ケベック州Law 25と生体認証：本人確認ガイド（2026年）
ケベック州Law 25と生体認証による本人確認を解説します。第44条に基づくCAIへの届出と明示的同意、第45条のデータベース規定、ベンダーに関する第17条の評価、罰則、CAIの決定、OPCのガイダンス、導入企業向けチェックリストを扱います。
要点
ケベック州Law 25の下では、IDの写真と照合するセルフィーなど、顔の生体情報で本人確認を行う事業者は、事前にCommission d’accès à l’information（CAI、ケベック州のプライバシー規制当局）に届け出たうえで、本人の明示的な同意を得なければなりません。[1][5] この規則を定めるのはケベック州IT Framework Actの第44条です。CAIは、拒否した人には生体情報を使わない代替手段を提供しなければならないとしています。[1][5]
- 生体情報データベースは、速やかに、かつ稼働の60日以上前までに届け出なければなりません（第45条）。[1]
- ケベック州外のベンダーにデータを送る場合は、事前にプライバシー影響評価と書面による契約が必要です（第17条）。[3]
- 罰則の上限は、行政罰でCAD 10 millionまたは全世界売上高の2%、刑事罰でCAD 25 millionまたは4%です。[3]
ケベック州Law 25（成立前はBill 64）は、ケベック州のプライバシー法を現代化した2021年の法律です。その生体情報に関する規則は、ライブのセルフィーと本人確認書類の写真を照合するオンライン本人確認にも及びます。[8][6] この規則の対象となる事業者にとって、顔照合は届出と同意を前提とするプロセスです。独自の削除ルールがあり、データが州外に出る場合はプライバシー影響評価も必要になります。[1][3]
本ガイドでは、公式の条文を条ごとに読み解きます。対象はAct respecting the protection of personal information in the private sector（民間部門における個人情報保護法）、CAIの届出様式、2024年以降のCAIの決定、2025年8月11日の連邦ガイダンス、Bill C-36、そして4つの州の公共部門の規則です。最後に今月中に対応すべきチェックリストを掲載しています（あわせてカナダのページもご覧ください）。
ケベック州向けオンボーディングフローの構築
Diditは、書類チェック、ライブネス検知、1:1の顔照合を1つのワークフローで実行します。同意ステップ、保存期間の設定、お客様が管理できる削除機能も備えています。無料で始めるか、ケベック州のユーザーについてお問い合わせください。
ケベック州Law 25と生体情報の概要
| 質問 | 簡潔な回答 |
|---|---|
| 根拠法 | Law 25（S.Q. 2021, c. 25）により改正されたIT Framework Act（CQLR c. C-1.1）の第44条および第45条[1] |
| 施行時期 | CAIの生体情報ガイドによれば、生体情報関連の改正は2022年9月から。Law 25のその他の義務の大半は2023年9月22日から[6][8] |
| セルフィーとIDの照合は対象になるか | はい。CAIは1:1の認証と1:Nの識別を同様に扱います[6] |
| 本人が拒否した場合 | 別の確認手段を提供します。生体情報の利用を必須にすることはできません[2][5] |
| ケベック州外のベンダー | 移転前にプライバシー影響評価と書面による契約が必要（第17条）[3] |
| 連邦法 | PIPEDAを、2025年8月11日のOPCの生体情報ガイダンスとあわせて読みます。Bill C-36は第二読会の段階です[14][15][17] |
- 2022年9月第44条〜第45条を改正Law 25の生体情報関連の改正が発効。CAIのガイドを更新。
- 2023年9月22日義務の大半データがケベック州外に出る前のPIA、センシティブなデータに対する明示的な同意。
- 2025年2月18日Metro命令第45条に基づく初のCAI命令。生体認証データベースが禁止された。
- 2025年8月11日OPCガイダンス事業者向けの連邦レベルの生体認証ガイダンス。
- 2026年6月15日Bill C-36提出済み。2026年10月31日時点で第二読会の段階にある。
ケベック州とカナダにおける生体認証による本人確認の主な日程。[6][8][10][14][17]
ケベック州Law 25は生体認証による本人確認について何を定めているか
Law 25は複数の法律を改正した。生体認証に関する規定は、Act to establish a legal framework for information technology（CQLR c. C-1.1。フランス語ではLoi concernant le cadre juridique des technologies de l’information、LCCJTI）の第44条と第45条にある。[1] 本人確認フローが該当するのは第44条である。
第44条Act to establish a legal framework for information technology（情報技術の法的枠組みを確立する法律）
「何人の本人確認または本人性の確認も、生体的特徴または生体計測値をその後使用できる手段によって行ってはならない。ただし、当該確認があらかじめCommission d’accès à l’informationに開示され、かつ本人の明示的な同意がある場合はこの限りでない。」
同等に正文であるフランス語版は、禁止の形で始まる。« Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. »（何人も、事前にCAIへ開示せず、かつ本人の明示的な同意なしに、生体認証の手段による本人確認を求めてはならない。）[2] CAI自身のページはさらに踏み込んでいる。生体認証による本人確認を求めることは禁止されており、本人が同意しない場合は別の手段を提供しなければならないと述べている。[5]
第44条はさらに、製品設計を左右する3つの制限を加えている。
- 最小限のデータ：本人と行為を結び付けるために必要な特徴のみを、本人が認識している状態で取得する。[1]
- 他の利用の禁止：生体データから判明するその他の情報を、本人に関する判断や他のいかなる目的にも使用してはならない。[1]
- 破棄：「特徴または計測値の記録およびそれに関するあらゆる記載は、本人確認または本人性の確認の目的が達成された時点、または確認の理由が存在しなくなった時点で、直ちに破棄しなければならない。」[1]
1対1のセルフィー照合も対象になる
CAIのガイドは2つの目的の両方を対象としている。多数の身元の中からデータベースを検索する「識別」と、既知の人物の生体データとの「1対1」の照合によって身元を確認する「認証」である。[6] ガイドはまた、アルゴリズムによって画像から生成されたコード、テンプレートまたはモデルも生体情報にあたると述べている。[6] 2025年2月、CAIはある小売業者の顔認識プロジェクトが生体認証の手段による本人確認にあたり、同法に基づき明示的な同意が必要であると判断した。[11]
注意
同意だけでは足りない。CAIは、同意がある場合でも収集は必要性の要件を満たさなければならず、有用性や利便性は生体情報の収集を正当化しないと述べている。[5] 顔照合が必要な理由と、検討したより侵襲性の低い代替手段を文書化しておくこと。
第44条の届出か、第45条のデータベースか
第45条は、保存された顔画像やテンプレートなどの生体認証データベースに適用される。[1]
すべての生体認証による本人確認
第44条の届出
- 使用前に手続をCAIへ開示する
- 各人から明示的な同意を得る
- 目的が達成されたら生体記録を破棄する
第44条、CQLR c. C-1.1
生体認証データベースを構築する場合
第45条のデータベース
- 速やかに、遅くとも稼働の60日前までに開示する
- CAIは使用、保存および破棄に関する規則を定めることができる
- CAIは、停止、禁止または破棄を命じることができる
第45条、CQLR c. C-1.1
これらの権限は実際に行使されている。CAIが第45条に基づき初めて出した命令は2025年2月で、小売業者の顔認識データベースを禁止した。[11]
CAIの申告フォームで問われる事項と、ベンダーから入手すべきもの
本人確認を行う事業者が、CAIのオンラインフォームで申告する。すべての項目が必須である。[5][7] 実際には回答の多くがベンダーのシステムに関するものである。そのため、契約前にベンダーに求めておく。
| CAIフォームの質問 | 問われる事項 | ベンダーから入手すべきもの |
|---|---|---|
| Q7, Q8 | 稼働予定日、モデル名または製品名と供給者、ユーザーガイドの添付[7] | 製品名、添付できる文書 |
| Q9, Q11 | システムの仕組み、取得する特徴（例：顔の形状）[7] | 撮影、ライブネス検知、1:1照合についての平易な説明 |
| Q14 | 生体情報データベースを作成するかどうか[7] | 画像またはテンプレートをデータベースに保存するかどうか、その保存期間 |
| Q16, Q17 | 検討したより侵襲性の低い手段と、文書化された課題[7] | 自社の不正データ、ベンダーの生体情報を使わない選択肢 |
| Q20 | 保存形式：元の画像、不可逆なテンプレート、または何も保存しない[7] | 何を、どの形式で保存するか、デフォルトの保存期間 |
| Q22 | 中央データベースのホスト先：ケベック州内、カナダの他の地域、または国外[7] | データおよびすべての再委託先のホスト国 |
| Q23 | 生体情報と記録をいつ破棄するか[7] | 削除のトリガー（バックアップを含む） |
| Q24からQ26 | 明示的な同意、その形式、いつでも撤回できること、別の本人確認手段[7] | 同意画面、その記録、生体情報を使わない手段 |
| Q27, Q28 | 供給者のスタッフを含むデータへのアクセス権者、セキュリティ対策[7] | アクセス権限、暗号化、監査報告書 |
ユーザーマニュアル、同意書、ケベック州外へのデータ移転に関する契約書、プライバシー影響評価（フランス語でévaluation des facteurs relatifs à la vie privée、EFVP）を添付する。[7]
明示的な同意と、生体情報を使わない代替手段
民間部門法第12条は、同意は「機微な個人情報に関わる場合には明示的に与えられなければならない」と定めている。また、情報が機微とされる理由の一つとして生体的性質を挙げている。[3][4] CAIによれば、生体情報について有効な同意とは、明白かつ明示的で、自由で、十分な情報に基づき、特定的で、期間が限定されたものである。[5] CAIは、自社のシステムに合わせて調整できる同意書のひな形を公開している。[5]
このルールの後半は、プロダクトチームが見落としがちな部分である。本人は拒否または撤回できなければならないため、CAIは別の手段を用意しなければならないとしている。[5] 連邦の規制当局も、必須ではない用途について同じ立場をとる。「個人に対して、アクセスまたは参加のための他の手段を提供しなければならない」とし、その手段の利用を妨げてはならないとしている。[15]
1撮影の前にチェック内容を説明する
目的、取得するデータ、保存期間、データの移転先、代替手段。
本人が顔照合に明示的に同意する
本人確認書類、ライブネス検知、1:1照合
同意を記録し、目的を達成した時点で生体データを破棄する。
生体情報を使わないルート
例えば、データベース照会や担当者による書類確認など、顔の撮影を伴わない方法。
2担当者がレビューできる体制で判定する
完全に自動化された判定であることをユーザーに伝え、意見を述べる機会を与える（第12.1条）。
ケベック州のユーザー向けの、同意を起点とする本人確認フロー。代替手段は行き止まりであってはならない。[3][5]
第12.1条はさらに、判定が自動処理のみに基づく場合、その旨を本人に伝え、判定をレビューできる職員に意見を提出する機会を与えなければならないと定めている。[3]
第17条：データがケベック州外に出る前のプライバシー影響評価
第17条Act respecting the protection of personal information in the private sector(民間部門における個人情報の保護に関する法律)
「ケベック州外に個人情報を提供する前に、事業を営む者はプライバシー影響評価を実施しなければならない。」
評価では、データの機微性、利用目的、契約を含む保護措置、移転先の法的枠組みを検討しなければなりません。[3] データを移転できるのは、評価によって適切な保護が確認された場合に限られます。また、移転は評価内容を反映した「書面による合意の対象としなければならない」とされています。[3] ケベック州外の個人または機関がお客様に代わってデータを収集、利用、提供または保管する場合も同様です。これはベンダーに委託するケースに当たります。[3] 当社の解釈では、「ケベック州外」にはカナダの他の州も含まれます。条文はカナダの国境で区切っていません。[3]
第3.3条は、情報システムの導入または全面的な刷新を伴うあらゆるプロジェクトについてプライバシー影響評価を求めています。そのため、ケベック州内であっても新たなベンダーには評価が必要です。[3] 第18.3条は、ベンダーの業務を委託の範囲に限定し、委託終了後にデータを保持させない書面契約を求めています。[3]
本番稼働前：PIA、第44条の申告、書面による合意
ライブネス検知と1:1照合
ベンダーを利用した本人確認における、Law 25の各義務の位置づけ。[1][3]
Didit でベンダーへの回答を準備する
CAI の様式で問われる同意の手順、保存期間、削除、処理地域は、Didit のドキュメントで説明しています。認証ベンダーを選ぶ前に、ご相談ください。
Law 25 に基づく罰則
法律に違反して個人情報を収集、利用、保持または廃棄した場合、CAI による行政制裁金または刑事罰金の対象となり得ます。[3][9]
| 手段 | 企業に対する上限 | 条項 |
|---|---|---|
| 行政制裁金 | CAD 10,000,000、または前会計年度の全世界売上高の2%のいずれか高い額[3] | s. 90.12 |
| 刑事罰金 | CAD 15,000からCAD 25,000,000、または全世界売上高の4%のいずれか高い額[3] | s. 91 |
| 再犯 | 刑事罰金は2倍になります[3] | s. 92.1 |
顔認識に関する CAI の決定
| 決定 | 事実関係 | 結果 |
|---|---|---|
| 雇用主、2024年9月 | 建物への入館に顔認識を使用。Osler によれば、雇用主は同意を得ており、データベースの届出も済ませていた[13] | 停止を命じられた。Osler によれば、収集が同法の要件を満たしていなかった[13] |
| Metro Inc.、2025年2月18日 | 万引きや詐欺に関係する人物の顔のデータベースを計画。2024年9月6日に届出[10][11] | データベースは禁止。生体情報による本人確認には明示的な同意が必要。第45条に基づく初の命令[11] |
| Metro Inc.、2026年4月1日 | Ogletree によれば、最大10店舗での試験導入、一致しなかったテンプレートは保持せず、保存期間は18か月[12] | Ogletree によれば、収集は「必要」と認定。2年間、半年ごとの報告。同意に関する判断は引き続き不服申立て中[12] |
ベンダー選定への教訓
Ogletree による2026年の決定の説明によれば、あるサプライヤーはシステムが顔の特徴量をどう作成するのか「まったく分からない」と述べ、別のサプライヤーはアルゴリズムが第三者のものであるため誤り率を示せませんでした。[12] CAI に届け出る前に、照合の仕組みと誤りの測定方法をベンダーに確認してください。
カナダ全体の状況：PIPEDA、OPC のガイダンス、Bill C-36
顔を使った年齢確認も生体情報に該当します。このケースはカナダにおける年齢確認のガイドで解説しています。
ケベック州以外では、ほとんどの州で、民間部門の生体情報は連邦法であるPersonal Information Protection and Electronic Documents Act（PIPEDA）の対象となる。2025年8月11日、Office of the Privacy Commissioner of Canada（OPC）は生体情報に関するガイダンスを公表した。その内容はケベック州のルールと整合している。[14]
| 項目 | OPCガイダンス(2025年8月11日) | ケベック州 |
|---|---|---|
| 1:1認証 | 「1対1」の照合。可能な場合は識別よりもこちらを優先する[15] | 認証として対象になる[6] |
| 同意 | テンプレートを含む機微な生体情報については、原則として明示的な同意が必要[15] | 明示的な同意が必要(第44条)[1] |
| 代替手段 | 必須ではない用途では必要[15] | 本人が拒否した場合は必要[5] |
| 削除 | クラウドストレージやバックアップを含むすべての保存場所、および第三者のもとから削除する[15] | すべての複製を削除する。アクセス権を持つプロバイダーのもとにあるものも対象[6] |
| 精度 | 人口統計グループごとに検証する。ベンダーの主張だけに依拠しない[15] | Ogletreeによると、Metro 2026ではエラー率が精査された[12] |
| 透明性 | 生体情報の保存場所を示し、サービスプロバイダーの名称または概要を示す[15] | CAI form Q22およびQ27[7] |
国境を越える処理について、PIPEDAの仕組みは第17条とは異なる。OPCのガイドラインは「PIPEDAは、カナダの組織が処理のために他の法域の組織へ個人情報を移転することを禁止していない」と述べている。ただし、組織は引き続き説明責任を負い、契約その他の手段によって「同等の保護水準」を確保しなければならない。[16]
Bill C-36は、Protecting Privacy and Consumer Data Actを制定し、PIPEDAを改正する法案である。2026年6月15日に提出されて第一読会を終え、LEGISinfoによると、2026年10月31日時点でHouse of Commonsの第二読会の段階にある。[17] これは法案であり、法律ではない。提出時の条文では、第57(1)条により、個人情報をカナダ国外へ開示または移転する前に、プライバシー影響評価とリスク軽減措置が求められる。また、1件の調査における違反に対する罰金の上限額は、CAD 10 millionと全世界総収益の3%のいずれか高い額となる。[18] 個人を一意に識別できる生体情報も、機微情報として挙げられている。[18]
ブリティッシュコロンビア州、ノバスコシア州、オンタリオ州、アルバータ州の公的部門におけるデータレジデンシー
公的機関は州法に従う。提案依頼書におけるレジデンシーに関する質問の多くは、これらの州法に起因する。決済事業者と暗号資産事業者は次を参照: カナダの資金サービス事業者と暗号資産事業者向けKYC。
| 州 | 公的機関に適用されるルール | 本人確認ベンダーへの影響 |
|---|---|---|
| ブリティッシュコロンビア州 | 厳格なデータ所在地要件は2021年11月25日に撤廃。機微なデータをカナダ国外に保管するには、PIAでの追加評価とリスクベースの判断が必要[19] | 評価後であれば可能。ガイダンスは生体データを一般に機微なデータとして挙げている[19] |
| ノバスコシア州 | PIIDPA: 公的機関とそのサービス提供者が保有するデータはカナダ国内に保管し、カナダ国内でのみアクセスする。ただし、機関の長が必要と判断し、報告した場合を除く[20] | 国外での保管とアクセスには、この例外の適用が必要。David Fraserによれば、2025年の法律がPIIDPAに代わり、規則で定めるルールを導入する[21] |
| オンタリオ州 | 2025年7月1日以降、FIPPAに基づき個人情報を収集する前のプライバシー影響評価が義務[22] | IPCの変更点一覧にデータ所在地に関するルールはない。PIAに関する質問を想定する |
| アルバータ州 | Protection of Privacy Actは2025年6月11日に施行。プライバシー管理プログラムは2026年6月11日から義務[23] | PIAとプログラムの証拠を求められると想定する |
データをカナダ国内に置いていても、ケベック州から他州へ移転する場合は、同州の第17条に基づく評価が免除されるわけではない。[3]
今月実施するケベック州Law 25の生体認証チェックリスト
ケベック州のユーザー向けに顔照合を稼働させる前に、CAIへ届出を提出する。[1]
- 顔を取得して照合するすべてのフローを、アカウント復旧も含めて洗い出す。
- 顔照合で解決する課題を自社の不正データとともに文書化し、試した侵害性の低い選択肢も記録する。[5]
- 保存する画像またはテンプレートが生体データベースに当たるか確認する。該当する場合は、速やかに、かつ使用の少なくとも60日前に開示する。[1]
- 第3.3条と第17条の評価を実施し、ベンダーと書面の契約を締結する。[3]
- フランス語と英語で明示的同意の画面を作り、同意ごとに記録を残す。[5]
- 同意を拒否または撤回した人が利用できる、生体情報を使わない手段を提供する。[5]
- 目的の達成後に生体データが破棄されるよう保存期間を設定する。ベンダー側とバックアップも対象とする。[1][15]
- 照合に失敗した案件は確認できる担当者に回し、自動化された意思決定についてユーザーに伝える。[3][15]
- マニュアル、同意書、契約書、評価書を添付して、CAIへ届出を提出する。[7]
ベンダーに確認するデータ所在地の質問:
- データのデフォルトの処理場所と保管場所、および契約により別のリージョンを選べるかを確認する。
- サブプロセッサーの全リストを、各社の国とともに提出するよう求める。
- カナダ国外のスタッフが本番データにアクセスできるかを確認する。
- ベンダーのデモグラフィックテストの手法と誤り指標の提示を求める。[15]
連邦のマネーロンダリング対策規則の対象となる報告事業者: この点は当社のガイドFINTRAC identity verification in 2026で解説している。ケベック州のプライバシー義務は別途評価する。
Diditによる支援
Didit の本人確認書類の検証とライブネス検知は、1つのワークフローで実行される。書類を読み取って改ざんの有無を確認し、パッシブ、3Dアクション、またはフラッシュによるライブネスチェックで本人が実在することを確認し、1:1の顔照合でセルフィーと書類の顔写真を比較する。[24][25][34] 顔テンプレートは、日数を指定してテンプレート保持を有効にしない限り、セッション削除後は保持されない。[27]
Didit が提供するもの
- 最初の顔撮影の前に表示する生体情報の同意ステップ。「Always」モードでは全員に表示し、回答はセッションに保持します[26]
- 1か月から10年までの保持期間、コンソールまたはAPIによるセッション削除、保持中のテンプレートを消去するプライバシー消去指示[27][28]
- デフォルトではEU域内で処理します。Enterpriseでは、提供状況と契約を条件として国内処理が可能です[27]
- フランス語の認証フロー、フラグが付いたセッションの手動審査、カナダの信用情報機関のクレジットヘッダーデータの確認[31][32][33]
- SOC 2 Type 2、ISO/IEC 27001:2022、iBeta Level 1のプレゼンテーション攻撃検知[30]
お客様の側に残るもの
- 必要性の分析とCAIへの届出
- 第3.3条および第17条に基づくプライバシー影響評価
- 同意の文言と生体情報を使わない代替手段
- 最終判断と、異議が出た結果の再検討
Didit はデータ処理者として行動し、お客様がデータ管理者のままです。[29] カナダの信用情報機関による確認を含むデータベース検証は、代替手段として評価できる非生体認証の確認です。データベース検証、AMLスクリーニング、料金をご覧ください。[33]
重要なポイント
- セルフィーと身分証の顔照合は、第44条の生体情報による本人確認に該当します。CAIに届け出て、明示的な同意を取得する必要があります。
- CAIは、生体情報による本人確認を必須にしてはならないとしています。同意しない人には、生体情報を使わない手段を提供してください。
- 保存された顔画像またはテンプレートの生体情報データベースは、速やかに、かつ運用開始の少なくとも60日前までに届け出る必要があります。
- カナダの他の地域を含むケベック州外のベンダーには、第17条の評価と書面による契約が必要です。
- Bill C-36は第二読会の段階です。現在はPIPEDAと2025年8月11日付のOPCガイダンスが適用されます。
よくある質問
ケベック州のKYCでセルフィーと顔照合を利用できますか?
はい、条件付きで利用できます。ケベック州のIT Framework Act第44条は、手続きを事前にCAIへ開示し、本人が明示的に同意した場合に限り、生体情報による本人確認を認めています。CAIのガイドは1:1照合を対象としています。[1][6]
生体情報による本人確認をCAIに届け出る必要がありますか?
はい。第44条は、本人確認の手続きを使用前にCommission d’accès à l’informationへ開示するよう求めています。CAIはオンラインフォームで届出を受け付けており、すべての項目が必須です。[1][5][7]
ケベック州の生体情報に関する60日ルールとは何ですか?
第45条は、生体的特徴のデータベースの作成を、速やかに、かつ運用開始の60日前までにCAIへ開示するよう求めています。再訪ユーザーの認識に使用する、保存された顔画像やテンプレートがその例です。[1]
ケベック州で、事業者はユーザーにセルフィーによる本人確認を義務付けることができますか?
第44条の公式フランス語条文によれば、CAIへの事前の開示と本人の明示的な同意がなければ認められません。CAIのページはさらに踏み込んでいます。生体認証を義務付けることは禁止されており、同意しない人には別の手段を提供しなければなりません。[2][5]
生体データを本人確認ベンダーのためにケベック州外へ移転できますか？
はい。第17条に基づくプライバシー影響評価で適切な保護が示され、書面による契約を締結した後であれば可能です。ケベック州外のプロバイダーがお客様に代わってデータを収集または保管する場合も同様です。[3]
ケベック州Law 25の罰則はどのようなものですか？
行政上の金銭的制裁の上限は、CAD 10 millionまたは全世界売上高の2%のいずれか高い方である。刑事罰金の上限はCAD 25 millionまたは4%で、再犯の場合は2倍となる。[3]
CAIはMetroと顔認識についてどのような判断を示しましたか？
2025年2月18日、CAIはMetroの生体データベースを禁止し、この計画は明示的な同意を要する本人確認であると判断した。Ogletreeによれば、2026年4月1日の決定はパイロットを必要と認めたが、同意に関する判断は上訴中である。[11][12]
OPCの生体情報ガイダンスは企業に何を求めていますか？
2025年8月11日のOPCガイダンスは、原則としての明示的な同意、必須でない用途での代替手段、バックアップを含むすべての保存場所からの削除、人口統計グループ横断でのテストを求めています。[15]
Bill C-36はカナダで法律になっていますか？
いいえ。Bill C-36は2026年6月15日に提出され、2026年10月31日時点でHouse of Commonsの第二読会の段階にある。提出時の案では、個人情報をカナダ国外へ移転する前にプライバシー影響評価を行うことが義務付けられる。[17][18]
カナダは本人確認データをカナダ国内に保管することを義務付けていますか？
民間企業については、PIPEDAの下で義務付けられていません。PIPEDAは同等の保護があれば移転を認めています。ノバスコシア州のPIIDPAは、例外に該当しない限り、公的機関とそのサービスプロバイダーにデータをカナダ国内で保管するよう求めています。[16][20]
出典
- Act to establish a legal framework for information technology, CQLR c. C-1.1, 第44条および第45条、LégisQuébec、2026年10月29日時点の統合版。
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, 第44条および第45条、LégisQuébec。
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1、LégisQuébec。
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1、LégisQuébec。
- Biométrie、Commission d’accès à l’information du Québec。
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0、CAI、2022年9月21日。
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques、CAI。
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui、CAI、2023年9月22日。
- Principaux changements apportés par la Loi 25、CAI。
- Décision, dossier 1037199-S, Metro Inc.、CAI、2025年2月18日。
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques、CAI。
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec、Ogletree Deakins、2026年7月2日。
- Québec privacy commissioner continues to set high bar for biometric data processing、Osler。
- Privacy Commissioner of Canada publishes guidance on biometrics、OPC、2025年8月11日。
- Guidance for processing biometrics, for businesses、OPC、2025年8月11日。
- Guidelines for processing personal data across borders、OPC、2009年。
- Bill C-36、第45議会第1会期、LEGISinfo、2026年10月31日閲覧。
- Bill C-36、第一読会の本文、Parliament of Canada、2026年6月15日。
- カナダ国外への開示に関するガイダンス、Government of British Columbia、2025年2月13日更新。
- Personal Information International Disclosure Protection Act、質問と回答、Government of Nova Scotia。
- ノバスコシア州の新しい Freedom of Information and Protection of Privacy Act、David Fraser、Canadian Privacy Law Blog、2025年11月9日。
- FIPPA および MFIPPA の更新情報、Information and Privacy Commissioner of Ontario。
- Protection of Privacy Act、Office of the Information and Privacy Commissioner of Alberta。
- Face Match (1:1)、Didit ドキュメント。
- ライブネス検知、Didit ドキュメント。
- 生体情報に関する同意、Didit ドキュメント。
- データの保存と削除、Didit ドキュメント。
- セッションの削除、Didit ドキュメント。
- セキュリティとコンプライアンス、Didit ドキュメント。
- 取得認証、Didit ドキュメント。
- 対応言語、Didit ドキュメント。
- 手動審査、Didit ドキュメント。
- カナダの信用情報機関 (FINTRAC) 照合、Didit ドキュメント。
- 身分証確認、Didit ドキュメント。
次に読む: カナダの本人確認、当社のFINTRAC ガイド、身分証確認のページ。
関連記事
- ケベック州Law 25と生体認証：本人確認ガイド（2026年）
- 暗号資産・決済事業者向けFINTRAC MSB KYC要件（2026年）
- EUDI Wallet integration: how to choose your route (2026 guide)
- EUDI Wallet readiness: policies and controls for regulated firms
- EUDI Wallet holder binding: what a presentation really proves
- EUDI Wallet cross-border acceptance: one integration across the EU