क्यूबेक Law 25 और बायोमेट्रिक्स: पहचान सत्यापन गाइड (2026)

अंतिम समीक्षा: 31 अक्टूबर 2026 · कानूनी सलाह नहीं

Quebec Law 25 (पारित होने से पहले Bill 64) 2021 का वह क़ानून है जिसने Quebec के निजता क़ानूनों का आधुनिकीकरण किया। इसके बायोमेट्रिक नियम उन ऑनलाइन पहचान जांचों पर लागू होते हैं जो लाइव सेल्फ़ी की तुलना पहचान दस्तावेज़ की फ़ोटो से करती हैं।^[8][6] इन नियमों के अधीन व्यवसाय के लिए, फ़ेस मैच एक घोषित, सहमति-आधारित प्रक्रिया है। इसका अपना डेटा नष्ट करने का नियम है, और जब डेटा प्रांत से बाहर जाता है तो निजता प्रभाव आकलन ज़रूरी है।^[1][3]

यह गाइड आधिकारिक पाठों को धारा-दर-धारा पढ़ती है। इनमें Act respecting the protection of personal information in the private sector (निजी क्षेत्र में व्यक्तिगत जानकारी के संरक्षण से संबंधित अधिनियम), CAI का घोषणा फ़ॉर्म, 2024 से उसके निर्णय, 11 अगस्त 2025 का संघीय मार्गदर्शन, Bill C-36 और चार प्रांतों के सार्वजनिक क्षेत्र के नियम शामिल हैं। अंत में इस महीने के लिए एक चेकलिस्ट है (और हमारा Canada पेज)।

Quebec Law 25 और बायोमेट्रिक्स एक नज़र में

1. सितंबर 2022धारा 44-45 संशोधितLaw 25 के बायोमेट्रिक बदलाव लागू; CAI गाइड अपडेट।
2. 22 सितंबर 2023अधिकांश दायित्वडेटा Quebec से बाहर जाने से पहले PIA, संवेदनशील डेटा के लिए स्पष्ट सहमति।
3. 18 फ़रवरी 2025Metro आदेशधारा 45 के तहत CAI का पहला आदेश: एक बायोमेट्रिक डेटाबेस प्रतिबंधित किया गया।
4. 11 अगस्त 2025OPC मार्गदर्शनव्यवसायों के लिए बायोमेट्रिक्स पर संघीय मार्गदर्शन।
5. 15 जून 2026Bill C-36पेश किया गया; 31 अक्टूबर 2026 को दूसरे वाचन के चरण में।

क्यूबेक और कनाडा में बायोमेट्रिक पहचान सत्यापन के तिथिवार पड़ाव।^{[6][8][10][14][17]}

बायोमेट्रिक पहचान सत्यापन के बारे में क्यूबेक का Law 25 क्या कहता है

Law 25 ने कई क़ानूनों में संशोधन किया। इसके बायोमेट्रिक नियम Act to establish a legal framework for information technology (CQLR c. C-1.1; फ़्रेंच में Loi concernant le cadre juridique des technologies de l’information, LCCJTI) की धारा 44 और 45 में हैं।^[1] पहचान सत्यापन की प्रक्रिया से धारा 44 लागू होती है।

धारा 44Act to establish a legal framework for information technology

"किसी व्यक्ति की पहचान का सत्यापन या पुष्टि ऐसी प्रक्रिया से नहीं की जा सकती जिससे बायोमेट्रिक विशेषताओं या मापों का बाद में उपयोग किया जा सके, सिवाय तब जब ऐसे सत्यापन या पुष्टि की जानकारी पहले Commission d’accès à l’information को दी गई हो और संबंधित व्यक्ति की स्पष्ट सहमति हो।"

स्रोत: LégisQuébec, CQLR c. C-1.1^[1]

फ़्रेंच पाठ, जो समान रूप से आधिकारिक है, एक निषेध से शुरू होता है: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (कोई भी व्यक्ति CAI को पहले जानकारी दिए बिना और व्यक्ति की स्पष्ट सहमति के बिना यह माँग नहीं कर सकता कि पहचान का सत्यापन बायोमेट्रिक प्रक्रिया से किया जाए।)^[2] CAI का अपना पेज इससे आगे जाता है: उसके अनुसार बायोमेट्रिक पहचान सत्यापन की माँग करना प्रतिबंधित है, और जब कोई व्यक्ति सहमति न दे तो कोई दूसरा तरीका देना होगा।^[5]

इसके बाद धारा 44 तीन सीमाएँ जोड़ती है, जो उत्पाद का स्वरूप तय करती हैं:

• न्यूनतम डेटा: केवल वे विशेषताएँ जो व्यक्ति को उस कार्य से जोड़ने के लिए ज़रूरी हैं, और जो व्यक्ति की जानकारी में ली गई हों।^[1]
• कोई अन्य उपयोग नहीं: बायोमेट्रिक डेटा से सामने आने वाली किसी भी अन्य बात का उपयोग व्यक्ति के बारे में निर्णय लेने या किसी अन्य उद्देश्य के लिए नहीं किया जा सकता।^[1]
• नष्ट करना: "विशेषताओं या मापों का रिकॉर्ड और उससे जुड़ी कोई भी टिप्पणी, पहचान के सत्यापन या पुष्टि का उद्देश्य पूरा होते ही या सत्यापन या पुष्टि का कारण समाप्त होते ही नष्ट की जानी चाहिए।"^[1]

1:1 सेल्फ़ी मिलान भी इसमें आता है

CAI की गाइड दोनों उद्देश्यों को कवर करती है: पहचान (identification), जो कई पहचानों के बीच डेटाबेस में खोज करती है, और प्रमाणीकरण (authentication), जो किसी ज्ञात व्यक्ति के बायोमेट्रिक डेटा से "एक के मुकाबले एक" तुलना करके पहचान की पुष्टि करता है।^[6] गाइड यह भी कहती है कि किसी एल्गोरिदम द्वारा छवि से निकाला गया कोड, टेम्पलेट या मॉडल भी बायोमेट्रिक जानकारी है।^[6] फ़रवरी 2025 में CAI ने पाया कि एक रिटेलर की फ़ेशियल रिकग्निशन परियोजना बायोमेट्रिक माध्यम से पहचान सत्यापन थी, जिसके लिए Act के तहत स्पष्ट सहमति ज़रूरी है।^[11]

धारा 44 की घोषणा या धारा 45 का डेटाबेस

धारा 45 बायोमेट्रिक डेटाबेस पर लागू होती है, उदाहरण के लिए संग्रहीत चेहरे की छवियाँ या टेम्पलेट।^[1]

इन शक्तियों का प्रयोग होता है: धारा 45 के तहत CAI के पहले आदेश ने, फ़रवरी 2025 में, एक खुदरा विक्रेता के फ़ेशियल रिकग्निशन डेटाबेस को प्रतिबंधित किया।^[11]

CAI घोषणा फ़ॉर्म क्या पूछता है, और अपने वेंडर से क्या लें

पहचान सत्यापित करने वाला उद्यम CAI के ऑनलाइन फ़ॉर्म के ज़रिए घोषणा करता है, और हर फ़ील्ड अनिवार्य है।^[5][7] व्यवहार में, कई उत्तर वेंडर के सिस्टम से जुड़े होते हैं, इसलिए अनुबंध पर हस्ताक्षर करने से पहले ये जानकारी मांग लें।

उपयोगकर्ता मैनुअल, सहमति फ़ॉर्म, Quebec से बाहर भेजे गए डेटा का समझौता और निजता प्रभाव आकलन (फ़्रेंच में, évaluation des facteurs relatifs à la vie privée, EFVP) संलग्न करें।^[7]

स्पष्ट सहमति और गैर-बायोमेट्रिक विकल्प

निजी क्षेत्र के Act की धारा 12 कहती है कि सहमति "स्पष्ट रूप से दी जानी चाहिए जब वह संवेदनशील व्यक्तिगत जानकारी से संबंधित हो", और यह जानकारी के संवेदनशील होने के कारणों में बायोमेट्रिक प्रकृति का नाम लेती है।^[3][4] बायोमेट्रिक्स के लिए, CAI कहता है कि वैध सहमति प्रकट और स्पष्ट, स्वतंत्र, सूचित, विशिष्ट और समय में सीमित होती है।^[5] CAI एक मॉडल सहमति फ़ॉर्म प्रकाशित करता है, जिसे आप अपने सिस्टम के अनुसार ढाल सकते हैं।^[5]

नियम का दूसरा हिस्सा वह है जिसे product टीमें अक्सर नज़रअंदाज़ कर देती हैं। CAI का कहना है कि व्यक्ति को मना करने या सहमति वापस लेने की स्वतंत्रता होनी चाहिए, इसलिए एक दूसरा समाधान उपलब्ध कराना होगा।^[5] संघीय नियामक भी गैर-आवश्यक उपयोगों के लिए यही कहता है: "आपको व्यक्तियों को पहुँच या भागीदारी के अन्य साधन उपलब्ध कराने होंगे" और उन तक पहुँच में बाधा नहीं डालनी चाहिए।^[15]

Quebec के उपयोगकर्ताओं के लिए सहमति-आधारित सत्यापन flow। विकल्प कोई बंद रास्ता नहीं होना चाहिए।^[3][5]

धारा 12.1 यह भी कहती है कि जब कोई निर्णय पूरी तरह स्वचालित प्रोसेसिंग पर आधारित हो, तो आपको व्यक्ति को बताना होगा और उसे ऐसे कर्मचारी के सामने अपनी टिप्पणियाँ रखने देना होगा जो निर्णय की समीक्षा कर सके।^[3]

धारा 17: डेटा Quebec से बाहर जाने से पहले निजता प्रभाव आकलन

धारा 17Act respecting the protection of personal information in the private sector

"Québec के बाहर व्यक्तिगत जानकारी का संप्रेषण करने से पहले, उद्यम चलाने वाले व्यक्ति को निजता प्रभाव मूल्यांकन करना होगा।"

स्रोत: LégisQuébec, CQLR c. P-39.1^[3]

मूल्यांकन में डेटा की संवेदनशीलता, उसका उद्देश्य, अनुबंधों सहित सुरक्षा उपाय और गंतव्य के कानूनी ढाँचे का आकलन होना चाहिए।^[3] डेटा तभी भेजा जा सकता है जब मूल्यांकन पर्याप्त सुरक्षा दिखाए, और हस्तांतरण "एक लिखित समझौते का विषय होना चाहिए" जो मूल्यांकन को दर्शाए।^[3] यही नियम तब भी लागू होता है जब Quebec के बाहर कोई व्यक्ति या संस्था आपकी ओर से डेटा एकत्र करती है, उपयोग करती है, संप्रेषित करती है या रखती है, यानी सेवा प्रदाता का मामला।^[3] हमारी समझ में, "Québec के बाहर" में कनाडा के अन्य प्रांत भी शामिल हैं: पाठ कनाडा की सीमा पर नहीं रुकता।^[3]

धारा 3.3 के अनुसार किसी सूचना प्रणाली को प्राप्त करने या उसमें बड़ा बदलाव करने की हर परियोजना के लिए निजता प्रभाव आकलन ज़रूरी है। इसलिए Quebec के भीतर भी नए vendor के लिए यह आकलन करना होगा।^[3] धारा 18.3 के अनुसार एक लिखित अनुबंध ज़रूरी है, जो vendor को केवल सौंपे गए कार्य (mandate) तक सीमित रखे और कार्य पूरा होने के बाद उसे डेटा रखने से रोके।^[3]

Vendor-आधारित सत्यापन में Law 25 का हर दायित्व कहाँ आता है।^[1][3]

Law 25 के तहत दंड

कानून का उल्लंघन करके व्यक्तिगत जानकारी एकत्र करने, उपयोग करने, रखने या नष्ट करने पर CAI का प्रशासनिक दंड या दंडात्मक जुर्माना लग सकता है।^[3][9]

फ़ेशियल रिकग्निशन पर CAI ने क्या निर्णय दिए हैं

कनाडा-व्यापी संदर्भ: PIPEDA, OPC का मार्गदर्शन और Bill C-36

चेहरे से की जाने वाली आयु जाँच भी बायोमेट्रिक्स मानी जाती है; कनाडा में आयु सत्यापन पर हमारी गाइड इस स्थिति को कवर करती है।

क्यूबेक के बाहर, अधिकांश प्रांतों में निजी क्षेत्र के बायोमेट्रिक्स संघीय Personal Information Protection and Electronic Documents Act (PIPEDA) के दायरे में आते हैं। 11 अगस्त 2025 को Office of the Privacy Commissioner of Canada (OPC) ने बायोमेट्रिक्स पर अपना मार्गदर्शन प्रकाशित किया, जो क्यूबेक के नियमों के अनुरूप है।^[14]

सीमा पार प्रोसेसिंग के मामले में PIPEDA, धारा 17 से अलग तरीके से काम करता है। OPC के दिशानिर्देशों में कहा गया है कि "PIPEDA कनाडा के संगठनों को प्रोसेसिंग के लिए व्यक्तिगत जानकारी किसी अन्य क्षेत्राधिकार के संगठन को स्थानांतरित करने से नहीं रोकता", लेकिन जवाबदेही संगठन की ही रहती है और उसे अनुबंधों या अन्य साधनों से "सुरक्षा का तुलनीय स्तर" सुनिश्चित करना होता है।^[16]

Bill C-36, जो Protecting Privacy and Consumer Data Act को लागू करेगा और PIPEDA में संशोधन करेगा, 15 जून 2026 को पेश किया गया और उसका प्रथम वाचन हुआ। LEGISinfo के अनुसार, 31 अक्टूबर 2026 की स्थिति में यह House of Commons में द्वितीय वाचन के चरण में है।^[17] यह एक विधेयक है, कानून नहीं। पेश किए गए रूप में, इसकी धारा 57(1) के तहत व्यक्तिगत जानकारी को कनाडा के बाहर प्रकट या स्थानांतरित करने से पहले निजता प्रभाव आकलन और जोखिम कम करने के उपाय आवश्यक होंगे। एक जाँच में पाए गए उल्लंघनों के लिए अधिकतम दंड CAD 10 million और सकल वैश्विक राजस्व के 3% में से जो अधिक हो, वह होगा।^[18] यह किसी व्यक्ति की विशिष्ट पहचान करने में सक्षम बायोमेट्रिक जानकारी को भी संवेदनशील जानकारी के रूप में सूचीबद्ध करता है।^[18]

BC, नोवा स्कोटिया, ओंटारियो और अल्बर्टा में सार्वजनिक क्षेत्र की डेटा रेज़िडेंसी

सार्वजनिक निकाय प्रांतीय कानूनों का पालन करते हैं, और प्रस्ताव अनुरोधों में रेज़िडेंसी से जुड़े कई सवाल इन्हीं कानूनों के कारण उठते हैं। भुगतान और क्रिप्टो कंपनियाँ देखें: कनाडा में मनी सर्विसेज़ बिज़नेस और क्रिप्टो के लिए KYC।

जब डेटा क्यूबेक से किसी अन्य प्रांत में जाता है, तब कनाडाई रेजिडेंसी से क्यूबेक की धारा 17 का आकलन समाप्त नहीं होता।^[3]

इस महीने के लिए क्यूबेक Law 25 बायोमेट्रिक सत्यापन की चेकलिस्ट

क्यूबेक के उपयोगकर्ताओं के लिए चेहरा मिलान लाइव होने से पहले CAI घोषणा दाखिल करें।^[1]

• चेहरा कैप्चर करने और उसकी तुलना करने वाले हर फ़्लो की सूची बनाएँ, अकाउंट रिकवरी सहित।
• चेहरा मिलान जिस समस्या को हल करता है, उसे अपने धोखाधड़ी डेटा के साथ लिखें, और वे कम दखल देने वाले विकल्प भी लिखें जिन्हें आपने आज़माया।^[5]
• जाँचें कि संग्रहीत छवियाँ या टेम्पलेट बायोमेट्रिक डेटाबेस बनाते हैं या नहीं; यदि हाँ, तो इसका खुलासा तुरंत और उपयोग से कम से कम 60 दिन पहले करें।^[1]
• धारा 3.3 और धारा 17 के आकलन करें, और वेंडर के साथ लिखित समझौता करें।^[3]
• फ़्रेंच और अंग्रेज़ी में स्पष्ट सहमति की स्क्रीन बनाएँ, और हर सहमति का रिकॉर्ड रखें।^[5]
• सहमति देने से इनकार करने या उसे वापस लेने वाले लोगों के लिए काम करने वाला गैर-बायोमेट्रिक विकल्प दें।^[5]
• प्रतिधारण इस तरह तय करें कि उद्देश्य पूरा होते ही बायोमेट्रिक डेटा वेंडर के पास और बैकअप में नष्ट हो जाए।^[1][15]
• असफल मिलानों को ऐसे व्यक्ति के पास भेजें जो उनकी समीक्षा कर सके, और उपयोगकर्ताओं को स्वचालित निर्णयों के बारे में बताएँ।^[3][15]
• CAI घोषणा मैनुअल, सहमति फ़ॉर्म, समझौते और आकलन के साथ दाखिल करें।^[7]

वेंडरों से रेजिडेंसी से जुड़े सवाल:

• पूछें कि डिफ़ॉल्ट रूप से डेटा कहाँ प्रोसेस और स्टोर होता है, और क्या अनुबंध के तहत कोई अन्य क्षेत्र उपलब्ध है।
• हर सब-प्रोसेसर के देश सहित पूरी सब-प्रोसेसर सूची माँगें।
• पूछें कि क्या कनाडा के बाहर के कर्मचारी प्रोडक्शन डेटा तक पहुँच सकते हैं।
• वेंडर का जनसांख्यिकीय परीक्षण तरीका और त्रुटि माप माँगें।^[15]

संघीय एंटी-मनी लॉन्ड्रिंग नियमों के तहत रिपोर्टिंग संस्थाएँ: उस पक्ष की जानकारी के लिए 2026 में FINTRAC पहचान सत्यापन पर हमारी गाइड देखें; क्यूबेक के निजता दायित्वों का आकलन अलग से करें।

Didit कैसे मदद करता है

Didit का ID सत्यापन और लाइवनेस एक ही वर्कफ़्लो में चलते हैं: दस्तावेज़ को पढ़ा जाता है और उसमें छेड़छाड़ की जाँच होती है, फिर पैसिव, 3D एक्शन या फ्लैशिंग लाइवनेस जाँच पुष्टि करती है कि सामने जीवित व्यक्ति है, और 1:1 फेस मैच सेल्फ़ी की तुलना दस्तावेज़ के पोर्ट्रेट से करता है।^[24][25][34] सेशन हटाए जाने के बाद फेस टेम्पलेट नहीं रखे जाते, जब तक आप तय दिनों की संख्या के साथ टेम्पलेट प्रतिधारण चालू न करें।^[27]

Didit डेटा प्रोसेसर के रूप में काम करता है; कंट्रोलर आप ही रहते हैं।^[29] डेटाबेस वैलिडेशन, जिसमें कनाडाई क्रेडिट ब्यूरो की जाँच शामिल है, एक गैर-बायोमेट्रिक जाँच है जिसका आकलन आप अपने वैकल्पिक मार्ग के लिए कर सकते हैं: देखें डेटाबेस वैलिडेशन, AML स्क्रीनिंग और मूल्य निर्धारण।^[33]

अक्सर पूछे जाने वाले प्रश्न

स्रोत

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, धाराएं 44 और 45, LégisQuébec, 29 अक्टूबर 2026 तक समेकित।
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, धाराएं 44 और 45, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 सितंबर 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 सितंबर 2023.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 18 फ़रवरी 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 जुलाई 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 अगस्त 2025.
15. Guidance for processing biometrics, for businesses, OPC, 11 अगस्त 2025.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Bill C-36, 45वीं संसद, प्रथम सत्र, LEGISinfo, 31 अक्टूबर 2026 को पढ़ा गया।
18. Bill C-36, पहले वाचन का पाठ, Parliament of Canada, 15 जून 2026।
19. कनाडा के बाहर प्रकटीकरण पर मार्गदर्शन, Government of British Columbia, 13 फ़रवरी 2025 को अपडेट किया गया।
20. Personal Information International Disclosure Protection Act, प्रश्न और उत्तर, Government of Nova Scotia।
21. Nova Scotia का नया Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 9 नवंबर 2025।
22. FIPPA और MFIPPA अपडेट, Information and Privacy Commissioner of Ontario।
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta।
24. Face Match (1:1), Didit दस्तावेज़ीकरण।
25. लाइवनेस डिटेक्शन, Didit दस्तावेज़ीकरण।
26. बायोमेट्रिक सहमति, Didit दस्तावेज़ीकरण।
27. डेटा का प्रतिधारण और नष्ट करना, Didit दस्तावेज़ीकरण।
28. सेशन हटाएँ, Didit दस्तावेज़ीकरण।
29. सुरक्षा और अनुपालन, Didit दस्तावेज़ीकरण।
30. प्रमाणन, Didit दस्तावेज़ीकरण।
31. समर्थित भाषाएँ, Didit दस्तावेज़ीकरण।
32. मैनुअल समीक्षा, Didit दस्तावेज़ीकरण।
33. कनाडा क्रेडिट ब्यूरो (FINTRAC) सत्यापन, Didit दस्तावेज़ीकरण।
34. ID सत्यापन, Didit दस्तावेज़ीकरण।

आगे: कनाडा में पहचान सत्यापन, हमारी FINTRAC गाइड और ID सत्यापन पेज।