Lei 25 do Quebec e biometria: guia de verificação de identidade (2026)
Lei 25 do Quebec e verificação biométrica de identidade: declaração à CAI e consentimento expresso (art. 44), bancos de dados (art. 45), avaliação de fornecedores (art. 17), penalidades, decisões da CAI, guia do OPC e checklist.
Em resumo
Pela Law 25 de Quebec, uma empresa que verifica a identidade com biometria facial, como uma selfie comparada à foto de um documento, deve avisar antes a Commission d’accès à l’information (CAI, a autoridade de proteção de dados de Quebec) e obter o consentimento expresso da pessoa.[1][5] O artigo 44 do IT Framework Act de Quebec estabelece essa regra, e a CAI afirma que uma opção não biométrica deve ser oferecida a quem recusar.[1][5]
- Um banco de dados biométricos deve ser declarado sem demora e pelo menos 60 dias antes de entrar em operação (artigo 45).[1]
- Enviar os dados a um fornecedor fora de Quebec exige antes uma avaliação de impacto à privacidade e um contrato escrito (artigo 17).[3]
- As penalidades chegam a CAD 10 milhões ou 2% do faturamento mundial (administrativas) e a CAD 25 milhões ou 4% (penais).[3]
A Law 25 de Quebec (Bill 64 antes de ser aprovada) é a lei de 2021 que modernizou as leis de privacidade de Quebec, e suas regras sobre biometria alcançam as verificações de identidade online que comparam uma selfie ao vivo com a foto de um documento de identidade.[8][6] Para uma empresa sujeita a essas regras, a comparação facial é um processo declarado e baseado em consentimento, com regra própria de exclusão e, quando os dados saem da província, uma avaliação de impacto à privacidade.[1][3]
Este guia lê os textos oficiais artigo por artigo, incluindo o Act respecting the protection of personal information in the private sector, o formulário de declaração da CAI, suas decisões desde 2024, a orientação federal de 11 de agosto de 2025, o Bill C-36 e as regras do setor público de quatro províncias. Termina com um checklist para este mês (e nossa página sobre o Canadá).
Como montar um fluxo de onboarding em Quebec
A Didit executa verificação de documentos, liveness e comparação facial 1:1 em um único fluxo, com etapa de consentimento, configurações de retenção e exclusão sob seu controle. Comece grátis ou fale com a gente sobre seus usuários em Quebec.
Law 25 de Quebec e biometria em resumo
| Pergunta | Resposta curta |
|---|---|
| Qual lei | Artigos 44 e 45 do IT Framework Act (CQLR c. C-1.1), alterado pela Law 25 (S.Q. 2021, c. 25)[1] |
| Em vigor desde | Setembro de 2022 para as mudanças sobre biometria, segundo o guia de biometria da CAI; a maioria das outras obrigações da Law 25 desde 22 de setembro de 2023[6][8] |
| A comparação entre selfie e documento conta | Sim: a CAI trata da mesma forma a autenticação 1:1 e a identificação 1:N[6] |
| Se a pessoa recusar | Ofereça outra forma de verificação; a biometria não pode ser exigida[2][5] |
| Fornecedor fora de Quebec | Avaliação de impacto à privacidade e contrato escrito antes da transferência (artigo 17)[3] |
| Lei federal | PIPEDA, lida em conjunto com a orientação do OPC sobre biometria de 11 de agosto de 2025; o Bill C-36 está em segunda leitura[14][15][17] |
- Set. 2022artigos 44-45 alteradosEntram em vigor as mudanças da Law 25 sobre biometria; guia da CAI atualizado.
- 22 set. 2023Maioria das obrigaçõesAvaliação de impacto à privacidade antes de os dados saírem de Quebec, consentimento expresso para dados sensíveis.
- 18 fev. 2025Decisão MetroPrimeira decisão da CAI com base no art. 45: banco de dados biométrico proibido.
- 11 ago. 2025Orientações do OPCOrientações federais sobre biometria para empresas.
- 15 jun. 2026Projeto de lei C-36Apresentado; em segunda leitura em 31 de outubro de 2026.
Marcos datados da verificação biométrica de identidade em Quebec e no Canadá.[6][8][10][14][17]
O que a Law 25 de Quebec diz sobre a verificação biométrica de identidade
A Law 25 alterou várias leis. Suas regras sobre biometria estão nos artigos 44 e 45 do Act to establish a legal framework for information technology (Lei que estabelece um marco jurídico para a tecnologia da informação, CQLR c. C-1.1; em francês, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).[1] O artigo 44 é o que um fluxo de verificação de identidade aciona.
Artigo 44Act to establish a legal framework for information technology
"A identidade de uma pessoa não pode ser verificada ou confirmada por meio de um procedimento que permita o uso posterior de características ou medidas biométricas, exceto quando essa verificação ou confirmação tiver sido previamente divulgada à Commission d’accès à l’information e com o consentimento expresso da pessoa em questão."
Fonte: LégisQuébec, CQLR c. C-1.1[1]
O texto em francês, igualmente oficial, começa com uma proibição: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Ninguém pode exigir que a identidade seja verificada por um procedimento biométrico sem antes divulgá-lo à CAI e sem o consentimento expresso da pessoa.)[2] A própria página da CAI vai além: afirma que exigir a verificação biométrica de identidade é proibido e que outro meio deve ser oferecido quando a pessoa não consentir.[5]
O artigo 44 acrescenta ainda três limites que moldam o produto:
- Dados mínimos: apenas as características necessárias para vincular a pessoa ao ato, coletadas com o conhecimento da pessoa.[1]
- Nenhum outro uso: nada mais revelado pelos dados biométricos pode ser usado para tomar uma decisão sobre a pessoa ou para qualquer outra finalidade.[1]
- Destruição: "O registro das características ou medidas e qualquer anotação a elas relativa devem ser destruídos assim que a finalidade da verificação ou confirmação de identidade tiver sido atingida ou o motivo da verificação ou confirmação deixar de existir."[1]
Uma comparação de selfie 1:1 conta
O guia da CAI abrange as duas finalidades: a identificação, que busca em um banco de dados entre muitas identidades, e a autenticação, que valida uma identidade por uma comparação "um contra um" com os dados biométricos de uma pessoa conhecida.[6] O guia também afirma que um código, template ou modelo derivado de uma imagem por um algoritmo também é informação biométrica.[6] Em fevereiro de 2025, a CAI concluiu que o projeto de reconhecimento facial de um varejista era uma verificação de identidade por meios biométricos, o que exige consentimento expresso nos termos da lei.[11]
Atenção
O consentimento sozinho não basta. A CAI afirma que, mesmo com consentimento, a coleta deve atender ao teste de necessidade, e que utilidade e conveniência não justificam a coleta de biometria.[5] Documente por que uma comparação facial é necessária e quais opções menos invasivas você considerou.
Declaração do artigo 44 ou banco de dados do artigo 45
O artigo 45 se aplica a um banco de dados biométrico, por exemplo imagens faciais ou templates armazenados.[1]
Toda verificação biométrica
Declaração do artigo 44
- Divulgar o procedimento à CAI antes de usá-lo
- Obter o consentimento expresso de cada pessoa
- Destruir o registro biométrico quando a finalidade for atingida
art. 44, CQLR c. C-1.1
Se for criado um banco de dados biométrico
Banco de dados do artigo 45
- Divulgar prontamente, e com pelo menos 60 dias de antecedência da entrada em operação
- A CAI pode estabelecer regras sobre uso, retenção e destruição
- A CAI pode suspender, proibir ou ordenar a destruição
art. 45, CQLR c. C-1.1
Esses poderes são usados: a primeira ordem da CAI com base no artigo 45, em fevereiro de 2025, proibiu o banco de dados de reconhecimento facial de um varejista.[11]
O que o formulário de declaração da CAI pede e o que obter do seu fornecedor
A empresa que verifica a identidade faz a declaração pelo formulário online da CAI, e todos os campos são obrigatórios.[5][7] Na prática, muitas das respostas dizem respeito ao sistema do fornecedor, por isso peça essas informações antes de assinar.
| Pergunta do formulário da CAI | O que ela pede | O que obter do fornecedor |
|---|---|---|
| Q7, Q8 | Data prevista de entrada em operação; nome do modelo ou produto e fornecedor, com o guia do usuário anexado[7] | Nome do produto, a documentação que você pode anexar |
| Q9, Q11 | Como o sistema funciona; quais características são capturadas, por exemplo o formato do rosto[7] | Uma descrição simples da captura, da prova de vida e da comparação 1:1 |
| Q14 | Se é criado um banco de dados biométrico[7] | Se imagens ou templates são armazenados em um banco de dados, e por quanto tempo |
| Q16, Q17 | Meios menos invasivos considerados e o problema documentado[7] | Seus próprios dados de fraude; as opções não biométricas do fornecedor |
| Q20 | Formato de armazenamento: imagens brutas, um template irreversível ou nada guardado[7] | O que é armazenado, em qual formato, e a retenção padrão |
| Q22 | Onde um banco de dados central é hospedado: em Quebec, em outro lugar do Canadá ou no exterior[7] | Países de hospedagem dos dados e de cada subprocessador |
| Q23 | Quando os dados biométricos e as anotações são destruídos[7] | Gatilhos de exclusão, backups incluídos |
| Q24 a Q26 | Consentimento expresso, sua forma, retirada a qualquer momento, outro meio de identificação[7] | Uma tela de consentimento, o registro dele e uma alternativa não biométrica |
| Q27, Q28 | Quem pode acessar os dados, incluindo a equipe do fornecedor; medidas de segurança[7] | Perfis de acesso, criptografia, relatórios de auditoria |
Anexe o manual do usuário, o formulário de consentimento, o contrato para dados enviados para fora de Quebec e a avaliação de impacto à privacidade (em francês, évaluation des facteurs relatifs à la vie privée, EFVP).[7]
Consentimento expresso e a alternativa não biométrica
O artigo 12 da lei do setor privado diz que o consentimento "deve ser dado expressamente quando se refere a informações pessoais sensíveis", e cita a natureza biométrica entre os motivos que tornam uma informação sensível.[3][4] Para a biometria, a CAI diz que o consentimento válido é manifesto e expresso, livre, informado, específico e limitado no tempo.[5] A CAI publica um modelo de formulário de consentimento para adaptar ao seu sistema.[5]
A segunda metade da regra é a que as equipes de produto deixam passar. Como a pessoa precisa ser livre para recusar ou retirar o consentimento, a CAI afirma que outra solução deve ser oferecida.[5] O regulador federal diz o mesmo para usos não essenciais: "você deve oferecer às pessoas outros meios de acesso ou participação" e não deve dificultar o acesso a eles.[15]
1Explique a verificação antes de qualquer captura
Finalidade, o que é capturado, retenção, para onde vão os dados, a alternativa.
A pessoa dá consentimento expresso à comparação facial
Documento, prova de vida e comparação 1:1
Registre o consentimento e destrua os dados biométricos quando a finalidade for atingida.
Caminho não biométrico
Por exemplo, uma consulta a base de dados ou um documento revisado por uma pessoa, sem captura facial.
2Decida, com uma pessoa apta a revisar
Informe os usuários sobre decisões totalmente automatizadas e permita que sejam ouvidos (artigo 12.1).
Um fluxo de verificação com consentimento em primeiro lugar para usuários no Quebec. A alternativa não pode ser um beco sem saída.[3][5]
O artigo 12.1 acrescenta que, quando uma decisão se baseia exclusivamente em tratamento automatizado, você deve informar a pessoa e permitir que ela apresente observações a um membro da equipe que possa revisá-la.[3]
Artigo 17: a avaliação de impacto à privacidade antes de os dados saírem do Quebec
Artigo 17Act respecting the protection of personal information in the private sector
"Antes de comunicar informações pessoais para fora do Québec, a pessoa que exerce uma empresa deve realizar uma avaliação de impacto sobre a privacidade."
Fonte: LégisQuébec, CQLR c. P-39.1[3]
A avaliação deve ponderar a sensibilidade dos dados, sua finalidade, as medidas de proteção, incluindo contratos, e o regime jurídico do destino.[3] Os dados só podem ser enviados se a avaliação demonstrar proteção adequada, e a transferência "deve ser objeto de um acordo escrito" que reflita a avaliação.[3] O mesmo vale quando uma pessoa ou entidade fora do Quebec coleta, usa, comunica ou guarda os dados em seu nome, que é o caso do fornecedor.[3] Na nossa leitura, "fora do Québec" inclui as demais províncias canadenses: o texto não para na fronteira do Canadá.[3]
O artigo 3.3 exige uma avaliação de impacto à privacidade para qualquer projeto de aquisição ou reformulação de um sistema de informação, então um novo fornecedor precisa de uma mesmo dentro do Quebec.[3] O artigo 18.3 exige um contrato escrito que limite o fornecedor ao mandato e o impeça de manter os dados depois.[3]
Antes da entrada em produção: avaliação de impacto à privacidade, declaração do artigo 44, acordo escrito
Prova de vida e comparação 1:1
Onde fica cada obrigação da Law 25 em uma verificação feita por fornecedor.[1][3]
Prepare as respostas sobre o seu fornecedor com a Didit
A documentação da Didit cobre a etapa de consentimento, a retenção, a exclusão e a região de processamento que o formulário da CAI pergunta. Fale conosco antes de escolher um fornecedor de verificação.
Penalidades previstas na Law 25
Coletar, usar, manter ou destruir informações pessoais em violação da lei pode levar a uma penalidade administrativa da CAI ou a uma multa penal.[3][9]
| Instrumento | Máximo para uma empresa | Seção |
|---|---|---|
| Penalidade administrativa pecuniária | CAD 10,000,000 ou, se maior, 2% do faturamento mundial do exercício fiscal anterior[3] | s. 90.12 |
| Multa penal | De CAD 15,000 a CAD 25,000,000, ou 4% do faturamento mundial, se maior[3] | s. 91 |
| Reincidência | As multas penais são dobradas[3] | s. 92.1 |
O que a CAI decidiu sobre reconhecimento facial
| Decisão | Fatos | Resultado |
|---|---|---|
| Empregador, setembro de 2024 | Reconhecimento facial para acesso ao prédio; o empregador tinha consentimento e havia declarado o banco de dados, segundo a Osler[13] | Ordem para cessar: a coleta não cumpria os requisitos da lei, segundo a Osler[13] |
| Metro Inc., 18 de fevereiro de 2025 | Banco de dados planejado com rostos de pessoas ligadas a furtos em loja ou fraude, declarado em 6 de setembro de 2024[10][11] | Banco de dados proibido; a verificação de identidade por biometria exige consentimento expresso; primeira ordem com base no artigo 45[11] |
| Metro Inc., 1º de abril de 2026 | Projeto-piloto em até dez lojas, nenhum template mantido sem correspondência, retenção de 18 meses, segundo a Ogletree[12] | Coleta considerada "necessária"; relatórios semestrais por dois anos; a decisão sobre consentimento ainda está em recurso, segundo a Ogletree[12] |
Lição para a escolha de fornecedores
Segundo o relato da Ogletree sobre a decisão de 2026, um fornecedor disse que "não fazia ideia" de como o sistema cria as assinaturas faciais, e outro não conseguiu informar as taxas de erro porque o algoritmo pertencia a um terceiro.[12] Pergunte ao seu fornecedor como funciona a correspondência e como ele mede os erros antes de fazer a declaração à CAI.
Contexto em todo o Canadá: PIPEDA, as orientações do OPC e o Bill C-36
A verificação de idade com o rosto também conta como biometria; o nosso guia sobre verificação de idade no Canadá trata desse caso.
Fora de Quebec, a biometria no setor privado está sujeita, na maioria das províncias, à lei federal Personal Information Protection and Electronic Documents Act (PIPEDA). Em 11 de agosto de 2025, o Office of the Privacy Commissioner of Canada (OPC) publicou suas orientações sobre biometria, que estão alinhadas às regras de Quebec.[14]
| Tema | Orientações do OPC, 11 de agosto de 2025 | Quebec |
|---|---|---|
| Verificação 1:1 | Comparação "um para um". Deve ser preferida à identificação sempre que possível[15] | Tratada como autenticação[6] |
| Consentimento | Consentimento expresso, como regra geral, para biometria sensível, incluindo templates[15] | Consentimento expresso obrigatório (artigo 44)[1] |
| Alternativa | Obrigatória para usos não essenciais[15] | Obrigatória se a pessoa recusar[5] |
| Exclusão | De todos os locais, incluindo armazenamento em nuvem e backups, e também em terceiros[15] | Todas as cópias, inclusive em qualquer prestador com acesso[6] |
| Precisão | Testar em diferentes grupos demográficos. Não confiar apenas nas afirmações do fornecedor[15] | Taxas de erro examinadas no caso Metro 2026, segundo a Ogletree[12] |
| Transparência | Informar onde os dados biométricos são armazenados e nomear ou descrever os prestadores de serviços[15] | Formulário da CAI, Q22 e Q27[7] |
No tratamento transfronteiriço, a PIPEDA funciona de forma diferente do artigo 17. As diretrizes do OPC afirmam que "a PIPEDA não proíbe organizações no Canadá de transferir informações pessoais a uma organização em outra jurisdição para tratamento", mas a organização continua responsável e deve usar contratos ou outros meios para garantir "um nível de proteção comparável".[16]
O projeto de lei C-36, que promulgaria o Protecting Privacy and Consumer Data Act e alteraria a PIPEDA, foi apresentado e lido pela primeira vez em 15 de junho de 2026 e está em segunda leitura na House of Commons em 31 de outubro de 2026, segundo o LEGISinfo.[17] É um projeto de lei, não uma lei. Na versão apresentada, seu artigo 57(1) exigiria uma avaliação de impacto à privacidade e medidas de mitigação de riscos antes que informações pessoais sejam divulgadas ou transferidas para fora do Canadá, e a penalidade máxima pelas infrações de uma única investigação seria o maior valor entre CAD 10 milhões e 3% da receita bruta global.[18] O projeto também classifica como sensíveis as informações biométricas capazes de identificar uma pessoa de forma única.[18]
Residência de dados no setor público na Colúmbia Britânica, Nova Escócia, Ontário e Alberta
Os órgãos públicos seguem leis provinciais, que motivam muitas perguntas sobre residência de dados em solicitações de propostas. Empresas de pagamentos e de cripto: veja KYC para empresas de serviços monetários e cripto no Canadá.
| Província | Regra para órgãos públicos | Efeito sobre um fornecedor de verificação de identidade |
|---|---|---|
| Colúmbia Britânica | A exigência estrita de residência foi removida em 25 de novembro de 2021; armazenar dados sensíveis fora do Canadá exige uma avaliação adicional na PIA e uma decisão baseada em risco[19] | Possível após a avaliação; a orientação cita dados biométricos como dados normalmente sensíveis[19] |
| Nova Scotia | PIIDPA: os dados mantidos por órgãos públicos e seus prestadores de serviços ficam no Canadá e só são acessados no Canadá, a menos que o dirigente do órgão considere necessário e comunique o fato[20] | O armazenamento e o acesso no exterior dependem da exceção; uma lei de 2025 substituirá a PIIDPA por regras definidas em regulamento, segundo David Fraser[21] |
| Ontario | Avaliações de impacto à privacidade obrigatórias antes da coleta de informações pessoais pela FIPPA desde 1 de julho de 2025[22] | Nenhuma regra de residência na lista de mudanças do IPC; espere perguntas sobre a PIA |
| Alberta | Protection of Privacy Act em vigor desde 11 de junho de 2025; programas de gestão de privacidade obrigatórios a partir de 11 de junho de 2026[23] | Espere pedidos de evidências da PIA e do programa |
A residência no Canadá não dispensa a avaliação do artigo 17 de Quebec quando os dados saem de Quebec para outra província.[3]
Um checklist para a verificação biométrica sob a Law 25 de Quebec neste mês
Envie a declaração à CAI antes de a comparação facial entrar em operação para usuários de Quebec.[1]
- Liste todos os fluxos que capturam e comparam um rosto, incluindo a recuperação de conta.
- Registre o problema que a comparação facial resolve, com seus próprios dados de fraude, e as opções menos intrusivas que você testou.[5]
- Verifique se as imagens ou templates armazenados formam um banco de dados biométricos; se formarem, divulgue isso prontamente e com pelo menos 60 dias de antecedência ao uso.[1]
- Faça as avaliações do artigo 3.3 e do artigo 17 e assine um contrato escrito com o fornecedor.[3]
- Crie uma tela de consentimento expresso em francês e em inglês e mantenha um registro de cada consentimento.[5]
- Ofereça um caminho sem biometria que funcione para quem recusa ou retira o consentimento.[5]
- Defina a retenção para que os dados biométricos sejam destruídos assim que a finalidade for atingida, no fornecedor e nos backups.[1][15]
- Encaminhe as comparações que falharem para uma pessoa capaz de revisá-las e informe os usuários sobre decisões automatizadas.[3][15]
- Envie a declaração à CAI com o manual, o formulário de consentimento, o contrato e a avaliação anexados.[7]
Perguntas sobre residência para fornecedores:
- Pergunte onde os dados são processados e armazenados por padrão e se outra região está disponível por contrato.
- Peça a lista completa de suboperadores com o país de cada um.
- Pergunte se a equipe fora do Canadá pode acessar dados de produção.
- Peça a abordagem do fornecedor para testes demográficos e suas métricas de erro.[15]
Entidades sujeitas às regras federais de prevenção à lavagem de dinheiro: nosso guia sobre verificação de identidade FINTRAC em 2026 cobre esse lado; avalie as obrigações de privacidade de Quebec separadamente.
Como a Didit ajuda
A verificação de documentos de identidade e a prova de vida da Didit rodam em um único fluxo: o documento é lido e verificado quanto a adulteração, depois uma verificação de prova de vida passiva, com ação 3D ou com flashes confirma que se trata de uma pessoa viva, e uma comparação facial 1:1 compara a selfie com a foto do documento.[24][25][34] Os templates faciais não são mantidos depois que uma sessão é excluída, a menos que você ative a retenção de templates, com um número definido de dias.[27]
A Didit fornece
- Uma etapa de consentimento biométrico antes da primeira captura facial, exibida a todos no modo "Always", com a resposta registrada na sessão[26]
- Retenção de 1 mês a 10 anos, exclusão de sessões pelo console ou pela API e uma instrução de eliminação por privacidade que apaga os templates retidos[27][28]
- Processamento na UE por padrão; processamento no próprio país no plano Enterprise, sujeito a disponibilidade e contrato[27]
- Um fluxo de verificação em francês, revisão manual das sessões sinalizadas e uma verificação dos dados de cabeçalho de crédito de um bureau de crédito no Canadá[31][32][33]
- SOC 2 Type 2, ISO/IEC 27001:2022 e detecção de ataques de apresentação iBeta Level 1[30]
Fica com você
- A análise de necessidade e a declaração à CAI
- As avaliações de impacto à privacidade previstas nos artigos 3.3 e 17
- O texto do consentimento e a alternativa não biométrica
- A decisão final e a revisão dos resultados contestados
A Didit atua como operadora de dados; você continua sendo o controlador.[29] A validação em bases de dados, incluindo a verificação no bureau de crédito canadense, é uma verificação não biométrica que você pode avaliar para a sua rota alternativa: veja validação em bases de dados, triagem AML e preços.[33]
Crie uma comparação facial com consentimento prévio para Quebec
Documento, prova de vida e comparação facial em um único fluxo, com etapa de consentimento e exclusão sob o seu controle.
Principais conclusões
- Uma comparação facial entre selfie e documento é verificação biométrica de identidade nos termos do artigo 44: declare-a à CAI e obtenha consentimento expresso.
- A CAI afirma que a verificação biométrica não pode ser exigida: ofereça uma rota não biométrica a quem não consentir.
- Um banco de dados biométrico com imagens ou templates faciais armazenados deve ser declarado prontamente e pelo menos 60 dias antes da entrada em operação.
- Um fornecedor fora de Quebec, inclusive em outras partes do Canadá, exige uma avaliação nos termos do artigo 17 e um contrato escrito.
- O Bill C-36 está em segunda leitura; a PIPEDA e as orientações do OPC de 11 de agosto de 2025 se aplicam hoje.
Perguntas frequentes
Posso usar selfie e comparação facial para KYC em Quebec?
Sim, com condições. A seção 44 da IT Framework Act de Quebec só permite a verificação biométrica de identidade se o processo tiver sido informado previamente à CAI e se a pessoa der consentimento expresso. O guia da CAI abrange a comparação 1:1.[1][6]
Preciso declarar a verificação biométrica de identidade à CAI?
Sim. A seção 44 exige que o processo de verificação seja informado à Commission d’accès à l’information antes de ser usado. A CAI recebe as declarações por um formulário online, e todos os campos são obrigatórios.[1][5][7]
Qual é a regra dos 60 dias em Quebec para biometria?
O artigo 45 exige que a criação de um banco de dados de características biométricas seja divulgada à CAI prontamente e com pelo menos 60 dias de antecedência da sua entrada em operação, por exemplo imagens ou templates faciais armazenados usados para reconhecer usuários recorrentes.[1]
Uma empresa pode exigir que os usuários se verifiquem com uma selfie em Quebec?
Não sem divulgação prévia à CAI e o consentimento expresso da pessoa, segundo o texto oficial em francês do artigo 44. A página da CAI vai além: é proibido exigir a verificação biométrica, e outro meio deve ser oferecido a quem não consentir.[2][5]
Dados biométricos podem sair de Quebec para um fornecedor de verificação de identidade?
Sim, depois que uma avaliação de impacto à privacidade prevista no artigo 17 demonstrar proteção adequada e um contrato escrito for assinado, inclusive quando um fornecedor fora de Quebec coleta ou guarda os dados por você.[3]
Quais são as penalidades da Law 25 de Quebec?
As sanções administrativas pecuniárias chegam a CAD 10 milhões ou 2% do faturamento mundial, o que for maior. As multas penais chegam a CAD 25 milhões ou 4%, em dobro em caso de reincidência.[3]
O que a CAI decidiu sobre a Metro e o reconhecimento facial?
Em 18 de fevereiro de 2025, a CAI proibiu o banco de dados biométricos da Metro, por entender que o projeto era de verificação de identidade e exigia consentimento expresso. Segundo a Ogletree, uma decisão de 1 de abril de 2026 considerou o piloto necessário, enquanto a decisão sobre consentimento está em recurso.[11][12]
O que a orientação do OPC sobre biometria exige das empresas?
A orientação do OPC de 11 de agosto de 2025 pede consentimento expresso como regra geral, uma alternativa para usos não essenciais, exclusão de todos os locais, inclusive backups, e testes entre grupos demográficos.[15]
O Bill C-36 já é lei no Canadá?
Não. O Bill C-36 foi apresentado em 15 de junho de 2026 e está em segunda leitura na House of Commons em 31 de outubro de 2026. Na versão apresentada, ele exigiria uma avaliação de impacto à privacidade antes de transferir informações pessoais para fora do Canadá.[17][18]
O Canadá exige que os dados de verificação de identidade fiquem armazenados no Canadá?
Não para empresas privadas sob a PIPEDA, que permite transferências com proteção comparável. A PIIDPA da Nova Scotia exige que órgãos públicos e seus prestadores de serviço mantenham os dados no Canadá, salvo exceção aplicável.[16][20]
Fontes
- Act to establish a legal framework for information technology, CQLR c. C-1.1, artigos 44 e 45, LégisQuébec, consolidado até 29 de outubro de 2026.
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
- Biométrie, Commission d’accès à l’information du Québec.
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 de setembro de 2022.
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 de setembro de 2023.
- Principaux changements apportés par la Loi 25, CAI.
- Décision, dossier 1037199-S, Metro Inc., CAI, 18 de fevereiro de 2025.
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 de julho de 2026.
- Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
- Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 de agosto de 2025.
- Guidance for processing biometrics, for businesses, OPC, 11 de agosto de 2025.
- Guidelines for processing personal data across borders, OPC, 2009.
- Bill C-36, 45ª legislatura, 1ª sessão, LEGISinfo, consultado em 31 de outubro de 2026.
- Bill C-36, texto da primeira leitura, Parliament of Canada, 15 de junho de 2026.
- Guidance on disclosures outside of Canada, Government of British Columbia, atualizado em 13 de fevereiro de 2025.
- Personal Information International Disclosure Protection Act, perguntas e respostas, Government of Nova Scotia.
- Nova Scotia's new Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 9 de novembro de 2025.
- Atualizações da FIPPA e da MFIPPA, Information and Privacy Commissioner of Ontario.
- Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
- Face Match (1:1), documentação da Didit.
- Detecção de prova de vida, documentação da Didit.
- Consentimento biométrico, documentação da Didit.
- Retenção e exclusão de dados, documentação da Didit.
- Excluir sessão, documentação da Didit.
- Segurança e compliance, documentação da Didit.
- Certificações, documentação da Didit.
- Idiomas suportados, documentação da Didit.
- Revisão manual, documentação da Didit.
- Verificação por birô de crédito no Canadá (FINTRAC), documentação da Didit.
- Verificação de documento de identidade, documentação da Didit.
A seguir: verificação de identidade no Canadá, nosso guia FINTRAC e a página de verificação de documento de identidade.
Verifique usuários de Quebec com uma etapa de consentimento
Ative a etapa de consentimento e trate a exclusão dos dados biométricos separadamente das demais evidências.
Artigos relacionados
- Verificação de idade no Canadá: S-209, C-34 e o que fazer agora
- Requisitos de KYC da FINTRAC para MSBs de cripto e pagamentos (2026)
- Quebec Law 25 and biometrics: identity verification guide (2026)
- FINTRAC identity verification in 2026: methods, rules, C-12
- The Binance breach shows the gap: a key proves a device, not a person
- AI labs are buying human data. Fraud rings are selling it.