Law 25 Quebec dan biometrik: panduan verifikasi identitas (2026)

Terakhir ditinjau: 31 Oktober 2026 · Bukan nasihat hukum

Quebec Law 25 (Bill 64 sebelum disahkan) adalah undang-undang tahun 2021 yang memodernisasi hukum privasi Quebec, dan aturan biometriknya mencakup pemeriksaan identitas online yang membandingkan selfie langsung dengan foto pada dokumen identitas.^[8][6] Bagi bisnis yang tunduk pada aturan ini, pencocokan wajah adalah proses yang dideklarasikan dan berbasis persetujuan, dengan aturan penghapusan tersendiri dan, jika data keluar dari provinsi, penilaian dampak privasi.^[1][3]

Panduan ini membaca teks resmi pasal demi pasal, termasuk Act respecting the protection of personal information in the private sector, formulir deklarasi CAI, putusan CAI sejak 2024, panduan federal tanggal 11 Agustus 2025, Bill C-36, dan aturan sektor publik empat provinsi. Panduan ini diakhiri dengan daftar periksa untuk bulan ini (dan halaman Kanada kami).

Sekilas tentang Quebec Law 25 dan biometrik

1. Sept. 2022Pasal 44-45 diubahPerubahan biometrik Law 25 mulai berlaku; panduan CAI diperbarui.
2. 22 Sept. 2023Sebagian besar kewajibanPIA sebelum data keluar dari Quebec, persetujuan eksplisit untuk data sensitif.
3. 18 Feb. 2025Perintah MetroPerintah CAI pertama berdasarkan pasal 45: basis data biometrik dilarang.
4. 11 Agu. 2025Panduan OPCPanduan federal tentang biometrik bagi pelaku usaha.
5. 15 Juni 2026Bill C-36Diajukan; berada pada tahap pembacaan kedua pada 31 Oktober 2026.

Tonggak bertanggal untuk verifikasi identitas biometrik di Quebec dan Kanada.^{[6][8][10][14][17]}

Ketentuan Quebec Law 25 tentang verifikasi identitas biometrik

Law 25 mengubah sejumlah undang-undang. Aturan biometriknya terdapat dalam pasal 44 dan 45 Act to establish a legal framework for information technology (CQLR c. C-1.1; dalam bahasa Prancis, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).^[1] Pasal 44 adalah pasal yang berlaku pada alur verifikasi identitas.

Pasal 44Act to establish a legal framework for information technology

"Identitas seseorang tidak boleh diverifikasi atau dikonfirmasi melalui proses yang memungkinkan karakteristik atau ukuran biometrik kemudian digunakan, kecuali verifikasi atau konfirmasi tersebut telah diungkapkan terlebih dahulu kepada Commission d’accès à l’information dan kecuali dengan persetujuan tegas dari orang yang bersangkutan."

Sumber: LégisQuébec, CQLR c. C-1.1^[1]

Teks bahasa Prancis, yang sama-sama resmi, dibuka dengan larangan: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Tidak seorang pun boleh mewajibkan verifikasi identitas melalui proses biometrik tanpa terlebih dahulu mengungkapkannya kepada CAI dan tanpa persetujuan tegas dari orang tersebut.)^[2] Halaman resmi CAI melangkah lebih jauh: halaman itu menyatakan bahwa mewajibkan verifikasi identitas biometrik dilarang dan bahwa cara lain harus disediakan jika seseorang tidak memberikan persetujuan.^[5]

Pasal 44 kemudian menambahkan tiga batasan yang memengaruhi desain produk:

• Data minimum: hanya karakteristik yang diperlukan untuk mengaitkan orang tersebut dengan tindakan yang bersangkutan, dan pengambilannya harus diketahui oleh orang tersebut.^[1]
• Tidak ada penggunaan lain: hal lain apa pun yang terungkap dari data biometrik tidak boleh digunakan untuk mengambil keputusan tentang orang tersebut atau untuk tujuan lain apa pun.^[1]
• Pemusnahan: "Rekaman karakteristik atau ukuran serta setiap catatan yang berkaitan dengannya harus dimusnahkan segera setelah tujuan verifikasi atau konfirmasi identitas tercapai atau alasan verifikasi atau konfirmasi tersebut tidak ada lagi."^[1]

Pencocokan selfie 1:1 juga termasuk

Panduan CAI mencakup dua tujuan: identifikasi, yang mencari di dalam basis data di antara banyak identitas, dan autentikasi, yang memvalidasi identitas melalui perbandingan "satu lawan satu" dengan data biometrik orang yang dikenal.^[6] Panduan tersebut juga menyatakan bahwa kode, templat, atau model yang diturunkan dari gambar oleh algoritma juga merupakan informasi biometrik.^[6] Pada Februari 2025, CAI menyimpulkan bahwa proyek pengenalan wajah milik sebuah peritel merupakan verifikasi identitas dengan sarana biometrik, yang memerlukan persetujuan tegas berdasarkan Act tersebut.^[11]

Deklarasi pasal 44 atau basis data pasal 45

Pasal 45 berlaku untuk basis data biometrik, misalnya gambar wajah atau templat yang disimpan.^[1]

Kewenangan ini benar-benar digunakan: perintah pertama CAI berdasarkan pasal 45, pada Februari 2025, melarang basis data pengenalan wajah milik sebuah peritel.^[11]

Apa yang ditanyakan formulir deklarasi CAI, dan apa yang perlu diminta dari vendor Anda

Perusahaan yang memverifikasi identitas menyampaikan deklarasi melalui formulir daring CAI, dan semua kolomnya wajib diisi.^[5][7] Dalam praktiknya, banyak jawaban menyangkut sistem vendor, jadi mintalah jawaban tersebut sebelum menandatangani kontrak.

Lampirkan manual pengguna, formulir persetujuan, perjanjian untuk data yang dikirim ke luar Quebec, dan penilaian dampak privasi (dalam bahasa Prancis, évaluation des facteurs relatifs à la vie privée, EFVP).^[7]

Persetujuan tegas dan alternatif non-biometrik

Pasal 12 Undang-Undang sektor swasta menyatakan bahwa persetujuan "harus diberikan secara tegas apabila menyangkut informasi pribadi yang sensitif", dan pasal tersebut menyebut sifat biometrik sebagai salah satu alasan suatu informasi tergolong sensitif.^[3][4] Untuk biometrik, CAI menyatakan bahwa persetujuan yang sah bersifat nyata dan tegas, bebas, terinformasi, spesifik, dan terbatas waktunya.^[5] CAI menerbitkan model formulir persetujuan yang dapat disesuaikan dengan sistem Anda.^[5]

Bagian kedua dari aturan ini sering terlewat oleh tim produk. Karena seseorang harus bebas menolak atau menarik persetujuan, CAI menyatakan bahwa solusi lain harus disediakan.^[5] Regulator federal menyatakan hal yang sama untuk penggunaan yang tidak esensial: "Anda harus menyediakan cara akses atau partisipasi lain bagi individu" dan tidak boleh menghambat akses ke cara tersebut.^[15]

Alur verifikasi yang mengutamakan persetujuan untuk pengguna di Quebec. Alternatifnya tidak boleh menjadi jalan buntu.^[3][5]

Pasal 12.1 menambahkan bahwa jika suatu keputusan didasarkan sepenuhnya pada pemrosesan otomatis, Anda harus memberi tahu orang tersebut dan memberinya kesempatan menyampaikan tanggapan kepada anggota staf yang dapat meninjau keputusan itu.^[3]

Pasal 17: penilaian dampak privasi sebelum data keluar dari Quebec

Pasal 17Act respecting the protection of personal information in the private sector

"Sebelum mengomunikasikan informasi pribadi ke luar Québec, orang yang menjalankan suatu usaha harus melakukan penilaian dampak privasi."

Sumber: LégisQuébec, CQLR c. P-39.1^[3]

Penilaian tersebut harus mempertimbangkan sensitivitas data, tujuannya, langkah perlindungan termasuk kontrak, dan kerangka hukum di negara atau wilayah tujuan.^[3] Data hanya boleh dikirim jika penilaian menunjukkan perlindungan yang memadai, dan transfer tersebut "harus dituangkan dalam perjanjian tertulis" yang mencerminkan penilaian itu.^[3] Hal yang sama berlaku jika orang atau badan di luar Quebec mengumpulkan, menggunakan, mengomunikasikan, atau menyimpan data atas nama Anda, yaitu kasus vendor.^[3] Menurut pembacaan kami, "di luar Québec" mencakup provinsi lain di Kanada: teksnya tidak berhenti di perbatasan Kanada.^[3]

Pasal 3.3 mewajibkan penilaian dampak privasi untuk setiap proyek pengadaan atau perombakan sistem informasi, sehingga vendor baru memerlukannya bahkan di dalam Quebec.^[3] Pasal 18.3 mewajibkan kontrak tertulis yang membatasi vendor pada mandatnya dan melarangnya menyimpan data setelah itu.^[3]

Posisi setiap kewajiban Law 25 dalam verifikasi berbasis vendor.^[1][3]

Sanksi berdasarkan Law 25

Mengumpulkan, menggunakan, menyimpan, atau memusnahkan informasi pribadi dengan melanggar undang-undang dapat berujung pada sanksi administratif CAI atau denda pidana.^[3][9]

Putusan CAI tentang pengenalan wajah

Konteks seluruh Kanada: PIPEDA, panduan OPC, dan Bill C-36

Pemeriksaan usia dengan wajah juga termasuk biometrik; panduan kami tentang verifikasi usia di Kanada membahas kasus tersebut.

Di luar Quebec, biometrik sektor swasta di sebagian besar provinsi tunduk pada undang-undang federal Personal Information Protection and Electronic Documents Act (PIPEDA). Pada 11 Agustus 2025, Office of the Privacy Commissioner of Canada (OPC) menerbitkan panduannya tentang biometrik, yang sejalan dengan aturan Quebec.^[14]

Untuk pemrosesan lintas batas, PIPEDA bekerja secara berbeda dari pasal 17. Pedoman OPC menyatakan bahwa "PIPEDA tidak melarang organisasi di Kanada mentransfer informasi pribadi kepada organisasi di yurisdiksi lain untuk diproses", tetapi organisasi tersebut tetap bertanggung jawab dan harus menggunakan kontrak atau cara lain untuk memberikan "tingkat perlindungan yang sebanding".^[16]

RUU C-36, yang akan memberlakukan Protecting Privacy and Consumer Data Act dan mengubah PIPEDA, diajukan dan dibacakan pertama kali pada 15 Juni 2026 dan berada pada tahap pembacaan kedua di House of Commons per 31 Oktober 2026, menurut LEGISinfo.^[17] Ini masih RUU, bukan undang-undang. Sesuai naskah saat diajukan, pasal 57(1) akan mewajibkan penilaian dampak privasi dan langkah mitigasi risiko sebelum informasi pribadi diungkapkan atau ditransfer ke luar Kanada, dan denda maksimum untuk pelanggaran dalam satu investigasi adalah yang lebih besar antara CAD 10 juta dan 3% dari pendapatan kotor global.^[18] RUU ini juga mencantumkan informasi biometrik yang mampu mengidentifikasi seseorang secara unik sebagai informasi sensitif.^[18]

Residensi data sektor publik di BC, Nova Scotia, Ontario, dan Alberta

Badan publik mengikuti undang-undang provinsi, yang menjadi sumber banyak pertanyaan tentang residensi data dalam permintaan proposal. Perusahaan pembayaran dan kripto: lihat KYC untuk bisnis layanan uang dan kripto di Kanada.

Residensi di Kanada tidak menghapus penilaian pasal 17 Quebec saat data keluar dari Quebec ke provinsi lain.^[3]

Daftar periksa verifikasi biometrik Quebec Law 25 untuk bulan ini

Ajukan deklarasi CAI sebelum pencocokan wajah diaktifkan untuk pengguna Quebec.^[1]

• Catat setiap alur yang mengambil dan membandingkan wajah, termasuk pemulihan akun.
• Tuliskan masalah yang diselesaikan pencocokan wajah, dengan data penipuan Anda sendiri, serta opsi yang kurang intrusif yang sudah Anda coba.^[5]
• Periksa apakah gambar atau templat yang disimpan membentuk basis data biometrik; jika ya, ungkapkan segera dan paling lambat 60 hari sebelum digunakan.^[1]
• Lakukan penilaian pasal 3.3 dan pasal 17, lalu tanda tangani perjanjian tertulis dengan vendor.^[3]
• Buat layar persetujuan tegas dalam bahasa Prancis dan Inggris, dan simpan catatan setiap persetujuan.^[5]
• Sediakan jalur nonbiometrik yang berfungsi bagi orang yang menolak atau menarik persetujuan.^[5]
• Tetapkan retensi agar data biometrik dimusnahkan setelah tujuannya tercapai, di vendor dan di cadangan.^[1][15]
• Arahkan pencocokan yang gagal kepada orang yang dapat meninjaunya, dan beri tahu pengguna tentang keputusan otomatis.^[3][15]
• Ajukan deklarasi CAI dengan melampirkan manual, formulir persetujuan, perjanjian, dan penilaian.^[7]

Pertanyaan tentang residensi untuk vendor:

• Tanyakan di mana data diproses dan disimpan secara default, dan apakah wilayah lain tersedia melalui kontrak.
• Minta daftar lengkap sub-pemroses beserta negara masing-masing.
• Tanyakan apakah staf di luar Kanada dapat mengakses data produksi.
• Minta penjelasan tentang pendekatan pengujian demografis vendor dan ukuran kesalahannya.^[15]

Entitas pelapor berdasarkan aturan federal antipencucian uang: panduan kami tentang verifikasi identitas FINTRAC pada 2026 membahas sisi tersebut; nilai kewajiban privasi Quebec secara terpisah.

Bagaimana Didit membantu

Verifikasi ID dan liveness Didit berjalan dalam satu alur kerja: dokumen dibaca dan diperiksa untuk mendeteksi manipulasi, lalu pemeriksaan liveness pasif, 3D action, atau flashing memastikan keberadaan orang yang hidup, dan pencocokan wajah 1:1 membandingkan swafoto dengan foto potret pada dokumen.^[24][25][34] Templat wajah tidak disimpan setelah sesi dihapus, kecuali Anda mengaktifkan retensi templat dengan jumlah hari yang ditentukan.^[27]

Didit bertindak sebagai pemroses data; Anda tetap menjadi pengendali data.^[29] Validasi basis data, termasuk pemeriksaan biro kredit Kanada, adalah pemeriksaan non-biometrik yang dapat Anda nilai untuk jalur alternatif Anda: lihat validasi basis data, penyaringan AML, dan harga.^[33]

Pertanyaan yang sering diajukan

Sumber

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, pasal 44 dan 45, LégisQuébec, konsolidasi hingga 29 Oktober 2026.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 September 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 September 2023.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 18 Februari 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 Juli 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 Agustus 2025.
15. Guidance for processing biometrics, for businesses, OPC, 11 Agustus 2025.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Bill C-36, Parlemen ke-45, sesi ke-1, LEGISinfo, dibaca 31 Oktober 2026.
18. Bill C-36, teks pembacaan pertama, Parliament of Canada, 15 Juni 2026.
19. Panduan tentang pengungkapan di luar Kanada, Government of British Columbia, diperbarui 13 Februari 2025.
20. Personal Information International Disclosure Protection Act, tanya jawab, Government of Nova Scotia.
21. Freedom of Information and Protection of Privacy Act yang baru di Nova Scotia, David Fraser, Canadian Privacy Law Blog, 9 November 2025.
22. Pembaruan FIPPA dan MFIPPA, Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
24. Face Match (1:1), dokumentasi Didit.
25. Deteksi liveness, dokumentasi Didit.
26. Persetujuan biometrik, dokumentasi Didit.
27. Retensi dan penghapusan data, dokumentasi Didit.
28. Hapus sesi, dokumentasi Didit.
29. Keamanan dan kepatuhan, dokumentasi Didit.
30. Sertifikasi, dokumentasi Didit.
31. Bahasa yang didukung, dokumentasi Didit.
32. Tinjauan manual, dokumentasi Didit.
33. Verifikasi biro kredit Kanada (FINTRAC), dokumentasi Didit.
34. Verifikasi ID, dokumentasi Didit.

Berikutnya: verifikasi identitas di Kanada, panduan FINTRAC kami, dan halaman verifikasi ID.