Ley 25 de Quebec y biometría: guía de verificación de identidad (2026)
Ley 25 de Quebec y KYC biométrico: declaración a la CAI (art. 44) y consentimiento expreso, bases de datos (art. 45), evaluación de proveedores (art. 17), sanciones, decisiones de la CAI, guía de la OPC y checklist de compra.
En resumen
Según la Law 25 de Quebec, una empresa que verifica la identidad con biometría facial, como un selfie cotejado con la foto de un documento de identidad, debe informar antes a la Commission d’accès à l’information (CAI, la autoridad de protección de datos de Quebec) y obtener el consentimiento expreso de la persona.[1][5] El artículo 44 de la IT Framework Act de Quebec fija esa regla. La CAI indica que hay que ofrecer una opción no biométrica a quien se niegue.[1][5]
- Una base de datos biométrica debe declararse con prontitud y al menos 60 días antes de su puesta en marcha (art. 45).[1]
- Enviar los datos a un proveedor fuera de Quebec exige antes una evaluación de impacto en la privacidad y un acuerdo por escrito (art. 17).[3]
- Las sanciones alcanzan CAD 10 millones o el 2% de la facturación mundial (administrativas) y CAD 25 millones o el 4% (penales).[3]
La Law 25 de Quebec (Bill 64 antes de su aprobación) es la ley de 2021 que modernizó la normativa de privacidad de Quebec. Sus reglas biométricas alcanzan las verificaciones de identidad en línea que comparan un selfie en vivo con la foto de un documento de identidad.[8][6] Para una empresa sujeta a estas reglas, un cotejo facial es un proceso declarado y basado en el consentimiento, con su propia regla de supresión y, cuando los datos salen de la provincia, una evaluación de impacto en la privacidad.[1][3]
Esta guía analiza los textos oficiales artículo por artículo, incluida la Act respecting the protection of personal information in the private sector (Ley sobre la protección de la información personal en el sector privado), el formulario de declaración de la CAI, sus resoluciones desde 2024, la guía federal del 11 de agosto de 2025, el proyecto de ley C-36 y las normas del sector público de cuatro provincias. Termina con una lista de comprobación para este mes (y nuestra página sobre Canadá).
Cómo crear un flujo de alta para Quebec
Didit ejecuta la verificación de documentos, la prueba de vida y un cotejo facial 1:1 en un solo flujo, con un paso de consentimiento, ajustes de conservación y una supresión que usted controla. Empiece gratis o hable con nosotros sobre sus usuarios de Quebec.
La Law 25 de Quebec y la biometría, de un vistazo
| Pregunta | Respuesta breve |
|---|---|
| Qué ley | Artículos 44 y 45 de la IT Framework Act (CQLR c. C-1.1), modificada por la Law 25 (S.Q. 2021, c. 25)[1] |
| En vigor desde | Septiembre de 2022 para los cambios biométricos, según la guía de biometría de la CAI; la mayoría de las demás obligaciones de la Law 25, desde el 22 de septiembre de 2023[6][8] |
| ¿Cuenta un cotejo entre selfie y documento? | Sí: la CAI trata igual la autenticación 1:1 y la identificación 1:N[6] |
| Si la persona se niega | Ofrecer otra forma de verificación; no se puede exigir la biometría[2][5] |
| Proveedor fuera de Quebec | Evaluación de impacto en la privacidad y acuerdo por escrito antes de la transferencia (art. 17)[3] |
| Ley federal | PIPEDA, interpretada junto con la guía de biometría de la OPC del 11 de agosto de 2025; el proyecto de ley C-36 está en segunda lectura[14][15][17] |
- sept. 2022Modificación de los art. 44-45Entran en vigor los cambios biométricos de la Law 25; se actualiza la guía de la CAI.
- 22 sept. 2023La mayoría de las obligacionesEvaluación de impacto en la privacidad antes de que los datos salgan de Quebec, consentimiento expreso para datos sensibles.
- 18 feb. 2025Resolución MetroPrimera resolución de la CAI conforme al art. 45: se prohíbe una base de datos biométrica.
- 11 ago. 2025Guía de la OPCGuía federal sobre biometría para empresas.
- 15 jun. 2026Proyecto de ley C-36Presentado; en segunda lectura el 31 de octubre de 2026.
Hitos fechados de la verificación biométrica de la identidad en Quebec y Canadá.[6][8][10][14][17]
Qué dice la Law 25 de Quebec sobre la verificación biométrica de la identidad
La Law 25 modificó varias leyes. Sus normas sobre biometría están en los artículos 44 y 45 de la Act to establish a legal framework for information technology (CQLR c. C-1.1; en francés, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).[1] El artículo 44 es el que activa un flujo de verificación de identidad.
Artículo 44Act to establish a legal framework for information technology (Ley por la que se establece un marco jurídico para las tecnologías de la información)
"No podrá verificarse ni confirmarse la identidad de una persona mediante un procedimiento que permita utilizar después características o mediciones biométricas, salvo que dicha verificación o confirmación se haya comunicado previamente a la Commission d’accès à l’information y con el consentimiento expreso de la persona afectada."
Fuente: LégisQuébec, CQLR c. C-1.1[1]
El texto en francés, igualmente oficial, empieza con una prohibición: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Nadie puede exigir que la identidad se verifique mediante un procedimiento biométrico sin comunicarlo antes a la CAI y sin el consentimiento expreso de la persona.)[2] La propia página de la CAI va más allá: afirma que exigir la verificación biométrica de la identidad está prohibido y que debe ofrecerse otro medio cuando la persona no da su consentimiento.[5]
El artículo 44 añade después tres límites que condicionan el producto:
- Datos mínimos: solo las características necesarias para vincular a la persona con el acto, recogidas con conocimiento de la persona.[1]
- Ningún otro uso: nada más de lo que revelen los datos biométricos puede usarse para tomar una decisión sobre la persona ni para ningún otro fin.[1]
- Destrucción: "El registro de las características o mediciones y cualquier anotación relativa a ellas debe destruirse en cuanto se haya cumplido la finalidad de la verificación o confirmación de la identidad o haya dejado de existir el motivo de la verificación o confirmación."[1]
Una comparación 1:1 con selfie cuenta
La guía de la CAI cubre las dos finalidades: la identificación, que busca en una base de datos entre muchas identidades, y la autenticación, que valida una identidad mediante una comparación "uno a uno" con los datos biométricos de una persona conocida.[6] La guía también indica que un código, plantilla o modelo derivado de una imagen mediante un algoritmo es asimismo información biométrica.[6] En febrero de 2025 la CAI concluyó que el proyecto de reconocimiento facial de un minorista era una verificación de identidad por medios biométricos, que exige consentimiento expreso conforme a la ley.[11]
Atención
El consentimiento no basta por sí solo. La CAI señala que, incluso con consentimiento, la recogida debe superar el criterio de necesidad, y que la utilidad y la comodidad no justifican recoger datos biométricos.[5] Documente por qué es necesaria una comparación facial y qué opciones menos intrusivas valoró.
Declaración del artículo 44 o base de datos del artículo 45
El artículo 45 se aplica a una base de datos biométrica, por ejemplo imágenes faciales o plantillas almacenadas.[1]
Toda verificación biométrica
Declaración del artículo 44
- Comunicar el procedimiento a la CAI antes de usarlo
- Obtener el consentimiento expreso de cada persona
- Destruir el registro biométrico cuando se cumpla la finalidad
art. 44, CQLR c. C-1.1
Si se crea una base de datos biométrica
Base de datos del artículo 45
- Comunicarla con prontitud y al menos 60 días antes de la puesta en marcha
- La CAI puede fijar normas sobre uso, conservación y destrucción
- La CAI puede suspender, prohibir u ordenar la destrucción
art. 45, CQLR c. C-1.1
Estas facultades se ejercen: la primera orden de la CAI en virtud del artículo 45, en febrero de 2025, prohibió la base de datos de reconocimiento facial de un minorista.[11]
Qué pregunta el formulario de declaración de la CAI y qué debe obtener de su proveedor
La empresa que verifica la identidad presenta la declaración a través del formulario en línea de la CAI, y todos los campos son obligatorios.[5][7] En la práctica, muchas de las respuestas se refieren al sistema del proveedor, así que pídalas antes de firmar.
| Pregunta del formulario de la CAI | Qué pregunta | Qué obtener del proveedor |
|---|---|---|
| Q7, Q8 | Fecha prevista de puesta en marcha; nombre del modelo o producto y proveedor, con la guía de usuario adjunta[7] | Nombre del producto y la documentación que puede adjuntar |
| Q9, Q11 | Cómo funciona el sistema; qué características se capturan, por ejemplo la forma del rostro[7] | Una descripción sencilla de la captura, la prueba de vida y la comparación 1:1 |
| Q14 | Si se crea una base de datos biométrica[7] | Si las imágenes o plantillas se almacenan en una base de datos, y durante cuánto tiempo |
| Q16, Q17 | Medios menos intrusivos considerados y el problema documentado[7] | Sus propios datos de fraude; las opciones no biométricas del proveedor |
| Q20 | Formato de almacenamiento: imágenes en bruto, una plantilla irreversible o nada conservado[7] | Qué se almacena, en qué formato y el plazo de conservación por defecto |
| Q22 | Dónde se aloja una base de datos central: en Quebec, en otro lugar de Canadá o en el extranjero[7] | Países de alojamiento de los datos y de cada subencargado del tratamiento |
| Q23 | Cuándo se destruyen los datos biométricos y las notas[7] | Supuestos que activan la eliminación, copias de seguridad incluidas |
| Q24 a Q26 | Consentimiento expreso, su forma, retirada en cualquier momento, otro medio de identificación[7] | Una pantalla de consentimiento, su registro y una vía no biométrica |
| Q27, Q28 | Quién puede acceder a los datos, incluido el personal del proveedor; medidas de seguridad[7] | Roles de acceso, cifrado, informes de auditoría |
Adjunte el manual de usuario, el formulario de consentimiento, el acuerdo para los datos enviados fuera de Quebec y la evaluación de impacto en la privacidad (en francés, évaluation des facteurs relatifs à la vie privée, EFVP).[7]
Consentimiento expreso y la alternativa no biométrica
El artículo 12 de la Ley del sector privado establece que el consentimiento "debe otorgarse de forma expresa cuando se refiere a información personal sensible", y cita la naturaleza biométrica entre los motivos por los que una información es sensible.[3][4] Para la biometría, la CAI indica que el consentimiento válido es manifiesto y expreso, libre, informado, específico y limitado en el tiempo.[5] La CAI publica un modelo de formulario de consentimiento para adaptarlo a su sistema.[5]
La segunda mitad de la norma es la que los equipos de producto pasan por alto. Como la persona debe poder negarse o retirar su consentimiento, la CAI indica que debe ofrecerse otra solución.[5] El regulador federal dice lo mismo para los usos no esenciales: "debe ofrecer a las personas otros medios de acceso o participación" y no debe obstaculizar el acceso a ellos.[15]
1Explicar la verificación antes de cualquier captura
Finalidad, qué se captura, conservación, adónde van los datos, la alternativa.
La persona da su consentimiento expreso al cotejo facial
Documento, prueba de vida y cotejo 1:1
Registrar el consentimiento; destruir los datos biométricos cuando se cumpla la finalidad.
Vía no biométrica
Por ejemplo, una consulta a una base de datos o un documento revisado por una persona, sin captura facial.
2Decidir, con una persona capaz de revisar
Informar a los usuarios de las decisiones totalmente automatizadas y permitirles ser oídos (art. 12.1).
Un flujo de verificación con el consentimiento primero para usuarios de Quebec. La alternativa no debe ser un callejón sin salida.[3][5]
El artículo 12.1 añade que, cuando una decisión se basa exclusivamente en un tratamiento automatizado, hay que informar a la persona y permitirle presentar observaciones a un miembro del personal que pueda revisarla.[3]
Artículo 17: la evaluación de impacto en la privacidad antes de que los datos salgan de Quebec
Artículo 17Act respecting the protection of personal information in the private sector (Ley sobre la protección de la información personal en el sector privado)
"Antes de comunicar información personal fuera de Québec, la persona que explota una empresa debe realizar una evaluación de impacto en la privacidad."
Fuente: LégisQuébec, CQLR c. P-39.1[3]
La evaluación debe ponderar la sensibilidad de los datos, su finalidad, las medidas de protección, contratos incluidos, y el marco jurídico del destino.[3] Los datos solo pueden salir si la evaluación muestra una protección adecuada, y la transferencia "debe ser objeto de un acuerdo escrito" que refleje la evaluación.[3] Lo mismo se aplica cuando una persona u organismo fuera de Quebec recoge, utiliza, comunica o conserva los datos por cuenta de usted, que es el caso del proveedor.[3] En nuestra lectura, "fuera de Québec" incluye las demás provincias canadienses: el texto no se detiene en la frontera de Canadá.[3]
El artículo 3.3 exige una evaluación de impacto en la privacidad para cualquier proyecto de adquisición o renovación de un sistema de información, por lo que un nuevo proveedor la necesita incluso dentro de Quebec.[3] El artículo 18.3 exige un contrato escrito que limite al proveedor al mandato y le impida conservar los datos después.[3]
Antes de la puesta en marcha: evaluación de impacto en la privacidad (PIA), declaración del art. 44, acuerdo escrito
Prueba de vida y cotejo 1:1
Dónde se sitúa cada obligación de la Law 25 en una verificación con un proveedor.[1][3]
Prepare sus respuestas sobre el proveedor con Didit
La documentación de Didit cubre el paso del consentimiento, la conservación, la supresión y la región de tratamiento por los que pregunta el formulario de la CAI. Hable con nosotros antes de elegir un proveedor de verificación.
Sanciones según la Law 25
Recoger, utilizar, conservar o destruir información personal infringiendo la ley puede dar lugar a una sanción administrativa de la CAI o a una multa penal.[3][9]
| Instrumento | Máximo para una empresa | Sección |
|---|---|---|
| Sanción administrativa pecuniaria | CAD 10,000,000 o, si es mayor, el 2% del volumen de negocios mundial del ejercicio anterior[3] | s. 90.12 |
| Multa penal | De CAD 15,000 a CAD 25,000,000, o el 4% del volumen de negocios mundial si es mayor[3] | s. 91 |
| Infracción reiterada | Las multas penales se duplican[3] | s. 92.1 |
Qué ha decidido la CAI sobre el reconocimiento facial
| Decisión | Hechos | Resultado |
|---|---|---|
| Empleador, septiembre de 2024 | Reconocimiento facial para el acceso al edificio; el empleador tenía el consentimiento y había declarado la base de datos, según Osler[13] | Orden de cese: la recogida no cumplía los requisitos de la ley, según Osler[13] |
| Metro Inc., 18 de febrero de 2025 | Base de datos prevista de rostros de personas vinculadas a hurtos en tiendas o fraude, declarada el 6 de septiembre de 2024[10][11] | Base de datos prohibida; la verificación de la identidad mediante biometría exige consentimiento expreso; primera orden en virtud del art. 45[11] |
| Metro Inc., 1 de abril de 2026 | Piloto en hasta diez tiendas, sin conservar plantillas cuando no hay coincidencia, conservación de 18 meses, según Ogletree[12] | Recogida considerada "necesaria"; informes semestrales durante dos años; la resolución sobre el consentimiento sigue recurrida, según Ogletree[12] |
Lección para la selección de proveedores
Según el relato de Ogletree sobre la decisión de 2026, un proveedor afirmó que "no tenía ni idea" de cómo el sistema crea las firmas faciales, y otro no pudo facilitar tasas de error porque el algoritmo pertenecía a un tercero.[12] Pregunte a su proveedor cómo funciona su cotejo y cómo mide los errores antes de presentar la declaración ante la CAI.
Contexto en todo Canadá: PIPEDA, las directrices de la OPC y el proyecto de ley C-36
Las comprobaciones de edad con el rostro también cuentan como biometría; nuestra guía sobre la verificación de edad en Canadá trata ese caso.
Fuera de Quebec, la biometría en el sector privado se rige en la mayoría de las provincias por la ley federal Personal Information Protection and Electronic Documents Act (PIPEDA, Ley de protección de la información personal y los documentos electrónicos). El 11 de agosto de 2025 la Office of the Privacy Commissioner of Canada (OPC) publicó su guía sobre biometría, que se alinea con las normas de Quebec.[14]
| Tema | Guía de la OPC, 11 de agosto de 2025 | Quebec |
|---|---|---|
| Verificación 1:1 | Una comparación "uno a uno". Es preferible a la identificación siempre que sea posible[15] | Se trata como autenticación[6] |
| Consentimiento | Consentimiento expreso como regla general para la biometría sensible, incluidas las plantillas[15] | Se exige consentimiento expreso (art. 44)[1] |
| Alternativa | Obligatoria para usos no esenciales[15] | Obligatoria si la persona se niega[5] |
| Supresión | En todas las ubicaciones, incluidos el almacenamiento en la nube y las copias de seguridad, y en los terceros[15] | Todas las copias, también en cualquier proveedor con acceso[6] |
| Precisión | Probar en distintos grupos demográficos. No basarse solo en lo que afirma el proveedor[15] | Tasas de error examinadas en Metro 2026, según Ogletree[12] |
| Transparencia | Indicar dónde se almacenan los datos biométricos y nombrar o describir a los proveedores de servicios[15] | Formulario de la CAI, preguntas Q22 y Q27[7] |
En el tratamiento transfronterizo, PIPEDA funciona de forma distinta al artículo 17. Las directrices de la OPC indican que "PIPEDA no prohíbe a las organizaciones en Canadá transferir información personal a una organización de otra jurisdicción para su tratamiento", pero la organización sigue siendo responsable y debe recurrir a contratos u otros medios para ofrecer "un nivel de protección comparable".[16]
El proyecto de ley C-36, que promulgaría la Protecting Privacy and Consumer Data Act (Ley de protección de la privacidad y de los datos de los consumidores) y modificaría PIPEDA, se presentó y superó la primera lectura el 15 de junio de 2026, y a 31 de octubre de 2026 está en segunda lectura en la House of Commons, según LEGISinfo.[17] Es un proyecto de ley, no una ley. En su versión presentada, su artículo 57(1) exigiría una evaluación de impacto en la privacidad y medidas de mitigación del riesgo antes de comunicar o transferir información personal fuera de Canadá, y la sanción máxima por las infracciones de una misma investigación sería la mayor de estas dos cantidades: CAD 10 millones o el 3% de los ingresos brutos mundiales.[18] También califica como sensible la información biométrica capaz de identificar de forma única a una persona.[18]
Residencia de datos en el sector público en BC, Nova Scotia, Ontario y Alberta
Los organismos públicos se rigen por leyes provinciales, que motivan muchas de las preguntas sobre residencia de datos en las licitaciones. Para empresas de pagos y de criptoactivos, véase KYC para empresas de servicios monetarios y de criptoactivos en Canadá.
| Provincia | Norma para los organismos públicos | Efecto sobre un proveedor de verificación de identidad |
|---|---|---|
| British Columbia | La exigencia estricta de residencia se eliminó el 25 de noviembre de 2021; almacenar datos sensibles fuera de Canadá exige una evaluación adicional en la PIA y una decisión basada en el riesgo[19] | Posible tras la evaluación; la guía señala los datos biométricos como datos sensibles habituales[19] |
| Nova Scotia | PIIDPA: los datos que conservan los organismos públicos y sus proveedores de servicios se quedan en Canadá y solo se accede a ellos desde Canadá, salvo que el responsable del organismo lo considere necesario y lo comunique[20] | El almacenamiento y el acceso en el extranjero requieren la excepción; según David Fraser, una ley de 2025 sustituirá la PIIDPA por normas fijadas por reglamento[21] |
| Ontario | Evaluaciones de impacto en la privacidad obligatorias antes de recabar información personal conforme a la FIPPA desde el 1 de julio de 2025[22] | No hay norma de residencia en la lista de cambios del IPC; cabe esperar preguntas en la PIA |
| Alberta | Protection of Privacy Act en vigor desde el 11 de junio de 2025; programas de gestión de la privacidad obligatorios a partir del 11 de junio de 2026[23] | Cabe esperar que se pidan pruebas de la PIA y del programa |
La residencia en Canadá no elimina la evaluación del artículo 17 de Quebec cuando los datos salen de Quebec hacia otra provincia.[3]
Lista de control para la verificación biométrica conforme a la Law 25 de Quebec este mes
Presente la declaración ante la CAI antes de activar la comparación facial para usuarios de Quebec.[1]
- Enumere todos los flujos que capturan y comparan un rostro, incluida la recuperación de cuentas.
- Deje por escrito el problema que resuelve la comparación facial, con sus propios datos de fraude, y las opciones menos intrusivas que haya probado.[5]
- Compruebe si las imágenes o plantillas almacenadas forman una base de datos biométrica; si es así, comuníquelo sin demora y al menos 60 días antes de su uso.[1]
- Realice las evaluaciones del artículo 3.3 y del artículo 17, y firme un acuerdo por escrito con el proveedor.[3]
- Diseñe una pantalla de consentimiento expreso en francés y en inglés, y conserve un registro de cada consentimiento.[5]
- Ofrezca una vía no biométrica que funcione para quienes rechacen o retiren el consentimiento.[5]
- Fije la conservación de modo que los datos biométricos se destruyan una vez cumplida la finalidad, en el proveedor y en las copias de seguridad.[1][15]
- Derive las comparaciones fallidas a una persona que pueda revisarlas e informe a los usuarios de las decisiones automatizadas.[3][15]
- Presente la declaración ante la CAI con el manual, el formulario de consentimiento, el acuerdo y la evaluación adjuntos.[7]
Preguntas sobre residencia para los proveedores:
- Pregunte dónde se tratan y almacenan los datos por defecto, y si hay otra región disponible por contrato.
- Pida la lista completa de subencargados con el país de cada uno.
- Pregunte si personal fuera de Canadá puede acceder a los datos de producción.
- Pida el enfoque del proveedor para las pruebas demográficas y sus métricas de error.[15]
Sujetos obligados conforme a las normas federales de prevención del blanqueo de capitales: nuestra guía sobre la verificación de identidad de FINTRAC en 2026 cubre esa parte; evalúe por separado las obligaciones de privacidad de Quebec.
Cómo ayuda Didit
La verificación de documentos de identidad y la prueba de vida de Didit funcionan en un mismo flujo. Se lee el documento y se comprueba si ha sido manipulado. Después, una prueba de vida confirma que hay una persona real. Esa prueba puede ser pasiva, con acción 3D o con destellos. Por último, una comparación facial 1:1 compara el selfie con la foto del documento.[24][25][34] Las plantillas faciales no se conservan tras eliminar una sesión, salvo que active la conservación de plantillas durante un número de días fijado.[27]
Lo que aporta Didit
- Un paso de consentimiento biométrico antes de la primera captura facial. En el modo "Always" se muestra a todos los usuarios y la respuesta queda guardada en la sesión[26]
- Conservación de 1 mes a 10 años, eliminación de sesiones desde la consola o por API y una instrucción de supresión por privacidad que borra las plantillas conservadas[27][28]
- Tratamiento en la UE por defecto. Tratamiento dentro del país en el plan Enterprise, según disponibilidad y contrato[27]
- Un flujo de verificación en francés, revisión manual de las sesiones marcadas y una comprobación de datos de cabecera de crédito de una agencia de crédito en Canadá[31][32][33]
- SOC 2 Type 2, ISO/IEC 27001:2022 y detección de ataques de presentación iBeta Level 1[30]
Sigue siendo responsabilidad suya
- El análisis de necesidad y la declaración ante la CAI
- Las evaluaciones de impacto en la privacidad previstas en los artículos 3.3 y 17
- El texto del consentimiento y la alternativa no biométrica
- La decisión final y la revisión de los resultados impugnados
Didit actúa como encargado del tratamiento. Usted sigue siendo el responsable del tratamiento.[29] La validación en bases de datos, incluida la comprobación con la agencia de crédito canadiense, es una comprobación no biométrica que puede evaluar para su vía alternativa. Consulte validación en bases de datos, cribado AML y precios.[33]
Cree una comparación facial con consentimiento previo para Quebec
Documento, prueba de vida y comparación facial en un mismo flujo, con un paso de consentimiento y una eliminación que usted controla.
Puntos clave
- Una comparación facial entre selfie y documento de identidad es una verificación biométrica de identidad según el artículo 44: declárela ante la CAI y obtenga el consentimiento expreso.
- La CAI indica que no puede exigirse la verificación biométrica: ofrezca una vía no biométrica a quien no dé su consentimiento.
- Una base de datos biométrica de imágenes o plantillas faciales almacenadas debe declararse con prontitud y al menos 60 días antes de su puesta en marcha.
- Un proveedor fuera de Quebec, incluido uno en otra parte de Canadá, requiere una evaluación conforme al artículo 17 y un acuerdo por escrito.
- El proyecto de ley C-36 está en segunda lectura. PIPEDA y la guía de la OPC de 11 de agosto de 2025 se aplican hoy.
Preguntas frecuentes
¿Puedo usar un selfie y una comparación facial para KYC en Quebec?
Sí, con condiciones. El artículo 44 de la IT Framework Act de Quebec solo permite la verificación biométrica de identidad si el proceso se ha comunicado antes a la CAI y la persona da su consentimiento expreso. La guía de la CAI cubre la comparación 1:1.[1][6]
¿Tengo que declarar la verificación biométrica de identidad ante la CAI?
Sí. El artículo 44 exige comunicar el proceso de verificación a la Commission d’accès à l’information antes de usarlo. La CAI recibe las declaraciones mediante un formulario en línea y todos los campos son obligatorios.[1][5][7]
¿Qué es la regla de los 60 días en Quebec para la biometría?
El artículo 45 exige que la creación de una base de datos de características biométricas se comunique a la CAI con prontitud y a más tardar 60 días antes de su puesta en servicio. Un ejemplo son las imágenes o plantillas faciales almacenadas para reconocer a usuarios recurrentes.[1]
¿Puede una empresa exigir a los usuarios que se verifiquen con un selfie en Quebec?
No, sin una declaración previa a la CAI y el consentimiento expreso de la persona, según el texto oficial en francés del artículo 44. La página de la CAI va más allá: exigir la verificación biométrica está prohibido, y debe ofrecerse otro medio a quienes no consientan.[2][5]
¿Pueden los datos biométricos salir de Quebec hacia un proveedor de verificación de identidad?
Sí, después de que una evaluación de impacto en la privacidad conforme al artículo 17 demuestre una protección adecuada y se firme un acuerdo por escrito, también cuando un proveedor situado fuera de Quebec recoge o conserva los datos por cuenta de usted.[3]
¿Qué sanciones prevé la Law 25 de Quebec?
Las sanciones administrativas pecuniarias alcanzan CAD 10 million o el 2% de la facturación mundial, la cifra que sea mayor. Las multas penales alcanzan CAD 25 million o el 4%, y se duplican en caso de reincidencia.[3]
¿Qué decidió la CAI sobre Metro y el reconocimiento facial?
El 18 de febrero de 2025 la CAI prohibió la base de datos biométrica de Metro, al considerar que el proyecto era una verificación de identidad que exigía consentimiento expreso. Según Ogletree, una decisión del 1 de abril de 2026 consideró necesario el piloto, mientras que la resolución sobre el consentimiento está recurrida.[11][12]
¿Qué exige a las empresas la guía de la OPC sobre biometría?
La guía de la OPC del 11 de agosto de 2025 pide el consentimiento expreso como regla general, una alternativa para los usos no esenciales, la supresión en todas las ubicaciones, copias de seguridad incluidas, y pruebas en distintos grupos demográficos.[15]
¿Es ley en Canadá el proyecto de ley C-36?
No. El proyecto de ley C-36 se presentó el 15 de junio de 2026 y, a 31 de octubre de 2026, está en segunda lectura en la House of Commons. En su versión presentada, exigiría una evaluación de impacto en la privacidad antes de transferir información personal fuera de Canadá.[17][18]
¿Exige Canadá que los datos de verificación de identidad se almacenen en Canadá?
No para las empresas privadas sujetas a PIPEDA, que permite las transferencias con una protección comparable. La PIIDPA de Nova Scotia exige a los organismos públicos y a sus proveedores de servicios conservar los datos en Canadá salvo que se aplique una excepción.[16][20]
Fuentes
- Act to establish a legal framework for information technology, CQLR c. C-1.1, artículos 44 y 45, LégisQuébec, versión consolidada a 29 de octubre de 2026.
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
- Biométrie, Commission d’accès à l’information du Québec.
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 de septiembre de 2022.
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 de septiembre de 2023.
- Principaux changements apportés par la Loi 25, CAI.
- Décision, dossier 1037199-S, Metro Inc., CAI, 18 de febrero de 2025.
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 de julio de 2026.
- Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
- Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 de agosto de 2025.
- Guidance for processing biometrics, for businesses, OPC, 11 de agosto de 2025.
- Guidelines for processing personal data across borders, OPC, 2009.
- Bill C-36, 45.º Parlamento, 1.ª sesión, LEGISinfo, consultado el 31 de octubre de 2026.
- Bill C-36, texto de primera lectura, Parliament of Canada, 15 de junio de 2026.
- Guidance on disclosures outside of Canada, Government of British Columbia, actualizado el 13 de febrero de 2025.
- Personal Information International Disclosure Protection Act, preguntas y respuestas, Government of Nova Scotia.
- Nova Scotia's new Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 9 de noviembre de 2025.
- Actualizaciones de FIPPA y MFIPPA, Information and Privacy Commissioner of Ontario.
- Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
- Face Match (1:1), documentación de Didit.
- Detección de vida, documentación de Didit.
- Consentimiento biométrico, documentación de Didit.
- Conservación y eliminación de datos, documentación de Didit.
- Eliminar sesión, documentación de Didit.
- Seguridad y cumplimiento, documentación de Didit.
- Certificaciones, documentación de Didit.
- Idiomas compatibles, documentación de Didit.
- Revisión manual, documentación de Didit.
- Verificación con burós de crédito de Canadá (FINTRAC), documentación de Didit.
- Verificación de documentos de identidad, documentación de Didit.
Siguiente: verificación de identidad en Canadá, nuestra guía de FINTRAC y la página de verificación de documentos de identidad.
Verifique a los usuarios de Quebec con un paso de consentimiento
Active el paso de consentimiento y separe la eliminación de los datos biométricos de la del resto de pruebas.
Artículos relacionados
- Requisitos KYC de FINTRAC para MSB de criptoactivos y pagos (2026)
- Quebec Law 25 and biometrics: identity verification guide (2026)
- EUDI Wallet integration: how to choose your route (2026 guide)
- EUDI Wallet readiness: policies and controls for regulated firms
- EUDI Wallet holder binding: what a presentation really proves
- EUDI Wallet cross-border acceptance: one integration across the EU