Quebec Law 25와 생체인식: 신원 확인 가이드 (2026)

최종 검토일: 2026년 10월 31일 · 법률 자문이 아닙니다

퀘벡 Law 25(통과 전 명칭 Bill 64)는 퀘벡의 개인정보 보호 법제를 현대화한 2021년 법률이며, 그 생체정보 규칙은 실시간 셀피를 신분증 사진과 비교하는 온라인 신원 확인에도 적용됩니다.^[8][6] 이 규칙의 적용을 받는 사업자에게 얼굴 대조는 신고와 동의를 전제로 하는 절차입니다. 별도의 삭제 규칙이 적용되며, 데이터가 퀘벡 밖으로 나가는 경우 개인정보 영향평가도 필요합니다.^[1][3]

이 가이드는 Act respecting the protection of personal information in the private sector(민간 부문 개인정보 보호법), CAI 신고 양식, 2024년 이후의 CAI 결정, 2025년 8월 11일 연방 지침, Bill C-36, 4개 주의 공공 부문 규칙 등 공식 문서를 조항별로 살펴봅니다. 마지막에는 이번 달에 확인할 체크리스트를 제시합니다(캐나다 페이지도 함께 참고하십시오).

퀘벡 Law 25와 생체정보 한눈에 보기

1. 2022년 9월제44-45조 개정Law 25의 생체정보 관련 개정 시행. CAI 가이드 갱신.
2. 2023년 9월 22일대부분의 의무데이터가 퀘벡 밖으로 나가기 전 개인정보 영향평가, 민감정보에 대한 명시적 동의.
3. 2025년 2월 18일Metro 명령제45조에 따른 CAI의 첫 명령: 생체 데이터베이스 금지.
4. 2025년 8월 11일OPC 지침기업 대상 연방 생체정보 지침.
5. 2026년 6월 15일Bill C-36발의됨. 2026년 10월 31일 기준 2독회 단계.

퀘벡과 캐나다의 생체 신원 확인 관련 주요 일정.^{[6][8][10][14][17]}

퀘벡 Law 25는 생체 신원 확인에 대해 무엇을 규정하는가

Law 25는 여러 법률을 개정했습니다. 생체 관련 규정은 Act to establish a legal framework for information technology(CQLR c. C-1.1; 프랑스어로는 Loi concernant le cadre juridique des technologies de l’information, LCCJTI)의 제44조와 제45조에 있습니다.^[1] 신원 확인 플로우에서 적용되는 조항은 제44조입니다.

제44조Act to establish a legal framework for information technology

"사람의 신원은 그 확인 또는 입증을 Commission d’accès à l’information에 사전에 고지하고 당사자의 명시적 동의를 받은 경우를 제외하고는, 생체적 특성 또는 측정값을 이후 사용할 수 있게 하는 절차로 확인하거나 입증할 수 없다."

출처: LégisQuébec, CQLR c. C-1.1^[1]

동등하게 공식적인 프랑스어 조문은 금지 규정으로 시작합니다: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (누구도 CAI에 사전에 고지하지 않고 당사자의 명시적 동의 없이 생체 절차를 통한 신원 확인을 요구할 수 없습니다.)^[2] CAI의 자체 페이지는 더 나아갑니다. 생체 신원 확인을 요구하는 것은 금지되며, 당사자가 동의하지 않으면 다른 수단을 제공해야 한다고 밝히고 있습니다.^[5]

제44조는 이어서 제품 설계를 좌우하는 세 가지 제한을 둡니다:

• 최소 데이터: 해당 행위와 당사자를 연결하는 데 필요한 특성만, 당사자가 인지한 상태에서 수집합니다.^[1]
• 다른 용도 금지: 생체 데이터로 드러나는 그 밖의 어떤 정보도 당사자에 관한 결정이나 다른 목적에 사용할 수 없습니다.^[1]
• 파기: "특성 또는 측정값의 기록과 이에 관한 모든 기재 사항은 신원 확인 또는 입증의 목적이 달성되거나 확인 또는 입증의 사유가 더 이상 존재하지 않게 되는 즉시 파기해야 한다."^[1]

1:1 셀피 대조도 해당합니다

CAI의 가이드는 두 가지 목적을 모두 다룹니다. 식별은 데이터베이스에서 다수의 신원 중 하나를 찾는 것이고, 인증은 이미 알고 있는 사람의 생체 데이터와 "일대일"로 비교해 신원을 검증하는 것입니다.^[6] 이 가이드는 알고리즘이 이미지에서 추출한 코드, 템플릿 또는 모델도 생체정보라고 명시합니다.^[6] 2025년 2월 CAI는 한 소매업체의 안면인식 프로젝트가 생체 수단에 의한 신원 확인에 해당하며, 이는 법에 따라 명시적 동의가 필요하다고 판단했습니다.^[11]

제44조 신고 또는 제45조 데이터베이스

제45조는 저장된 얼굴 이미지나 템플릿 같은 생체 데이터베이스에 적용됩니다.^[1]

이 권한은 실제로 행사되고 있습니다. CAI가 2025년 2월 제45조에 따라 내린 첫 명령은 한 소매업체의 안면 인식 데이터베이스를 금지했습니다.^[11]

CAI 신고 양식의 질문과 벤더에게 받아야 할 자료

신원을 확인하는 기업이 CAI의 온라인 양식으로 신고하며, 모든 항목이 필수입니다.^[5][7] 실무에서는 답변 중 상당수가 벤더의 시스템에 관한 내용이므로 계약 전에 요청해야 합니다.

사용자 매뉴얼, 동의서, 퀘벡 외부로 전송되는 데이터에 관한 계약서, 개인정보 영향평가(프랑스어로 évaluation des facteurs relatifs à la vie privée, EFVP)를 첨부합니다.^[7]

명시적 동의와 비생체 대안

민간 부문법 제12조는 동의가 "민감한 개인정보에 관한 경우 명시적으로 이루어져야 한다"고 규정하며, 정보가 민감한 이유 중 하나로 생체정보의 성격을 명시합니다.^[3][4] CAI는 생체정보의 경우 유효한 동의란 명백하고 명시적이며, 자유롭고, 충분한 정보에 근거하며, 구체적이고, 기간이 제한된 동의라고 설명합니다.^[5] CAI는 시스템에 맞게 수정해 쓸 수 있는 동의서 양식을 공개하고 있습니다.^[5]

이 규칙의 후반부는 제품 팀이 놓치는 부분입니다. 개인은 거부하거나 철회할 자유가 있어야 하므로, CAI는 다른 해결책을 제공해야 한다고 밝힙니다.^[5] 연방 규제기관도 비필수적 이용에 대해 같은 입장입니다. "개인에게 다른 접근 또는 참여 수단을 제공해야 한다"고 하며, 그 수단에 대한 접근을 방해해서는 안 된다고 합니다.^[15]

퀘벡 이용자를 위한 동의 우선 인증 플로우입니다. 대안이 막다른 길이 되어서는 안 됩니다.^[3][5]

제12.1조는 결정이 전적으로 자동화된 처리에 기초하는 경우, 그 사실을 당사자에게 알리고 해당 결정을 검토할 수 있는 직원에게 의견을 제출할 수 있게 해야 한다고 덧붙입니다.^[3]

제17조: 데이터가 퀘벡을 벗어나기 전에 수행하는 개인정보 영향평가

제17조Act respecting the protection of personal information in the private sector

"퀘벡 외부로 개인정보를 제공하기 전에, 사업을 영위하는 자는 개인정보 영향평가를 수행해야 한다."

출처: LégisQuébec, CQLR c. P-39.1^[3]

영향평가에서는 데이터의 민감도, 목적, 계약을 포함한 보호 조치, 이전 대상지의 법적 체계를 따져봐야 합니다.^[3] 데이터는 영향평가에서 적절한 보호가 확인된 경우에만 이전할 수 있고, 이전은 영향평가 내용을 반영한 "서면 합의의 대상이 되어야 한다"고 규정합니다.^[3] 퀘벡 외부의 개인이나 기관이 귀사를 대신해 데이터를 수집, 이용, 제공 또는 보관하는 경우에도 같은 규정이 적용되며, 벤더가 바로 이 경우에 해당합니다.^[3] 저희 해석으로는 "퀘벡 외부"에 캐나다의 다른 주도 포함됩니다. 조문의 범위는 캐나다 국경에서 그치지 않습니다.^[3]

제3.3조는 정보시스템을 도입하거나 전면 개편하는 모든 프로젝트에 개인정보 영향평가를 요구하므로, 퀘벡 내에서도 새 벤더를 도입하려면 영향평가가 필요합니다.^[3] 제18.3조는 벤더를 위임 범위로 제한하고 이후 데이터를 보관하지 못하게 하는 서면 계약을 요구합니다.^[3]

벤더 기반 인증에서 Law 25의 각 의무가 적용되는 지점.^[1][3]

Law 25에 따른 제재

법을 위반하여 개인정보를 수집, 이용, 보관 또는 파기하면 CAI의 행정 과징금이나 형사 벌금 대상이 될 수 있습니다.^[3][9]

얼굴 인식에 관한 CAI의 결정

캐나다 전국 차원의 맥락: PIPEDA, OPC 지침, Bill C-36

얼굴을 이용한 연령 확인도 생체정보에 해당합니다. 이 경우는 캐나다의 연령 확인 가이드에서 다룹니다.

퀘벡 외 지역에서 민간 부문의 생체정보는 대부분의 주에서 연방법인 Personal Information Protection and Electronic Documents Act (PIPEDA)의 적용을 받습니다. 2025년 8월 11일 Office of the Privacy Commissioner of Canada (OPC)는 생체정보 가이드라인을 공표했으며, 이 가이드라인은 퀘벡의 규칙과 부합합니다.^[14]

국외 처리와 관련해 PIPEDA는 제17조와 다르게 작동합니다. OPC 가이드라인은 "PIPEDA는 캐나다 내 조직이 처리를 위해 개인정보를 다른 관할권의 조직에 이전하는 것을 금지하지 않는다"고 밝힙니다. 다만 해당 조직은 계속 책임을 지며, 계약 또는 그 밖의 수단을 통해 "상응하는 수준의 보호"를 제공해야 합니다.^[16]

Bill C-36은 Protecting Privacy and Consumer Data Act를 제정하고 PIPEDA를 개정하는 법안입니다. LEGISinfo에 따르면 이 법안은 2026년 6월 15일 발의되어 제1독회를 거쳤고, 2026년 10월 31일 현재 House of Commons에서 제2독회 단계에 있습니다.^[17] 이는 법안이며 법률이 아닙니다. 발의안 기준으로 제57(1)조는 개인정보를 캐나다 밖으로 공개하거나 이전하기 전에 개인정보 영향평가와 위험 완화 조치를 요구합니다. 또한 한 건의 조사에서 다루는 위반행위에 대한 최대 과징금은 CAD 10 million과 전 세계 총수입의 3% 중 큰 금액이 됩니다.^[18] 이 법안은 개인을 고유하게 식별할 수 있는 생체정보도 민감정보로 규정합니다.^[18]

BC, 노바스코샤, 온타리오, 앨버타의 공공 부문 데이터 레지던시

공공기관은 주법을 따르며, 제안요청서에서 제기되는 데이터 레지던시 관련 질문의 상당수는 이 주법에서 비롯됩니다. 결제 및 암호화폐 기업은 캐나다의 자금서비스사업자 및 암호화폐 KYC를 참조하십시오.

데이터를 캐나다에 보관하더라도, 데이터가 퀘벡에서 다른 주로 이전될 때 필요한 퀘벡 제17조 평가는 면제되지 않습니다.^[3]

이번 달 퀘벡 Law 25 생체 인증 체크리스트

퀘벡 사용자에게 얼굴 매칭을 적용하기 전에 CAI 신고를 제출하십시오.^[1]

• 계정 복구를 포함해 얼굴을 촬영하고 비교하는 모든 플로우를 목록으로 작성하십시오.
• 얼굴 매칭으로 해결하려는 문제를 자사 사기 데이터와 함께 기록하고, 시도한 덜 침해적인 대안도 기록하십시오.^[5]
• 저장된 이미지나 템플릿이 생체정보 데이터베이스에 해당하는지 확인하십시오. 해당하면 신속하게, 그리고 사용 최소 60일 전에 공개하십시오.^[1]
• 제3.3조 평가와 제17조 평가를 수행하고, 벤더와 서면 계약을 체결하십시오.^[3]
• 프랑스어와 영어로 명시적 동의 화면을 만들고, 각 동의 기록을 보관하십시오.^[5]
• 동의를 거부하거나 철회한 사람도 이용할 수 있는 비생체 경로를 제공하십시오.^[5]
• 목적이 달성되면 벤더와 백업에 있는 생체정보까지 파기되도록 보존 기간을 설정하십시오.^[1][15]
• 매칭에 실패한 건은 검토할 수 있는 담당자에게 넘기고, 자동화된 결정에 대해 사용자에게 알리십시오.^[3][15]
• 매뉴얼, 동의서, 계약서, 평가서를 첨부해 CAI 신고를 제출하십시오.^[7]

벤더에게 물어볼 데이터 레지던시 질문:

• 데이터가 기본적으로 어디에서 처리되고 저장되는지, 계약을 통해 다른 지역을 선택할 수 있는지 물어보십시오.
• 재수탁자 전체 목록을 각 재수탁자의 국가와 함께 요청하십시오.
• 캐나다 밖의 직원이 운영 데이터에 접근할 수 있는지 물어보십시오.
• 벤더의 인구통계학적 테스트 방식과 오류 측정 지표를 요청하십시오.^[15]

연방 자금세탁방지 규정의 적용을 받는 보고 의무 기관: 해당 내용은 2026년 FINTRAC 신원 확인 가이드에서 다룹니다. 퀘벡 개인정보 보호 의무는 별도로 평가하십시오.

Didit의 지원 방식

Didit의 신분증 인증과 라이브니스는 하나의 워크플로우에서 실행됩니다. 먼저 문서를 판독해 위변조 여부를 확인합니다. 이어서 패시브, 3D 액션 또는 플래싱 라이브니스 검사로 실제 사람임을 확인하고, 1:1 얼굴 대조로 셀피와 문서 사진을 비교합니다.^[24][25][34] 세션을 삭제한 후에는 얼굴 템플릿이 보관되지 않습니다. 단, 일수를 지정해 템플릿 보존 기능을 켠 경우는 예외입니다.^[27]

Didit은 데이터 프로세서로 활동하며, 컨트롤러는 계속 귀사입니다.^[29] 캐나다 신용평가기관 확인을 포함한 데이터베이스 검증은 귀사가 대안 경로로 평가해 볼 수 있는 비생체 확인 방식입니다. 데이터베이스 검증, AML 스크리닝 및 요금을 참조하십시오.^[33]

자주 묻는 질문

출처

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, 제44조 및 제45조, LégisQuébec, 2026년 10월 29일 기준 통합본.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, 제44조 및 제45조, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 2022년 9월 21일.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 2023년 9월 22일.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 2025년 2월 18일.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2026년 7월 2일.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 2025년 8월 11일.
15. Guidance for processing biometrics, for businesses, OPC, 2025년 8월 11일.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Bill C-36, 제45대 의회 제1회기, LEGISinfo, 2026년 10월 31일 열람.
18. Bill C-36, 제1독회 법안 원문, Parliament of Canada, 2026년 6월 15일.
19. 캐나다 외 공개에 관한 지침, Government of British Columbia, 2025년 2월 13일 업데이트.
20. Personal Information International Disclosure Protection Act, 질의응답, Government of Nova Scotia.
21. 노바스코샤의 새로운 Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 2025년 11월 9일.
22. FIPPA 및 MFIPPA 업데이트, Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
24. Face Match (1:1), Didit 문서.
25. 라이브니스 탐지, Didit 문서.
26. 생체정보 동의, Didit 문서.
27. 데이터 보관 및 삭제, Didit 문서.
28. 세션 삭제, Didit 문서.
29. 보안 및 컴플라이언스, Didit 문서.
30. 인증, Didit 문서.
31. 지원 언어, Didit 문서.
32. 수동 심사, Didit 문서.
33. 캐나다 신용조회기관(FINTRAC) 확인, Didit 문서.
34. 신분증 확인, Didit 문서.

다음: 캐나다의 신원 확인, FINTRAC 가이드, 신분증 확인 페이지.