requereix una avaluació segons l'article 17 i un acord per escrit.
- El Bill C-36 és en segona lectura; la PIPEDA i les orientacions de l'OPC de l'11 d'agost de 2025 s'apliquen avui.
Preguntes freqüents
Puc fer servir una selfie i una comparació facial per al KYC al Quebec?
Sí, amb condicions. L'article 44 de la IT Framework Act del Quebec només permet la verificació biomètrica de la identitat si el procés s'ha comunicat prèviament a la CAI i la persona dona el seu consentiment exprés. La guia de la CAI inclou la comparació 1:1.[1][6]
He de declarar la verificació biomètrica de la identitat a la CAI?
Sí. L'article 44 exigeix que el procés de verificació es comuniqui a la Commission d’accès à l’information abans d'utilitzar-lo. La CAI rep les declaracions mitjançant un formulari en línia, i tots els camps són obligatoris.[1][5][7]
Què és la regla dels 60 dies al Quebec per a la biometria?
L'article 45 exigeix que la creació d'una base de dades de característiques biomètriques es comuniqui a la CAI sense demora i com a molt tard 60 dies abans de posar-la en servei, per exemple imatges o plantilles facials emmagatzemades que serveixen per reconèixer usuaris que tornen.[1]
Una empresa pot obligar els usuaris a verificar-se amb una selfie al Quebec?
No sense una declaració prèvia a la CAI i el consentiment exprés de la persona, segons el text oficial francès de l'article 44. La pàgina de la CAI va més enllà: està prohibit exigir la verificació biomètrica i s'ha d'oferir un altre mitjà a les persones que no hi consenten.[2][5]
Les dades biomètriques poden sortir del Quebec cap a un proveïdor de verificació de la identitat?
Sí, després que una avaluació d'impacte en la privadesa de l'article 17 demostri una protecció adequada i se signi un acord per escrit, també quan un proveïdor de fora del Quebec recull o conserva les dades per compte vostre.[3]
Quines són les sancions de la Law 25 del Quebec?
Les sancions administratives pecuniàries arriben a CAD 10 milions o el 2% de la facturació mundial, l'import que sigui més alt. Les multes penals arriben a CAD 25 milions o el 4%, i es dupliquen en cas d'una infracció posterior.[3]
Què va decidir la CAI sobre Metro i el reconeixement facial?
El 18 de febrer de 2025 la CAI va prohibir la base de dades biomètriques de Metro, perquè va considerar que el projecte era una verificació de la identitat que requeria consentiment exprés. Segons Ogletree, una decisió de l'1 d'abril de 2026 va considerar necessari el pilot, mentre que la resolució sobre el consentiment és objecte de recurs.[11][12]
Què exigeixen a les empreses les orientacions de l'OPC sobre biometria?
Les orientacions de l'OPC de l'11 d'agost de 2025 demanen el consentiment exprés com a regla general, una alternativa per als usos no essencials, la supressió de les dades de tots els llocs, incloses les còpies de seguretat, i proves en diferents grups demogràfics.[15]
El projecte de llei C-36 és llei al Canadà?
No. El projecte de llei C-36 es va presentar el 15 de juny de 2026 i és en segona lectura a la House of Commons a 31 d'octubre de 2026. Tal com es va presentar, exigiria una avaluació d'impacte en la privadesa abans de transferir informació personal fora del Canadà.[17][18]
El Canadà exigeix que les dades de verificació de la identitat s'emmagatzemin al Canadà?
No per a les empreses privades subjectes a la PIPEDA, que permet les transferències amb una protecció comparable. La PIIDPA de Nova Escòcia exigeix que els organismes públics i els seus proveïdors de serveis conservin les dades al Canadà, tret que s'apliqui una excepció.[16][20]
Fonts
- Act to establish a legal framework for information technology, CQLR c. C-1.1, articles 44 i 45, LégisQuébec, versió consolidada a 29 d'octubre de 2026.
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
- Biométrie, Commission d’accès à l’information du Québec.
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 de setembre de 2022.
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 de setembre de 2023.
- Principaux changements apportés par la Loi 25, CAI.
- Décision, dossier 1037199-S, Metro Inc., CAI, 18 de febrer de 2025.
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 de juliol de 2026.
- Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
- Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 d'agost de 2025.
- Guidance for processing biometrics, for businesses, OPC, 11 d'agost de 2025.
- Guidelines for processing personal data across borders, OPC, 2009.
- Projecte de llei C-36, 45è Parlament, 1a sessió, LEGISinfo, consultat el 31 d'octubre de 2026.
- Projecte de llei C-36, text de primera lectura, Parlament del Canadà, 15 de juny de 2026.
- Guidance on disclosures outside of Canada, Govern de la Colúmbia Britànica, actualitzat el 13 de febrer de 2025.
- Personal Information International Disclosure Protection Act, preguntes i respostes, Govern de Nova Escòcia.
- Nova Scotia's new Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 9 de novembre de 2025.
- Actualitzacions de FIPPA i MFIPPA, Information and Privacy Commissioner of Ontario.
- Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
- Comparació facial (1:1), documentació de Didit.
- Detecció de vida, documentació de Didit.
- Consentiment biomètric, documentació de Didit.
- Conservació i supressió de dades, documentació de Didit.
- Suprimir una sessió, documentació de Didit.
- Seguretat i compliment normatiu, documentació de Didit.
- Certificacions, documentació de Didit.
- Idiomes compatibles, documentació de Didit.
- Revisió manual, documentació de Didit.
- Verificació amb agència de crèdit del Canadà (FINTRAC), documentació de Didit.
- Verificació de documents d'identitat, documentació de Didit.
A continuació: verificació de la identitat al Canadà, la nostra guia de FINTRAC i la pàgina de verificació de documents d'identitat.
Verifiqueu els usuaris del Quebec amb un pas de consentiment
Activeu el pas de consentiment i separeu la supressió de les dades biomètriques de la resta de proves.
Articles relacionats
- Verificació d'edat al Canadà: S-209, C-34 i què cal fer ara
- Requisits KYC de FINTRAC per a MSB de criptoactius i pagaments (2026)
- Quebec Law 25 and biometrics: identity verification guide (2026)
- FINTRAC identity verification in 2026: methods, rules, C-12
- The Binance breach shows the gap: a key proves a device, not a person
- AI labs are buying human data. Fraud rings are selling it.