Loi 25 du Québec et biométrie : guide de vérification de l'identité (2026)
Loi 25 et vérification biométrique : déclaration à la CAI et consentement exprès (art. 44), banques biométriques (art. 45), évaluation (art. 17) des fournisseurs, sanctions, décisions de la CAI, avis du CPVP, liste de contrôle.
En bref
En vertu de la Loi 25 du Québec, une entreprise qui vérifie l'identité au moyen d'une biométrie faciale, par exemple un égoportrait comparé à la photo d'une pièce d'identité, doit en informer au préalable la Commission d’accès à l’information (CAI, l'organisme de réglementation de la protection des renseignements personnels au Québec) et obtenir le consentement exprès de la personne.[1][5] L'article 44 de la Loi concernant le cadre juridique des technologies de l'information du Québec établit cette règle, et la CAI précise qu'une option non biométrique doit être offerte à toute personne qui refuse.[1][5]
- Une banque de caractéristiques biométriques doit être déclarée avec diligence et au moins 60 jours avant sa mise en service (art. 45).[1]
- Transmettre les données à un fournisseur situé hors du Québec exige au préalable une évaluation des facteurs relatifs à la vie privée et une entente écrite (art. 17).[3]
- Les sanctions atteignent CAD 10 millions ou 2% du chiffre d'affaires mondial (sanctions administratives) et CAD 25 millions ou 4% (sanctions pénales).[3]
La Loi 25 du Québec (le projet de loi 64 avant son adoption) est la loi de 2021 qui a modernisé les lois québécoises sur la protection des renseignements personnels, et ses règles sur la biométrie visent les vérifications d'identité en ligne qui comparent un égoportrait en direct à la photo d'une pièce d'identité.[8][6] Pour une entreprise assujettie à ces règles, une comparaison faciale est un processus déclaré, fondé sur le consentement, assorti de sa propre règle de destruction et, lorsque les données quittent la province, d'une évaluation des facteurs relatifs à la vie privée.[1][3]
Ce guide examine les textes officiels article par article, notamment l'Act respecting the protection of personal information in the private sector, le formulaire de déclaration de la CAI, ses décisions depuis 2024, les orientations fédérales du 11 août 2025, le projet de loi C-36 et les règles de quatre provinces pour le secteur public. Il se termine par une liste de vérification pour ce mois-ci (et notre page Canada).
Concevoir un parcours d'intégration pour le Québec
Didit effectue la vérification des documents, la détection du vivant et une comparaison faciale 1:1 dans un seul flux de travail, avec une étape de consentement, des paramètres de conservation et une destruction que vous contrôlez. Commencez gratuitement ou parlez-nous de vos utilisateurs québécois.
La Loi 25 du Québec et la biométrie en un coup d'œil
| Question | Réponse courte |
|---|---|
| Quelle loi | Articles 44 et 45 de la Loi concernant le cadre juridique des technologies de l'information (CQLR c. C-1.1), modifiée par la Loi 25 (S.Q. 2021, c. 25)[1] |
| En vigueur depuis | Septembre 2022 pour les modifications relatives à la biométrie, selon le guide de la CAI sur la biométrie; la plupart des autres obligations de la Loi 25 depuis le 22 septembre 2023[6][8] |
| Une comparaison entre un égoportrait et une pièce d'identité est-elle visée | Oui : la CAI traite de la même façon l'authentification 1:1 et l'identification 1:N[6] |
| Si la personne refuse | Offrir un autre moyen de vérification; la biométrie ne peut pas être exigée[2][5] |
| Fournisseur hors du Québec | Évaluation des facteurs relatifs à la vie privée et entente écrite avant la communication (art. 17)[3] |
| Droit fédéral | LPRPDE, lue avec les orientations du CPVP sur la biométrie du 11 août 2025; le projet de loi C-36 est à l'étape de la deuxième lecture[14][15][17] |
- Sept. 2022art. 44-45 modifiésEntrée en vigueur des modifications de la Loi 25 relatives à la biométrie; guide de la CAI mis à jour.
- 22 sept. 2023La plupart des obligationsEFVP avant que les données quittent le Québec, consentement exprès pour les renseignements sensibles.
- 18 févr. 2025Décision MetroPremière ordonnance de la CAI en vertu de l’art. 45 : une banque de données biométriques interdite.
- 11 août 2025Orientations du CPVPOrientations fédérales sur la biométrie à l’intention des entreprises.
- 15 juin 2026Projet de loi C-36Déposé; à l’étape de la deuxième lecture au 31 octobre 2026.
Jalons datés de la vérification de l’identité biométrique au Québec et au Canada.[6][8][10][14][17]
Ce que dit la Loi 25 du Québec sur la vérification de l’identité biométrique
La Loi 25 a modifié plusieurs lois. Ses règles sur la biométrie se trouvent aux articles 44 et 45 de la Loi concernant le cadre juridique des technologies de l’information (LCCJTI, RLRQ, c. C-1.1; en anglais, Act to establish a legal framework for information technology).[1] C’est l’article 44 qu’un parcours de vérification de l’identité déclenche.
Article 44Loi concernant le cadre juridique des technologies de l’information
« L’identité d’une personne ne peut être vérifiée ou confirmée au moyen d’un procédé permettant ensuite d’utiliser des caractéristiques ou des mesures biométriques, sauf si cette vérification ou cette confirmation a été préalablement divulguée à la Commission d’accès à l’information et avec le consentement exprès de la personne concernée. »
Source : LégisQuébec, RLRQ, c. C-1.1[1]
Le texte français, qui a la même valeur officielle, commence par une interdiction : « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Nul ne peut exiger que l’identité soit vérifiée par un procédé biométrique sans l’avoir d’abord divulgué à la CAI et sans le consentement exprès de la personne.)[2] La page de la CAI va plus loin : elle indique qu’il est interdit d’exiger une vérification de l’identité biométrique et qu’un autre moyen doit être offert lorsqu’une personne ne consent pas.[5]
L’article 44 ajoute ensuite trois limites qui façonnent le produit :
- Données minimales : seules les caractéristiques nécessaires pour relier la personne à l’acte, saisies à sa connaissance.[1]
- Aucune autre utilisation : rien d’autre de ce que révèlent les données biométriques ne peut servir à prendre une décision au sujet de la personne ni à toute autre fin.[1]
- Destruction : « L’enregistrement des caractéristiques ou des mesures et toute note s’y rapportant doivent être détruits dès que l’objet de la vérification ou de la confirmation de l’identité est accompli ou que le motif de la vérification ou de la confirmation n’existe plus. »[1]
Une comparaison 1:1 avec un égoportrait est visée
Le guide de la CAI couvre les deux finalités : l’identification, qui recherche une identité parmi plusieurs dans une banque de données, et l’authentification, qui valide une identité par une comparaison « un à un » avec les données biométriques d’une personne connue.[6] Le guide précise aussi qu’un code, un gabarit ou un modèle tiré d’une image par un algorithme constitue lui aussi un renseignement biométrique.[6] En février 2025, la CAI a conclu que le projet de reconnaissance faciale d’un détaillant constituait une vérification de l’identité par des moyens biométriques, ce qui exige le consentement exprès en vertu de la Loi.[11]
Attention
Le consentement ne suffit pas à lui seul. La CAI écrit que, même avec le consentement, la collecte doit satisfaire au critère de nécessité, et que l’utilité et la commodité ne justifient pas la collecte de données biométriques.[5] Documentez pourquoi une comparaison faciale est nécessaire et quelles options moins intrusives vous avez envisagées.
Déclaration en vertu de l’article 44 ou banque de données en vertu de l’article 45
L’article 45 s’applique à une banque de données biométriques, par exemple des images faciales ou des gabarits conservés.[1]
Toute vérification biométrique
Déclaration en vertu de l’article 44
- Divulguer le procédé à la CAI avant de l’utiliser
- Obtenir le consentement exprès de chaque personne
- Détruire l’enregistrement biométrique une fois la finalité atteinte
art. 44, RLRQ, c. C-1.1
Si une banque de données biométriques est créée
Banque de données en vertu de l’article 45
- Divulguer avec diligence, et au moins 60 jours avant la mise en service
- La CAI peut fixer des règles d’utilisation, de conservation et de destruction
- La CAI peut suspendre, interdire ou ordonner la destruction
art. 45, RLRQ, c. C-1.1
Ces pouvoirs sont utilisés. La première ordonnance de la CAI en vertu de l'article 45, en février 2025, a interdit la base de données de reconnaissance faciale d'un détaillant.[11]
Ce que demande le formulaire de déclaration de la CAI, et ce qu'il faut obtenir de votre fournisseur
L'entreprise qui vérifie l'identité fait la déclaration au moyen du formulaire en ligne de la CAI, et tous les champs sont obligatoires.[5][7] En pratique, bon nombre des réponses portent sur le système du fournisseur. Demandez-les donc avant de signer.
| Question du formulaire de la CAI | Ce qui est demandé | Ce qu'il faut obtenir du fournisseur |
|---|---|---|
| Q7, Q8 | Date prévue de mise en service; nom du modèle ou du produit et fournisseur, avec le guide d'utilisation en pièce jointe[7] | Le nom du produit, la documentation que vous pouvez joindre |
| Q9, Q11 | Le fonctionnement du système; les caractéristiques saisies, par exemple la forme du visage[7] | Une description simple de la saisie, de la détection du vivant et de la comparaison 1:1 |
| Q14 | Si une banque de données biométriques est constituée[7] | Si des images ou des gabarits sont conservés dans une base de données, et pendant combien de temps |
| Q16, Q17 | Les moyens moins invasifs envisagés et le problème documenté[7] | Vos propres données sur la fraude; les options non biométriques du fournisseur |
| Q20 | Format de conservation : images brutes, gabarit irréversible ou aucune conservation[7] | Ce qui est conservé, sous quel format, et la durée de conservation par défaut |
| Q22 | Où est hébergée une base de données centrale : au Québec, ailleurs au Canada ou à l'étranger[7] | Les pays d'hébergement des données et de chaque sous-traitant |
| Q23 | Le moment où les données biométriques et les notes sont détruites[7] | Les déclencheurs de suppression, sauvegardes comprises |
| Q24 à Q26 | Consentement exprès, sa forme, son retrait en tout temps, un autre moyen d'identification[7] | Un écran de consentement, sa trace, et une option non biométrique |
| Q27, Q28 | Qui peut accéder aux données, y compris le personnel du fournisseur; mesures de sécurité[7] | Les rôles d'accès, le chiffrement, les rapports d'audit |
Joignez le guide d'utilisation, le formulaire de consentement, l'entente relative aux données communiquées à l'extérieur du Québec et l'évaluation des facteurs relatifs à la vie privée (EFVP).[7]
Le consentement exprès et la solution de rechange non biométrique
L'article 12 de la loi sur le secteur privé prévoit que le consentement « doit être manifesté de façon expresse dès qu'il s'agit d'un renseignement personnel sensible », et il nomme la nature biométrique parmi les raisons pour lesquelles un renseignement est sensible.[3][4] Pour la biométrie, la CAI indique qu'un consentement valide est manifeste et exprès, libre, éclairé, spécifique et limité dans le temps.[5] La CAI publie un modèle de formulaire de consentement à adapter à votre système.[5]
La seconde moitié de la règle est celle que les équipes produit oublient. Comme une personne doit être libre de refuser ou de retirer son consentement, la CAI indique qu'une autre solution doit être offerte.[5] Le régulateur fédéral dit la même chose pour les usages non essentiels : « vous devez offrir aux personnes d'autres moyens d'accès ou de participation » et ne pas entraver l'accès à ceux-ci.[15]
1Expliquer la vérification avant toute capture
La finalité, ce qui est capté, la conservation, la destination des données, la solution de rechange.
La personne donne un consentement exprès à la comparaison faciale
Document, détection du vivant et comparaison 1:1
Consigner le consentement; détruire les données biométriques une fois la finalité atteinte.
Option non biométrique
Par exemple une vérification dans une base de données ou un document examiné par une personne, sans capture du visage.
2Décider, avec une personne en mesure de réviser
Informer les utilisateurs des décisions entièrement automatisées et leur permettre de présenter leurs observations (art. 12.1).
Un parcours de vérification fondé d'abord sur le consentement pour les utilisateurs du Québec. La solution de rechange ne doit pas être une impasse.[3][5]
L'article 12.1 ajoute que lorsqu'une décision est fondée exclusivement sur un traitement automatisé, vous devez en informer la personne et lui permettre de présenter ses observations à un membre du personnel en mesure de réviser la décision.[3]
Article 17 : l'évaluation des facteurs relatifs à la vie privée avant que les données quittent le Québec
Article 17Loi sur la protection des renseignements personnels dans le secteur privé
« Avant de communiquer des renseignements personnels à l'extérieur du Québec, une personne qui exploite une entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée. »
Source : LégisQuébec, RLRQ c. P-39.1[3]
L'évaluation doit tenir compte de la sensibilité des renseignements, de leur finalité, des mesures de protection, y compris contractuelles, et du régime juridique du territoire de destination.[3] Les renseignements ne peuvent être communiqués que si l'évaluation démontre qu'ils bénéficieront d'une protection adéquate, et la communication « doit faire l'objet d'une entente écrite » qui tient compte de l'évaluation.[3] La même règle s'applique lorsqu'une personne ou un organisme à l'extérieur du Québec recueille, utilise, communique ou conserve les renseignements pour votre compte, ce qui correspond au cas du fournisseur.[3] Selon notre lecture, « à l'extérieur du Québec » inclut les autres provinces canadiennes : le texte ne s'arrête pas à la frontière canadienne.[3]
L'article 3.3 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition ou de refonte d'un système d'information, de sorte qu'un nouveau fournisseur en exige une, même au Québec.[3] L'article 18.3 exige un contrat écrit qui limite le fournisseur à son mandat et l'empêche de conserver les renseignements par la suite.[3]
Avant la mise en production : EFVP, déclaration (art. 44), entente écrite
Détection du vivant et comparaison 1:1
Où se situe chaque obligation de la Loi 25 dans une vérification confiée à un fournisseur.[1][3]
Préparez vos réponses sur le fournisseur avec Didit
La documentation de Didit couvre l'étape du consentement, la conservation, la suppression et la région de traitement sur lesquelles porte le formulaire de la CAI. Parlez-nous avant de choisir un fournisseur de vérification.
Sanctions prévues par la Loi 25
Recueillir, utiliser, conserver ou détruire des renseignements personnels en contravention de la loi peut entraîner une sanction administrative pécuniaire de la CAI ou une amende pénale.[3][9]
| Outil | Maximum pour une entreprise | Article |
|---|---|---|
| Sanction administrative pécuniaire | CAD 10,000,000 ou, si ce montant est plus élevé, 2% du chiffre d'affaires mondial de l'exercice financier précédent[3] | s. 90.12 |
| Amende pénale | De CAD 15,000 à CAD 25,000,000, ou 4% du chiffre d'affaires mondial si ce montant est plus élevé[3] | s. 91 |
| Récidive | Les amendes pénales sont portées au double[3] | s. 92.1 |
Ce que la CAI a décidé en matière de reconnaissance faciale
| Décision | Faits | Résultat |
|---|---|---|
| Employeur, septembre 2024 | Reconnaissance faciale pour l'accès à un immeuble; l'employeur avait obtenu le consentement et avait déclaré la banque de données, selon Osler[13] | Ordre de cesser : la collecte ne respectait pas les exigences de la Loi, selon Osler[13] |
| Metro Inc., 18 février 2025 | Projet de banque de données des visages de personnes liées à des vols à l'étalage ou à des fraudes, déclaré le 6 septembre 2024[10][11] | Banque de données interdite; la vérification de l'identité par biométrie exige un consentement exprès; première ordonnance en vertu de l'art. 45[11] |
| Metro Inc., 1er avril 2026 | Projet pilote dans un maximum de dix magasins, aucun gabarit conservé en l'absence de correspondance, conservation de 18 mois, selon Ogletree[12] | Collecte jugée « nécessaire »; rapports semestriels pendant deux ans; la décision sur le consentement fait toujours l'objet d'un appel, selon Ogletree[12] |
Leçon pour le choix d'un fournisseur
Selon le compte rendu d'Ogletree sur la décision de 2026, un fournisseur a déclaré qu'il « n'avait aucune idée » de la façon dont le système crée les signatures faciales, et un autre n'a pas pu fournir de taux d'erreur parce que l'algorithme appartenait à un tiers.[12] Demandez à votre fournisseur comment fonctionne son appariement et comment il mesure les erreurs avant de faire votre déclaration à la CAI.
Contexte pancanadien : la LPRPDE, les lignes directrices du Commissariat à la protection de la vie privée et le projet de loi C-36
Les vérifications de l'âge à partir du visage relèvent aussi de la biométrie; notre guide sur la vérification de l'âge au Canada traite de ce cas.
Hors du Québec, la biométrie dans le secteur privé relève, dans la plupart des provinces, de la loi fédérale Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Le 11 août 2025, le Commissariat à la protection de la vie privée du Canada (CPVP) a publié ses lignes directrices sur la biométrie, qui concordent avec les règles du Québec.[14]
| Sujet | Lignes directrices du CPVP, 11 août 2025 | Québec |
|---|---|---|
| Vérification 1:1 | Une comparaison « un à un », à privilégier plutôt que l'identification lorsque c'est possible[15] | Visée à titre d'authentification[6] |
| Consentement | Consentement exprès en règle générale pour la biométrie sensible, gabarits compris[15] | Consentement exprès requis (art. 44)[1] |
| Solution de rechange | Requise pour les usages non essentiels[15] | Requise si la personne refuse[5] |
| Suppression | De tous les emplacements, y compris le stockage infonuagique et les sauvegardes, et chez les tiers[15] | Toutes les copies, et chez tout fournisseur qui y a accès[6] |
| Exactitude | Tester auprès de différents groupes démographiques; ne pas se fier uniquement aux affirmations du fournisseur[15] | Taux d'erreur examinés dans Metro 2026, selon Ogletree[12] |
| Transparence | Indiquer où la biométrie est stockée et nommer ou décrire les fournisseurs de services[15] | Formulaire de la CAI, Q22 et Q27[7] |
Pour le traitement transfrontalier, LPRPDE fonctionne autrement que l'article 17. Les lignes directrices du CPVP précisent que « LPRPDE n'interdit pas aux organisations au Canada de transférer des renseignements personnels à une organisation d'un autre territoire aux fins de traitement », mais l'organisation demeure responsable et doit recourir à des contrats ou à d'autres moyens pour assurer « un niveau de protection comparable ».[16]
Le projet de loi C-36, qui édicterait la Protecting Privacy and Consumer Data Act et modifierait LPRPDE, a été déposé et lu une première fois le 15 juin 2026. Selon LEGISinfo, il est à l'étape de la deuxième lecture à la Chambre des communes au 31 octobre 2026.[17] C'est un projet de loi, pas une loi. Dans sa version déposée, son article 57(1) exigerait une évaluation des facteurs relatifs à la vie privée et des mesures d'atténuation des risques avant toute communication ou tout transfert de renseignements personnels hors du Canada. La pénalité maximale pour les contraventions visées par une même enquête serait le montant le plus élevé entre CAD 10 millions et 3% des revenus bruts mondiaux.[18] Il qualifie aussi de sensibles les renseignements biométriques permettant d'identifier une personne de façon unique.[18]
Résidence des données du secteur public en Colombie-Britannique, en Nouvelle-Écosse, en Ontario et en Alberta
Les organismes publics suivent les lois provinciales, qui sont à l'origine de nombreuses questions de résidence des données dans les appels d'offres. Entreprises de paiement et de cryptoactifs : voir KYC pour les entreprises de services monétaires et les cryptoactifs au Canada.
| Province | Règle applicable aux organismes publics | Effet sur un fournisseur de vérification de l'identité |
|---|---|---|
| Colombie-Britannique | Exigence stricte de résidence supprimée le 25 novembre 2021; conserver des données sensibles hors du Canada exige une évaluation supplémentaire dans l'EFVP et une décision fondée sur le risque[19] | Possible après l'évaluation; les lignes directrices citent les données biométriques comme des données couramment sensibles[19] |
| Nouvelle-Écosse | PIIDPA : les données détenues par les organismes publics et leurs fournisseurs de services restent au Canada et ne sont consultées qu'au Canada, sauf si le responsable juge que c'est nécessaire et en fait rapport[20] | Le stockage et l'accès à l'étranger nécessitent l'exception; une loi de 2025 remplacera la PIIDPA par des règles fixées par règlement, selon David Fraser[21] |
| Ontario | Évaluations des facteurs relatifs à la vie privée obligatoires avant de recueillir des renseignements personnels en vertu de la FIPPA depuis le 1er juillet 2025[22] | Aucune règle de résidence dans la liste des changements du CIPVP; attendez-vous à des questions sur l'EFVP |
| Alberta | Protection of Privacy Act en vigueur depuis le 11 juin 2025; programmes de gestion de la protection des renseignements personnels exigés à compter du 11 juin 2026[23] | Attendez-vous à devoir fournir des preuves d'EFVP et de programme |
La résidence au Canada ne dispense pas de l'évaluation prévue à l'article 17 de la loi québécoise lorsque des données quittent le Québec pour une autre province.[3]
Une liste de contrôle pour la vérification biométrique sous la Loi 25 du Québec, à faire ce mois-ci
Déposez la déclaration à la CAI avant la mise en service de la comparaison faciale pour les utilisateurs québécois.[1]
- Recensez chaque flux qui capte et compare un visage, y compris la récupération de compte.
- Consignez le problème que la comparaison faciale règle, avec vos propres données de fraude, et les options moins intrusives que vous avez essayées.[5]
- Vérifiez si les images ou gabarits conservés constituent une banque de caractéristiques biométriques; si c'est le cas, divulguez-la avec diligence et au moins 60 jours avant sa mise en service.[1]
- Effectuez les évaluations prévues aux articles 3.3 et 17, et signez une entente écrite avec le fournisseur.[3]
- Concevez un écran de consentement exprès en français et en anglais, et conservez une trace de chaque consentement.[5]
- Offrez une option non biométrique qui fonctionne pour les personnes qui refusent ou retirent leur consentement.[5]
- Fixez la durée de conservation pour que les données biométriques soient détruites une fois la finalité atteinte, chez le fournisseur et dans les sauvegardes.[1][15]
- Acheminez les comparaisons échouées vers une personne qui peut les réviser, et informez les utilisateurs des décisions automatisées.[3][15]
- Déposez la déclaration à la CAI en y joignant le manuel, le formulaire de consentement, l'entente et l'évaluation.[7]
Questions de résidence à poser aux fournisseurs :
- Demandez où les données sont traitées et stockées par défaut, et si une autre région est offerte par contrat.
- Demandez la liste complète des sous-traitants avec le pays de chacun.
- Demandez si du personnel situé hors du Canada peut accéder aux données de production.
- Demandez la méthode d'essais démographiques du fournisseur et ses mesures d'erreur.[15]
Entités déclarantes visées par les règles fédérales de lutte contre le blanchiment d'argent : notre guide sur la vérification de l'identité selon FINTRAC en 2026 couvre ce volet; évaluez séparément les obligations québécoises en matière de protection des renseignements personnels.
Comment Didit vous aide
La vérification de pièce d'identité et la détection du vivant de Didit s'exécutent dans un seul parcours. Le document est lu et contrôlé pour détecter toute falsification. Une vérification du vivant passive, par action 3D ou par flash confirme ensuite la présence d'une personne réelle. Enfin, une comparaison faciale 1:1 compare l'égoportrait à la photo du document.[24][25][34] Les gabarits faciaux ne sont pas conservés après la suppression d'une session, sauf si vous activez la conservation des gabarits pour un nombre de jours déterminé.[27]
Ce que Didit fournit
- Une étape de consentement biométrique avant la première capture du visage, présentée à tous en mode « Always », avec la réponse conservée dans la session[26]
- Une conservation de 1 mois à 10 ans, la suppression des sessions par la console ou par API, et une instruction d'effacement pour la vie privée qui purge les gabarits conservés[27][28]
- Un traitement dans l'UE par défaut; un traitement dans le pays avec l'offre Enterprise, selon la disponibilité et le contrat[27]
- Un parcours de vérification en français, la révision manuelle des sessions signalées et une vérification des données d'en-tête de crédit auprès d'une agence d'évaluation du crédit au Canada[31][32][33]
- SOC 2 Type 2, ISO/IEC 27001:2022 et détection des attaques de présentation iBeta Level 1[30]
Ce qui reste de votre ressort
- L'analyse de nécessité et la déclaration à la CAI
- Les évaluations des facteurs relatifs à la vie privée prévues aux articles 3.3 et 17
- Le libellé du consentement et la solution de rechange non biométrique
- La décision finale et la révision des résultats contestés
Didit agit à titre de sous-traitant; vous demeurez le responsable du traitement.[29] La validation par base de données, y compris la vérification auprès d'une agence d'évaluation du crédit canadienne, est une vérification non biométrique que vous pouvez évaluer pour votre solution de rechange : voir la validation par base de données, le filtrage LBC et les tarifs.[33]
Mettez en place une comparaison faciale fondée sur le consentement pour le Québec
Document, détection du vivant et comparaison faciale dans un seul parcours, avec une étape de consentement et une suppression que vous contrôlez.
Points clés
- Une comparaison faciale entre un égoportrait et une pièce d'identité est une vérification biométrique de l'identité au sens de l'article 44 : déclarez-la à la CAI et obtenez un consentement exprès.
- La CAI indique que la vérification biométrique ne peut pas être exigée : offrez une option non biométrique à toute personne qui ne consent pas.
- Une banque de données biométriques contenant des images ou des gabarits faciaux conservés doit être déclarée avec diligence et au moins 60 jours avant sa mise en service.
- Un fournisseur situé hors du Québec, y compris ailleurs au Canada, exige une évaluation au titre de l'article 17 et une entente écrite.
- Le projet de loi C-36 en est à la deuxième lecture; la LPRPDE et les lignes directrices du CPVP du 11 août 2025 s'appliquent dès maintenant.
Foire aux questions
Puis-je utiliser un égoportrait et une comparaison faciale pour le KYC au Québec?
Oui, sous conditions. L'article 44 de la loi québécoise sur le cadre juridique des technologies de l'information permet la vérification biométrique de l'identité seulement si le processus a été divulgué à la CAI au préalable et si la personne donne son consentement exprès. Le guide de la CAI couvre la comparaison 1:1.[1][6]
Dois-je déclarer la vérification biométrique de l'identité à la CAI?
Oui. L'article 44 exige que le processus de vérification soit divulgué à la Commission d’accès à l’information avant son utilisation. La CAI reçoit les déclarations au moyen d'un formulaire en ligne, et tous les champs sont obligatoires.[1][5][7]
Quelle est la règle des 60 jours au Québec pour la biométrie?
L'article 45 exige que la création d'une banque de caractéristiques biométriques soit divulguée à la CAI avec diligence et au plus tard 60 jours avant sa mise en service, par exemple des images ou des gabarits faciaux conservés pour reconnaître les utilisateurs qui reviennent.[1]
Une entreprise peut-elle exiger que les utilisateurs se vérifient avec un égoportrait au Québec?
Pas sans une divulgation préalable à la CAI et le consentement exprès de la personne, selon le texte officiel français de l'article 44. La page de la CAI va plus loin : il est interdit d'exiger une vérification biométrique, et un autre moyen doit être offert aux personnes qui ne consentent pas.[2][5]
Les données biométriques peuvent-elles quitter le Québec pour un fournisseur de vérification de l'identité?
Oui, après qu'une évaluation des facteurs relatifs à la vie privée prévue à l'article 17 démontre une protection adéquate et qu'une entente écrite est signée, y compris lorsqu'un fournisseur situé hors du Québec recueille ou conserve les données pour vous.[3]
Quelles sont les sanctions prévues par la Loi 25 du Québec?
Les sanctions administratives pécuniaires atteignent CAD 10 millions ou 2% du chiffre d'affaires mondial, selon le montant le plus élevé. Les amendes pénales atteignent CAD 25 millions ou 4%, et sont portées au double en cas de récidive.[3]
Qu'a décidé la CAI au sujet de Metro et de la reconnaissance faciale?
Le 18 février 2025, la CAI a interdit la banque biométrique de Metro, estimant que le projet constituait une vérification de l'identité exigeant un consentement exprès. Selon Ogletree, une décision du 1er avril 2026 a jugé le projet pilote nécessaire, tandis que la décision sur le consentement est portée en appel.[11][12]
Qu'exigent des entreprises les lignes directrices du CPVP sur la biométrie?
Les lignes directrices du CPVP du 11 août 2025 exigent en règle générale un consentement exprès, une solution de rechange pour les usages non essentiels, la suppression à tous les emplacements, y compris les sauvegardes, et des essais auprès de différents groupes démographiques.[15]
Le projet de loi C-36 est-il en vigueur au Canada?
Non. Le projet de loi C-36 a été déposé le 15 juin 2026 et en est à l'étape de la deuxième lecture à la Chambre des communes au 31 octobre 2026. Dans sa version déposée, il exigerait une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors du Canada.[17][18]
Le Canada exige-t-il que les données de vérification de l'identité soient stockées au Canada?
Pas pour les entreprises privées assujetties à la LPRPDE, qui permet les transferts assortis d'une protection comparable. La PIIDPA de la Nouvelle-Écosse oblige les organismes publics et leurs fournisseurs de services à conserver les données au Canada, sauf exception applicable.[16][20]
Sources
- Act to establish a legal framework for information technology, CQLR c. C-1.1, articles 44 et 45, LégisQuébec, à jour au 29 octobre 2026.
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
- Biométrie, Commission d’accès à l’information du Québec.
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 septembre 2022.
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 septembre 2023.
- Principaux changements apportés par la Loi 25, CAI.
- Décision, dossier 1037199-S, Metro Inc., CAI, 18 février 2025.
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 juillet 2026.
- Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
- Privacy Commissioner of Canada publishes guidance on biometrics, CPVP, 11 août 2025.
- Guidance for processing biometrics, for businesses, CPVP, 11 août 2025.
- Guidelines for processing personal data across borders, CPVP, 2009.
- Projet de loi C-36, 45e législature, 1re session, LEGISinfo, consulté le 31 octobre 2026.
- Projet de loi C-36, texte de la première lecture, Parlement du Canada, 15 juin 2026.
- Lignes directrices sur les communications à l'extérieur du Canada, Gouvernement de la Colombie-Britannique, mis à jour le 13 février 2025.
- Personal Information International Disclosure Protection Act, questions et réponses, Gouvernement de la Nouvelle-Écosse.
- La nouvelle Freedom of Information and Protection of Privacy Act de la Nouvelle-Écosse, David Fraser, Canadian Privacy Law Blog, 9 novembre 2025.
- Mises à jour de la FIPPA et de la MFIPPA, Information and Privacy Commissioner of Ontario.
- Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
- Face Match (1:1), documentation de Didit.
- Détection du vivant, documentation de Didit.
- Consentement biométrique, documentation de Didit.
- Conservation et suppression des données, documentation de Didit.
- Supprimer une session, documentation de Didit.
- Sécurité et conformité, documentation de Didit.
- Certifications, documentation de Didit.
- Langues prises en charge, documentation de Didit.
- Révision manuelle, documentation de Didit.
- Vérification par agence d'évaluation du crédit au Canada (FINTRAC), documentation de Didit.
- Vérification des pièces d'identité, documentation de Didit.
À lire ensuite : la vérification de l'identité au Canada, notre guide FINTRAC et la page vérification des pièces d'identité.
Vérifiez les utilisateurs du Québec avec une étape de consentement
Activez l'étape de consentement et traitez la suppression des données biométriques séparément des autres éléments de preuve.
Articles associés
- Exigences KYC de CANAFE (FINTRAC) pour les ESM crypto et de paiement (2026)
- Loi 25 du Québec et biométrie : guide de vérification de l'identité (2026)
- EUDI Wallet integration: how to choose your route (2026 guide)
- EUDI Wallet readiness: policies and controls for regulated firms
- EUDI Wallet holder binding: what a presentation really proves
- EUDI Wallet cross-border acceptance: one integration across the EU