Lei 25 do Quebeque e biometria: guia de verificação de identidade (2026)
Lei 25 do Quebeque e biometria na verificação de identidade: declaração à CAI e consentimento expresso (art. 44), bases de dados (art. 45), avaliação do fornecedor (art. 17), sanções, decisões da CAI, guias do OPC e checklist.
Em resumo
Ao abrigo da Lei 25 do Quebeque, uma empresa que verifica a identidade com biometria facial, como uma selfie comparada com a fotografia de um documento de identificação, tem de informar previamente a Commission d’accès à l’information (CAI, a autoridade de proteção de dados do Quebeque) e obter o consentimento expresso da pessoa.[1][5] O artigo 44 da Lei-quadro sobre as tecnologias da informação do Quebeque estabelece essa regra, e a CAI afirma que deve ser oferecida uma opção não biométrica a quem recusar.[1][5]
- Uma base de dados biométrica tem de ser declarada sem demora e pelo menos 60 dias antes de entrar em funcionamento (art. 45).[1]
- O envio dos dados para um fornecedor fora do Quebeque exige previamente uma avaliação de impacto sobre a privacidade e um acordo escrito (art. 17).[3]
- As sanções chegam a CAD 10 milhões ou 2% do volume de negócios mundial (administrativas) e a CAD 25 milhões ou 4% (penais).[3]
A Lei 25 do Quebeque (Projeto de lei 64 antes de ser aprovada) é a lei de 2021 que modernizou a legislação de proteção de dados do Quebeque, e as suas regras sobre biometria abrangem as verificações de identidade online que comparam uma selfie em direto com a fotografia de um documento de identificação.[8][6] Para uma empresa sujeita a estas regras, uma comparação facial é um processo declarado e baseado no consentimento, com uma regra própria de eliminação e, quando os dados saem da província, uma avaliação de impacto sobre a privacidade.[1][3]
Este guia analisa os textos oficiais artigo a artigo, incluindo a Act respecting the protection of personal information in the private sector, o formulário de declaração da CAI, as suas decisões desde 2024, as orientações federais de 11 de agosto de 2025, o Projeto de lei C-36 e as regras do setor público de quatro províncias. Termina com uma lista de verificação para este mês (e a nossa página sobre o Canadá).
Criar um fluxo de onboarding no Quebeque
O Didit executa verificações de documentos, deteção de vivacidade e uma comparação facial 1:1 num único fluxo, com um passo de consentimento, definições de conservação e eliminação controladas por si. Comece grátis ou fale connosco sobre os seus utilizadores do Quebeque.
A Lei 25 do Quebeque e a biometria num relance
| Pergunta | Resposta curta |
|---|---|
| Que lei | Artigos 44 e 45 da Lei-quadro sobre as tecnologias da informação (IT Framework Act, CQLR c. C-1.1), alterada pela Lei 25 (S.Q. 2021, c. 25)[1] |
| Em vigor desde | Setembro de 2022 para as alterações sobre biometria, segundo o guia de biometria da CAI; a maioria das outras obrigações da Lei 25 desde 22 de setembro de 2023[6][8] |
| Uma comparação facial entre selfie e documento conta | Sim: a CAI trata da mesma forma a autenticação 1:1 e a identificação 1:N[6] |
| Se a pessoa recusar | Oferecer outra forma de verificação; a biometria não pode ser exigida[2][5] |
| Fornecedor fora do Quebeque | Avaliação de impacto sobre a privacidade e acordo escrito antes da transferência (art. 17)[3] |
| Lei federal | PIPEDA, lida em conjunto com as orientações do OPC sobre biometria de 11 de agosto de 2025; o Projeto de lei C-36 está em segunda leitura[14][15][17] |
- set. 2022art. 44-45 alteradosEntram em vigor as alterações da Lei 25 sobre biometria; guia da CAI atualizado.
- 22 set. 2023A maioria das obrigaçõesAvaliação de impacto sobre a privacidade antes de os dados saírem do Quebeque, consentimento expresso para dados sensíveis.
- 18 fev. 2025Ordem MetroPrimeira ordem da CAI ao abrigo do art. 45: uma base de dados biométrica proibida.
- 11 ago. 2025Orientações do OPCOrientações federais sobre biometria para empresas.
- 15 jun. 2026Projeto de lei C-36Apresentado; em segunda leitura a 31 de outubro de 2026.
Marcos datados da verificação biométrica de identidade no Quebeque e no Canadá.[6][8][10][14][17]
O que diz a Lei 25 do Quebeque sobre a verificação biométrica de identidade
A Lei 25 alterou vários diplomas. As suas regras sobre biometria estão nos artigos 44 e 45 da Lei que estabelece um quadro jurídico para as tecnologias da informação (Act to establish a legal framework for information technology, CQLR c. C-1.1; em francês, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).[1] O artigo 44 é o que um fluxo de verificação de identidade aciona.
Artigo 44Lei que estabelece um quadro jurídico para as tecnologias da informação (Act to establish a legal framework for information technology)
"A identidade de uma pessoa não pode ser verificada ou confirmada através de um processo que permita a posterior utilização de características ou medidas biométricas, exceto se essa verificação ou confirmação tiver sido previamente comunicada à Commission d’accès à l’information e com o consentimento expresso da pessoa em causa."
Fonte: LégisQuébec, CQLR c. C-1.1[1]
O texto francês, que é igualmente oficial, começa com uma proibição: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Ninguém pode exigir que a identidade seja verificada através de um processo biométrico sem o comunicar previamente à CAI e sem o consentimento expresso da pessoa.)[2] A página da própria CAI vai mais longe: afirma que é proibido exigir a verificação biométrica de identidade e que deve ser disponibilizado outro meio quando a pessoa não consente.[5]
O artigo 44 acrescenta depois três limites que moldam o produto:
- Dados mínimos: apenas as características necessárias para associar a pessoa ao ato, recolhidas com o conhecimento da pessoa.[1]
- Nenhuma outra utilização: nada mais do que os dados biométricos revelem pode ser usado para tomar uma decisão sobre a pessoa ou para qualquer outra finalidade.[1]
- Destruição: "O registo das características ou medidas e qualquer anotação a elas relativa devem ser destruídos logo que a finalidade da verificação ou confirmação da identidade tenha sido cumprida ou que o motivo da verificação ou confirmação deixe de existir."[1]
Uma comparação facial 1:1 por selfie conta
O guia da CAI abrange as duas finalidades: a identificação, que pesquisa uma base de dados entre muitas identidades, e a autenticação, que valida uma identidade através de uma comparação "um para um" com os dados biométricos de uma pessoa conhecida.[6] O guia afirma também que um código, modelo ou template derivado de uma imagem por um algoritmo é igualmente informação biométrica.[6] Em fevereiro de 2025, a CAI concluiu que o projeto de reconhecimento facial de um retalhista constituía verificação de identidade por meios biométricos, o que exige consentimento expresso nos termos da Lei.[11]
Atenção
O consentimento, por si só, não basta. A CAI escreve que, mesmo com consentimento, a recolha tem de cumprir o teste de necessidade e que a utilidade e a conveniência não justificam a recolha de dados biométricos.[5] Documente por que razão é necessária uma comparação facial e que opções menos intrusivas considerou.
Declaração do artigo 44 ou base de dados do artigo 45
O artigo 45 aplica-se a uma base de dados biométrica, por exemplo imagens faciais ou templates armazenados.[1]
Cada verificação biométrica
Declaração do artigo 44
- Comunicar o processo à CAI antes de o utilizar
- Obter o consentimento expresso de cada pessoa
- Destruir o registo biométrico quando a finalidade estiver cumprida
art. 44, CQLR c. C-1.1
Se for criada uma base de dados biométrica
Base de dados do artigo 45
- Comunicar sem demora e, pelo menos, 60 dias antes da entrada em funcionamento
- A CAI pode fixar regras sobre utilização, conservação e destruição
- A CAI pode suspender, proibir ou ordenar a destruição
art. 45, CQLR c. C-1.1
Estes poderes são exercidos: a primeira ordem da CAI ao abrigo do artigo 45, em fevereiro de 2025, proibiu a base de dados de reconhecimento facial de um retalhista.[11]
O que pergunta o formulário de declaração da CAI e o que obter do seu fornecedor
A empresa que verifica a identidade faz a declaração através do formulário online da CAI, e todos os campos são obrigatórios.[5][7] Na prática, muitas das respostas dizem respeito ao sistema do fornecedor. Peça-as antes de assinar.
| Pergunta do formulário da CAI | O que pergunta | O que obter do fornecedor |
|---|---|---|
| Q7, Q8 | Data prevista de entrada em funcionamento; modelo ou nome do produto e fornecedor, com o guia do utilizador em anexo[7] | Nome do produto e a documentação que pode anexar |
| Q9, Q11 | Como funciona o sistema; que características são captadas, por exemplo a forma do rosto[7] | Uma descrição simples da captura, da deteção de vivacidade e da comparação 1:1 |
| Q14 | Se é criada uma base de dados biométrica[7] | Se as imagens ou os modelos são guardados numa base de dados, e durante quanto tempo |
| Q16, Q17 | Meios menos intrusivos considerados e o problema documentado[7] | Os seus próprios dados de fraude; as opções não biométricas do fornecedor |
| Q20 | Formato de conservação: imagens em bruto, um modelo irreversível ou nada guardado[7] | O que é guardado, em que formato, e o prazo de conservação por defeito |
| Q22 | Onde está alojada uma base de dados central: no Quebeque, noutro ponto do Canadá ou no estrangeiro[7] | Países de alojamento dos dados e de cada subcontratante |
| Q23 | Quando são destruídos os dados biométricos e as notas[7] | Factos que desencadeiam a eliminação, cópias de segurança incluídas |
| Q24 a Q26 | Consentimento expresso, a sua forma, retirada a qualquer momento, outro meio de identificação[7] | Um ecrã de consentimento, o respetivo registo e uma via não biométrica |
| Q27, Q28 | Quem pode aceder aos dados, incluindo o pessoal do fornecedor; medidas de segurança[7] | Perfis de acesso, cifragem, relatórios de auditoria |
Anexe o manual do utilizador, o formulário de consentimento, o acordo relativo aos dados enviados para fora do Quebeque e a avaliação de impacto sobre a privacidade (em francês, évaluation des facteurs relatifs à la vie privée, EFVP).[7]
Consentimento expresso e a alternativa não biométrica
O artigo 12 da Lei do setor privado determina que o consentimento "deve ser dado expressamente quando diga respeito a informações pessoais sensíveis", e indica a natureza biométrica entre os motivos pelos quais uma informação é sensível.[3][4] Para a biometria, a CAI afirma que um consentimento válido é manifesto e expresso, livre, esclarecido, específico e limitado no tempo.[5] A CAI publica um modelo de formulário de consentimento para adaptar ao seu sistema.[5]
A segunda metade da regra é a que as equipas de produto não veem. Como a pessoa tem de ser livre de recusar ou retirar o consentimento, a CAI afirma que tem de ser disponibilizada outra solução.[5] O regulador federal diz o mesmo para utilizações não essenciais: "deve disponibilizar às pessoas outros meios de acesso ou de participação" e não pode dificultar o acesso a esses meios.[15]
1Explicar a verificação antes de qualquer captura
Finalidade, o que é captado, conservação, para onde vão os dados, a alternativa.
A pessoa dá consentimento expresso à comparação facial
Documento, prova de vida e comparação 1:1
Registar o consentimento; destruir os dados biométricos quando a finalidade estiver cumprida.
Via não biométrica
Por exemplo, uma consulta a uma base de dados ou um documento analisado por uma pessoa, sem captura do rosto.
2Decidir, com uma pessoa disponível para rever
Informar os utilizadores sobre decisões totalmente automatizadas e permitir que sejam ouvidos (art. 12.1).
Um fluxo de verificação com o consentimento em primeiro lugar para utilizadores do Quebeque. A alternativa não pode ser um beco sem saída.[3][5]
O artigo 12.1 acrescenta que, quando uma decisão se baseia exclusivamente em tratamento automatizado, tem de informar a pessoa e permitir que apresente observações a um membro do pessoal que a possa rever.[3]
Artigo 17: a avaliação de impacto sobre a privacidade antes de os dados saírem do Quebeque
Artigo 17Act respecting the protection of personal information in the private sector
"Antes de comunicar informações pessoais fora do Quebeque, uma pessoa que explore uma empresa deve realizar uma avaliação de impacto sobre a privacidade."
Fonte: LégisQuébec, CQLR c. P-39.1[3]
A avaliação tem de ponderar a sensibilidade dos dados, a sua finalidade, as medidas de proteção, incluindo os contratos, e o enquadramento jurídico do destino.[3] Os dados só podem ser transferidos se a avaliação demonstrar uma proteção adequada, e a transferência "deve ser objeto de um acordo escrito" que reflita a avaliação.[3] O mesmo se aplica quando uma pessoa ou entidade fora do Quebeque recolhe, utiliza, comunica ou conserva os dados por sua conta, que é o caso do fornecedor.[3] Na nossa leitura, "fora do Quebeque" inclui as outras províncias canadianas: o texto não para na fronteira do Canadá.[3]
O artigo 3.3 exige uma avaliação de impacto sobre a privacidade para qualquer projeto de aquisição ou reformulação de um sistema de informação, pelo que um novo fornecedor a exige mesmo dentro do Quebeque.[3] O artigo 18.3 exige um contrato escrito que limite o fornecedor ao mandato e o impeça de conservar os dados depois.[3]
Antes da entrada em produção: avaliação de impacto sobre a privacidade, declaração do art. 44, acordo escrito
Prova de vida e comparação 1:1
Onde se situa cada obrigação da Lei 25 numa verificação feita através de um fornecedor.[1][3]
Prepare as suas respostas sobre o fornecedor com a Didit
A documentação da Didit cobre o passo de consentimento, a conservação, a eliminação e a região de tratamento sobre os quais o formulário da CAI pergunta. Fale connosco antes de escolher um fornecedor de verificação.
Sanções ao abrigo da Lei 25
Recolher, utilizar, conservar ou destruir informações pessoais em violação da lei pode dar lugar a uma sanção administrativa da CAI ou a uma multa penal.[3][9]
| Instrumento | Máximo para uma empresa | Secção |
|---|---|---|
| Sanção administrativa pecuniária | CAD 10,000,000 ou, se for superior, 2% do volume de negócios mundial do exercício anterior[3] | s. 90.12 |
| Multa penal | CAD 15,000 a CAD 25,000,000, ou 4% do volume de negócios mundial, se for superior[3] | s. 91 |
| Infração subsequente | As multas penais são duplicadas[3] | s. 92.1 |
O que a CAI decidiu sobre o reconhecimento facial
| Decisão | Factos | Resultado |
|---|---|---|
| Empregador, setembro de 2024 | Reconhecimento facial para o acesso a um edifício; o empregador tinha o consentimento e tinha declarado a base de dados, segundo a Osler[13] | Ordem de cessação: a recolha não cumpria os requisitos da lei, segundo a Osler[13] |
| Metro Inc., 18 de fevereiro de 2025 | Base de dados prevista de rostos de pessoas ligadas a furtos em lojas ou a fraude, declarada a 6 de setembro de 2024[10][11] | Base de dados proibida; a verificação da identidade por biometria exige consentimento expresso; primeira ordem ao abrigo do art. 45[11] |
| Metro Inc., 1 de abril de 2026 | Projeto-piloto em até dez lojas, nenhum modelo conservado sem correspondência, conservação durante 18 meses, segundo a Ogletree[12] | Recolha considerada "necessária"; relatórios semestrais durante dois anos; a decisão sobre o consentimento continua em recurso, segundo a Ogletree[12] |
Lição para a escolha do fornecedor
Segundo o relato da Ogletree sobre a decisão de 2026, um fornecedor afirmou que "não fazia ideia" de como o sistema cria as assinaturas faciais, e outro não conseguiu indicar taxas de erro porque o algoritmo pertencia a um terceiro.[12] Pergunte ao seu fornecedor como funciona a comparação e como mede os erros antes de apresentar o pedido à CAI.
Contexto a nível do Canadá: a PIPEDA, as orientações do OPC e o Projeto de lei C-36
As verificações de idade com o rosto também contam como biometria; o nosso guia sobre verificação de idade no Canadá trata esse caso.
Fora do Quebeque, a biometria no setor privado rege-se, na maioria das províncias, pela lei federal Personal Information Protection and Electronic Documents Act (PIPEDA). Em 11 de agosto de 2025, o Office of the Privacy Commissioner of Canada (OPC) publicou orientações sobre biometria, que estão alinhadas com as regras do Quebeque.[14]
| Tema | Orientações do OPC, 11 de agosto de 2025 | Quebeque |
|---|---|---|
| Verificação 1:1 | Uma comparação "um para um"; deve ser preferida à identificação sempre que possível[15] | Abrangida como autenticação[6] |
| Consentimento | Consentimento expresso, como regra geral, para dados biométricos sensíveis, incluindo os modelos biométricos[15] | Consentimento expresso obrigatório (art. 44)[1] |
| Alternativa | Obrigatória para utilizações não essenciais[15] | Obrigatória se a pessoa recusar[5] |
| Eliminação | De todos os locais, incluindo armazenamento na nuvem e cópias de segurança, e junto de terceiros[15] | Todas as cópias, e junto de qualquer prestador com acesso[6] |
| Exatidão | Testar em diferentes grupos demográficos; não confiar apenas nas alegações do fornecedor[15] | Taxas de erro escrutinadas no caso Metro 2026, segundo a Ogletree[12] |
| Transparência | Indicar onde os dados biométricos são armazenados e identificar ou descrever os prestadores de serviços[15] | Formulário da CAI, Q22 e Q27[7] |
Quanto ao tratamento transfronteiriço, a PIPEDA funciona de forma diferente do artigo 17. As diretrizes do OPC afirmam que "a PIPEDA não proíbe as organizações no Canadá de transferirem informações pessoais para uma organização noutra jurisdição para efeitos de tratamento", mas a organização continua a ser responsável e tem de recorrer a contratos ou a outros meios para assegurar "um nível de proteção comparável".[16]
O Projeto de lei C-36, que aprovaria a Protecting Privacy and Consumer Data Act e alteraria a PIPEDA, foi apresentado e lido em primeira leitura em 15 de junho de 2026 e encontra-se em segunda leitura na House of Commons a 31 de outubro de 2026, segundo o LEGISinfo.[17] É um projeto de lei, não uma lei. Na versão apresentada, o seu artigo 57(1) exigiria uma avaliação de impacto sobre a privacidade e medidas de mitigação de riscos antes de as informações pessoais serem divulgadas ou transferidas para fora do Canadá, e a coima máxima pelas infrações apuradas numa investigação seria o valor mais elevado entre CAD 10 milhões e 3% da receita bruta global.[18] Também classifica como sensíveis as informações biométricas capazes de identificar uma pessoa de forma única.[18]
Residência de dados no setor público em BC, Nova Scotia, Ontario e Alberta
Os organismos públicos seguem leis provinciais, que estão na origem de muitas questões sobre residência de dados nos concursos públicos. Empresas de pagamentos e de criptoativos: consulte KYC para empresas de serviços monetários e criptoativos no Canadá.
| Província | Regra para os organismos públicos | Efeito num fornecedor de verificação de identidade |
|---|---|---|
| British Columbia | Exigência estrita de residência dos dados eliminada a 25 de novembro de 2021; armazenar dados sensíveis fora do Canadá exige uma análise adicional na avaliação de impacto sobre a privacidade e uma decisão baseada no risco[19] | Possível após a avaliação; as orientações indicam os dados biométricos como habitualmente sensíveis[19] |
| Nova Scotia | PIIDPA: os dados detidos por organismos públicos e pelos seus prestadores de serviços ficam no Canadá e só são acedidos no Canadá, salvo se o responsável máximo do organismo o considerar necessário e o comunicar[20] | O armazenamento e o acesso no estrangeiro exigem a exceção; uma lei de 2025 vai substituir a PIIDPA por regras fixadas por regulamento, segundo David Fraser[21] |
| Ontario | Avaliações de impacto sobre a privacidade obrigatórias antes da recolha de informações pessoais ao abrigo da FIPPA desde 1 de julho de 2025[22] | Nenhuma regra de residência dos dados na lista de alterações do IPC; conte com perguntas sobre a avaliação de impacto sobre a privacidade |
| Alberta | Protection of Privacy Act em vigor desde 11 de junho de 2025; programas de gestão da privacidade obrigatórios a partir de 11 de junho de 2026[23] | Conte com pedidos de prova da avaliação de impacto sobre a privacidade (PIA) e do programa |
A residência dos dados no Canadá não dispensa a avaliação do artigo 17 do Quebeque quando os dados saem do Quebeque para outra província.[3]
Uma lista de verificação para a verificação biométrica ao abrigo da Lei 25 do Quebeque este mês
Apresente a declaração à CAI antes de a comparação facial entrar em funcionamento para utilizadores do Quebeque.[1]
- Liste todos os fluxos que captam e comparam um rosto, incluindo a recuperação de conta.
- Registe por escrito o problema que a comparação facial resolve, com os seus próprios dados de fraude, e as opções menos intrusivas que testou.[5]
- Verifique se as imagens ou os modelos armazenados constituem uma base de dados biométricos; se for o caso, divulgue-a prontamente e pelo menos 60 dias antes da utilização.[1]
- Realize as avaliações do artigo 3.3 e do artigo 17 e assine um acordo escrito com o fornecedor.[3]
- Crie um ecrã de consentimento expresso em francês e em inglês e guarde um registo de cada consentimento.[5]
- Ofereça uma via não biométrica que funcione para quem recusa ou retira o consentimento.[5]
- Defina a conservação de modo a que os dados biométricos sejam destruídos assim que a finalidade for cumprida, no fornecedor e nas cópias de segurança.[1][15]
- Encaminhe as comparações falhadas para uma pessoa que as possa rever e informe os utilizadores sobre as decisões automatizadas.[3][15]
- Apresente a declaração à CAI com o manual, o formulário de consentimento, o acordo e a avaliação em anexo.[7]
Perguntas sobre residência dos dados a colocar aos fornecedores:
- Pergunte onde os dados são tratados e armazenados por defeito e se existe outra região disponível por contrato.
- Peça a lista completa de subcontratantes ulteriores com o país de cada um.
- Pergunte se pessoal fora do Canadá pode aceder aos dados de produção.
- Peça a abordagem do fornecedor aos testes demográficos e as suas medidas de erro.[15]
Entidades declarantes ao abrigo das regras federais de prevenção do branqueamento de capitais: o nosso guia sobre a verificação de identidade FINTRAC em 2026 cobre essa vertente; avalie separadamente as obrigações de privacidade do Quebeque.
Como a Didit ajuda
A verificação de identidade e a prova de vida da Didit correm num só fluxo: o documento é lido e verificado quanto a adulteração, depois uma prova de vida passiva, por ação 3D ou por flash confirma que se trata de uma pessoa viva, e uma comparação facial 1:1 compara a selfie com o retrato do documento.[24][25][34] Os modelos faciais não são conservados após a eliminação de uma sessão, salvo se ativar a conservação de modelos, com um número de dias definido.[27]
A Didit fornece
- Um passo de consentimento biométrico antes da primeira captura facial, apresentado a todos no modo "Always", com a resposta guardada na sessão[26]
- Conservação de 1 mês a 10 anos, eliminação de sessões pela consola ou pela API e uma instrução de apagamento por privacidade que elimina os modelos conservados[27][28]
- Tratamento na UE por defeito; tratamento no próprio país no plano Enterprise, sujeito a disponibilidade e a contrato[27]
- Um fluxo de verificação em francês, revisão manual das sessões sinalizadas e uma verificação de dados de cabeçalho de crédito de uma agência de crédito no Canadá[31][32][33]
- SOC 2 Type 2, ISO/IEC 27001:2022 e deteção de ataques de apresentação iBeta Level 1[30]
Fica a seu cargo
- A análise de necessidade e a declaração à CAI
- As avaliações de impacto sobre a privacidade nos termos dos artigos 3.3 e 17
- O texto do consentimento e a alternativa não biométrica
- A decisão final e a revisão dos resultados contestados
A Didit atua como subcontratante; o responsável pelo tratamento continua a ser o cliente.[29] A validação em bases de dados, incluindo a verificação junto da agência de crédito canadiana, é uma verificação não biométrica que pode avaliar para a sua via alternativa: consulte validação em bases de dados, triagem AML e preços.[33]
Crie uma comparação facial com consentimento prévio para o Quebeque
Documento, prova de vida e comparação facial num só fluxo, com um passo de consentimento e uma eliminação que controla.
Pontos principais
- Uma comparação facial entre selfie e documento é uma verificação biométrica de identidade nos termos do artigo 44: declare-a à CAI e obtenha consentimento expresso.
- A CAI afirma que a verificação biométrica não pode ser exigida: ofereça uma via não biométrica a quem não consentir.
- Uma base de dados biométrica de imagens ou modelos faciais armazenados tem de ser declarada prontamente e pelo menos 60 dias antes da entrada em funcionamento.
- Um fornecedor fora do Quebeque, incluindo noutras partes do Canadá, exige uma avaliação nos termos do artigo 17 e um acordo escrito.
- O Projeto de lei C-36 está em segunda leitura; a PIPEDA e as orientações do OPC de 11 de agosto de 2025 aplicam-se hoje.
Perguntas frequentes
Posso usar uma selfie e comparação facial para KYC no Quebeque?
Sim, com condições. O artigo 44 da Lei-quadro sobre as tecnologias da informação do Quebeque só permite a verificação biométrica de identidade se o processo tiver sido previamente comunicado à CAI e a pessoa der consentimento expresso. O guia da CAI abrange a comparação 1:1.[1][6]
Tenho de declarar a verificação biométrica de identidade à CAI?
Sim. O artigo 44 exige que o processo de verificação seja comunicado à Commission d’accès à l’information antes de ser utilizado. A CAI recebe as declarações através de um formulário online, e todos os campos são obrigatórios.[1][5][7]
O que é a regra dos 60 dias no Quebeque para a biometria?
O artigo 45 exige que a criação de uma base de dados de características biométricas seja comunicada à CAI prontamente e o mais tardar 60 dias antes da sua entrada em funcionamento, por exemplo imagens ou modelos faciais armazenados usados para reconhecer utilizadores recorrentes.[1]
Uma empresa pode exigir que os utilizadores se verifiquem com uma selfie no Quebeque?
Não sem declaração prévia à CAI e sem o consentimento expresso da pessoa, nos termos do texto oficial em francês do artigo 44. A página da CAI vai mais longe: é proibido exigir a verificação biométrica, e deve ser oferecido outro meio às pessoas que não consintam.[2][5]
Os dados biométricos podem sair do Quebeque para um fornecedor de verificação de identidade?
Sim, depois de uma avaliação de impacto sobre a privacidade nos termos do artigo 17 demonstrar uma proteção adequada e de ser assinado um acordo escrito, incluindo quando um prestador fora do Quebeque recolhe ou conserva os dados por sua conta.[3]
Quais são as sanções previstas na Lei 25 do Quebeque?
As sanções administrativas pecuniárias chegam a CAD 10 million ou 2% do volume de negócios mundial, consoante o valor mais elevado. As multas penais chegam a CAD 25 million ou 4%, e são duplicadas em caso de reincidência.[3]
O que decidiu a CAI sobre a Metro e o reconhecimento facial?
Em 18 de fevereiro de 2025, a CAI proibiu a base de dados biométrica da Metro, por considerar que o projeto era uma verificação de identidade que exigia consentimento expresso. Segundo a Ogletree, uma decisão de 1 de abril de 2026 considerou o projeto-piloto necessário, enquanto a decisão sobre o consentimento está em recurso.[11][12]
O que exigem às empresas as orientações do OPC sobre biometria?
As orientações do OPC de 11 de agosto de 2025 exigem, como regra geral, consentimento expresso, uma alternativa para utilizações não essenciais, a eliminação em todos os locais, incluindo cópias de segurança, e testes em diferentes grupos demográficos.[15]
O Projeto de lei C-36 já é lei no Canadá?
Não. O Projeto de lei C-36 foi apresentado em 15 de junho de 2026 e, em 31 de outubro de 2026, encontra-se em segunda leitura na House of Commons. Na versão apresentada, exigiria uma avaliação de impacto sobre a privacidade antes de transferir informações pessoais para fora do Canadá.[17][18]
O Canadá exige que os dados de verificação de identidade sejam armazenados no Canadá?
Não para as empresas privadas sujeitas à PIPEDA, que permite transferências com proteção equivalente. A PIIDPA da Nova Escócia exige que os organismos públicos e os seus prestadores de serviços mantenham os dados no Canadá, salvo se se aplicar uma exceção.[16][20]
Fontes
- Act to establish a legal framework for information technology, CQLR c. C-1.1, artigos 44 e 45, LégisQuébec, versão consolidada a 29 de outubro de 2026.
- Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
- Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
- Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
- Biométrie, Commission d’accès à l’information du Québec.
- Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 de setembro de 2022.
- Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
- Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 de setembro de 2023.
- Principaux changements apportés par la Loi 25, CAI.
- Décision, dossier 1037199-S, Metro Inc., CAI, 18 de fevereiro de 2025.
- La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
- The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 de julho de 2026.
- Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
- Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 de agosto de 2025.
- Guidance for processing biometrics, for businesses, OPC, 11 de agosto de 2025.
- Guidelines for processing personal data across borders, OPC, 2009.
- Projeto de lei C-36, 45.ª legislatura, 1.ª sessão, LEGISinfo, consultado em 31 de outubro de 2026.
- Projeto de lei C-36, texto da primeira leitura, Parliament of Canada, 15 de junho de 2026.
- Guidance on disclosures outside of Canada, Government of British Columbia, atualizado em 13 de fevereiro de 2025.
- Personal Information International Disclosure Protection Act, perguntas e respostas, Government of Nova Scotia.
- Nova Scotia's new Freedom of Information and Protection of Privacy Act, David Fraser, Canadian Privacy Law Blog, 9 de novembro de 2025.
- Atualizações da FIPPA e da MFIPPA, Information and Privacy Commissioner of Ontario.
- Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
- Face Match (1:1), documentação da Didit.
- Deteção de prova de vida, documentação da Didit.
- Consentimento biométrico, documentação da Didit.
- Conservação e eliminação de dados, documentação da Didit.
- Eliminar sessão, documentação da Didit.
- Segurança e conformidade, documentação da Didit.
- Certificações, documentação da Didit.
- Idiomas suportados, documentação da Didit.
- Revisão manual, documentação da Didit.
- Verificação através de agência de crédito no Canadá (FINTRAC), documentação da Didit.
- Verificação de documentos de identidade, documentação da Didit.
A seguir: verificação de identidade no Canadá, o nosso guia FINTRAC e a página de verificação de documentos de identidade.
Verifique utilizadores do Quebeque com um passo de consentimento
Ative o passo de consentimento e trate a eliminação dos dados biométricos separadamente das restantes provas.
Artigos relacionados
- Lei 25 do Quebeque e biometria: guia de verificação de identidade (2026)
- Requisitos KYC da FINTRAC para MSB de cripto e pagamentos (2026)
- EUDI Wallet integration: how to choose your route (2026 guide)
- EUDI Wallet readiness: policies and controls for regulated firms
- EUDI Wallet holder binding: what a presentation really proves
- EUDI Wallet cross-border acceptance: one integration across the EU