Закон 25 Квебека и биометрия: руководство по верификации личности (2026)

Последняя проверка: 31 октября 2026 · Не является юридической консультацией

Закон 25 Квебека (до принятия законопроект Bill 64) принят в 2021 году и модернизировал законы Квебека о защите персональных данных. Его правила о биометрии распространяются на онлайн-проверку личности, при которой живое селфи сравнивается с фото в документе.^[8][6] Для компании, на которую распространяются эти правила, сверка лица является задекларированным процессом на основе согласия, со своим правилом удаления и, если данные покидают провинцию, с оценкой воздействия на неприкосновенность частной жизни.^[1][3]

В этом руководстве мы разбираем официальные тексты по статьям: Act respecting the protection of personal information in the private sector (Закон о защите персональной информации в частном секторе), форму декларации CAI, её решения с 2024 года, федеральные рекомендации от 11 августа 2025, законопроект Bill C-36 и правила для публичного сектора четырёх провинций. В конце приведён чек-лист на этот месяц (и наша страница о Канаде).

Закон 25 Квебека и биометрия: главное

1. Сент. 2022Изменены ст. 44-45Вступают в силу изменения Закона 25 о биометрии; руководство CAI обновлено.
2. 22 сент. 2023Большинство обязанностейОценка воздействия до передачи данных за пределы Квебека, явное согласие для чувствительных данных.
3. 18 февр. 2025Решение по MetroПервое решение CAI по статье 45: биометрическая база данных запрещена.
4. 11 авг. 2025Руководство OPCФедеральное руководство по биометрии для бизнеса.
5. 15 июня 2026Законопроект C-36Внесён; на 31 октября 2026 находится во втором чтении.

Ключевые даты для биометрической верификации личности в Квебеке и Канаде.^{[6][8][10][14][17]}

Что говорит квебекский Law 25 о биометрической верификации личности

Law 25 изменил несколько законов. Его нормы о биометрии содержатся в статьях 44 и 45 Act to establish a legal framework for information technology (Закон о правовой основе информационных технологий, CQLR c. C-1.1; на французском Loi concernant le cadre juridique des technologies de l’information, LCCJTI).^[1] Процесс верификации личности подпадает под статью 44.

Статья 44Act to establish a legal framework for information technology

«Личность человека не может быть проверена или подтверждена с помощью процесса, позволяющего затем использовать биометрические характеристики или измерения, за исключением случаев, когда о такой проверке или подтверждении было предварительно сообщено в Commission d’accès à l’information, и за исключением случаев явно выраженного согласия соответствующего лица».

Источник: LégisQuébec, CQLR c. C-1.1^[1]

Французский текст, имеющий равную официальную силу, начинается с запрета: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Никто не может требовать проверки личности с помощью биометрического процесса без предварительного уведомления CAI и без явно выраженного согласия лица.)^[2] Страница самой CAI идёт дальше: в ней сказано, что требовать биометрическую верификацию личности запрещено и что при отсутствии согласия лица нужно предоставить другой способ.^[5]

Затем статья 44 вводит три ограничения, которые определяют устройство продукта:

• Минимум данных: только характеристики, необходимые для связи лица с действием, собранные с ведома этого лица.^[1]
• Никакого иного использования: ничто другое, что раскрывают биометрические данные, нельзя использовать для принятия решения о лице или для любой иной цели.^[1]
• Уничтожение: «Запись характеристик или измерений и любые относящиеся к ней пометки должны быть уничтожены, как только цель проверки или подтверждения личности достигнута или основание для проверки или подтверждения перестало существовать».^[1]

Сверка селфи 1:1 тоже считается

Руководство CAI охватывает обе цели: идентификацию, при которой поиск ведётся по базе данных среди множества личностей, и аутентификацию, при которой личность подтверждается сравнением «один к одному» с биометрическими данными известного лица.^[6] В руководстве также указано, что код, шаблон или модель, полученные алгоритмом из изображения, тоже являются биометрической информацией.^[6] В феврале 2025 CAI признала, что проект распознавания лиц розничной сети является верификацией личности биометрическими средствами, для которой по закону требуется явно выраженное согласие.^[11]

Уведомление по статье 44 или база данных по статье 45

Статья 45 применяется к биометрической базе данных, например к хранимым изображениям лиц или шаблонам.^[1]

Эти полномочия применяются на практике. Первое предписание CAI по статье 45, вынесенное в феврале 2025 года, запретило базу данных распознавания лиц одного ритейлера.^[11]

Что спрашивает форма декларации CAI и что получить от поставщика

Декларацию подаёт предприятие, которое проверяет личность, через онлайн-форму CAI. Все поля обязательны.^[5][7] На практике многие ответы касаются системы поставщика, поэтому запросите их до подписания договора.

Приложите руководство пользователя, форму согласия, соглашение о передаче данных за пределы Квебека и оценку влияния на конфиденциальность (по-французски évaluation des facteurs relatifs à la vie privée, EFVP).^[7]

Явное согласие и небиометрическая альтернатива

Статья 12 закона о частном секторе гласит, что согласие «должно быть дано явно, если оно касается чувствительной персональной информации», и называет биометрический характер среди причин, по которым информация является чувствительной.^[3][4] Для биометрии, по позиции CAI, действительное согласие должно быть явно выраженным, свободным, информированным, конкретным и ограниченным во времени.^[5] CAI публикует типовую форму согласия, которую нужно адаптировать к вашей системе.^[5]

Вторую половину правила продуктовые команды упускают чаще всего. Человек должен иметь возможность отказаться или отозвать согласие, поэтому, по позиции CAI, ему нужно предоставить другое решение.^[5] Федеральный регулятор говорит то же самое о неосновных видах использования: «вы должны предоставить людям другие способы доступа или участия» и не должны препятствовать доступу к ним.^[15]

Процесс проверки для пользователей из Квебека, где согласие идет первым. Альтернатива не должна вести в тупик.^[3][5]

Статья 12.1 добавляет: если решение основано исключительно на автоматизированной обработке, вы должны сообщить об этом человеку и дать ему возможность направить замечания сотруднику, который может пересмотреть решение.^[3]

Статья 17: оценка воздействия на неприкосновенность частной жизни до передачи данных за пределы Квебека

Статья 17Act respecting the protection of personal information in the private sector

«До передачи персональной информации за пределы Квебека лицо, осуществляющее предпринимательскую деятельность, должно провести оценку воздействия на неприкосновенность частной жизни».

Источник: LégisQuébec, CQLR c. P-39.1^[3]

Оценка должна учитывать чувствительность данных, цель их использования, меры защиты, включая договоры, и правовой режим страны назначения.^[3] Данные можно передавать, только если оценка показывает надлежащий уровень защиты, а передача «должна быть оформлена письменным соглашением», которое отражает результаты оценки.^[3] То же правило действует, когда лицо или организация за пределами Квебека собирает, использует, передает или хранит данные от вашего имени. Это и есть случай с поставщиком.^[3] По нашему прочтению, «за пределами Квебека» включает и другие провинции Канады: текст не ограничивается канадской границей.^[3]

Статья 3.3 требует оценки воздействия на неприкосновенность частной жизни для любого проекта по приобретению или переработке информационной системы, поэтому новый поставщик требует такой оценки даже внутри Квебека.^[3] Статья 18.3 требует письменного договора, который ограничивает поставщика рамками поручения и запрещает ему хранить данные после его исполнения.^[3]

Где находится каждая обязанность по Law 25 в проверке через поставщика.^[1][3]

Санкции по Law 25

Сбор, использование, хранение или уничтожение персональной информации с нарушением закона может повлечь административную санкцию CAI или уголовный штраф.^[3][9]

Какие решения CAI принял по распознаванию лиц

Общеканадский контекст: PIPEDA, руководство OPC и законопроект C-36

Проверка возраста по лицу тоже считается биометрией; этот случай разобран в нашем руководстве по проверке возраста в Канаде.

За пределами Квебека биометрия в частном секторе в большинстве провинций регулируется федеральным законом Personal Information Protection and Electronic Documents Act (PIPEDA, Закон о защите персональной информации и электронных документах). 11 августа 2025 года Office of the Privacy Commissioner of Canada (OPC) опубликовал руководство по биометрии, которое согласуется с правилами Квебека.^[14]

В вопросе трансграничной обработки PIPEDA работает иначе, чем статья 17. В руководящих принципах OPC указано, что «PIPEDA не запрещает организациям в Канаде передавать персональную информацию организации в другой юрисдикции для обработки», но организация остается ответственной и должна с помощью договоров или иных средств обеспечить «сопоставимый уровень защиты».^[16]

Законопроект C-36, который ввел бы в действие Protecting Privacy and Consumer Data Act (Закон о защите конфиденциальности и данных потребителей) и внес бы изменения в PIPEDA, был внесен и прошел первое чтение 15 июня 2026 года. По данным LEGISinfo, по состоянию на 31 октября 2026 года он находится на стадии второго чтения в House of Commons.^[17] Это законопроект, а не закон. В редакции, в которой он был внесен, его статья 57(1) требовала бы проводить оценку воздействия на конфиденциальность и принимать меры по снижению рисков до раскрытия или передачи персональной информации за пределы Канады. Максимальный штраф за нарушения в рамках одного расследования составил бы большую из двух сумм: CAD 10 млн или 3% валовой мировой выручки.^[18] Кроме того, он относит к чувствительной информации биометрические данные, позволяющие однозначно идентифицировать человека.^[18]

Локализация данных в государственном секторе в Британской Колумбии, Новой Шотландии, Онтарио и Альберте

Государственные органы следуют законам провинций, и именно они порождают многие вопросы о локализации данных в запросах предложений. Платежным и криптокомпаниям: см. KYC для компаний, оказывающих денежные услуги, и криптокомпаний в Канаде.

Хранение данных в Канаде не отменяет оценку по статье 17 закона Квебека, когда данные передаются из Квебека в другую провинцию.^[3]

Чек-лист по биометрической верификации по Law 25 Квебека на этот месяц

Подайте декларацию в CAI до запуска сравнения лиц для пользователей из Квебека.^[1]

• Перечислите все процессы, в которых изображение лица снимается и сравнивается, включая восстановление доступа к аккаунту.
• Опишите проблему, которую решает сравнение лиц, на основе собственных данных о мошенничестве, а также менее инвазивные варианты, которые вы пробовали.^[5]
• Проверьте, образуют ли хранимые изображения или шаблоны биометрическую базу данных. Если да, сообщите о ней без промедления и не менее чем за 60 дней до начала использования.^[1]
• Проведите оценки по разделу 3.3 и статье 17 и подпишите письменный договор с поставщиком.^[3]
• Сделайте экран явного согласия на французском и английском языках и сохраняйте запись о каждом согласии.^[5]
• Предложите небиометрический способ, который работает для людей, отказавшихся дать согласие или отозвавших его.^[5]
• Настройте сроки хранения так, чтобы биометрические данные уничтожались после достижения цели, в том числе у поставщика и в резервных копиях.^[1][15]
• Направляйте неуспешные сравнения сотруднику, который может их проверить, и информируйте пользователей об автоматизированных решениях.^[3][15]
• Подайте декларацию в CAI, приложив руководство, форму согласия, договор и оценку.^[7]

Вопросы поставщикам о локализации данных:

• Спросите, где данные обрабатываются и хранятся по умолчанию и можно ли выбрать другой регион по договору.
• Запросите полный список субобработчиков с указанием страны каждого из них.
• Спросите, есть ли у сотрудников за пределами Канады доступ к производственным данным.
• Запросите описание подхода поставщика к демографическому тестированию и метрики ошибок.^[15]

Субъекты, обязанные соблюдать федеральные правила по противодействию отмыванию денег: эту сторону вопроса раскрывает наше руководство по верификации личности по требованиям FINTRAC в 2026 году. Обязательства по защите персональной информации в Квебеке оценивайте отдельно.

Чем помогает Didit

Проверка документов и проверка живого присутствия Didit работают в одном процессе. Сначала документ считывается и проверяется на подделку. Затем пассивная проверка, проверка с 3D-действием или проверка со вспышками подтверждает, что перед камерой живой человек. После этого сравнение лиц 1:1 сопоставляет селфи с фотографией в документе.^[24][25][34] Шаблоны лица не хранятся после удаления сессии, если вы не включили хранение шаблонов с заданным числом дней.^[27]

Didit выступает обработчиком данных, а вы остаетесь контролером.^[29] Проверка по базам данных, включая проверку через канадское кредитное бюро, является небиометрической проверкой, которую вы можете оценить для альтернативного пути. См. проверку по базам данных, AML-скрининг и цены.^[33]

Часто задаваемые вопросы

Источники

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, статьи 44 и 45, LégisQuébec, консолидированная редакция на 29 октября 2026.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 сентября 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 сентября 2023.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 18 февраля 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 июля 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 августа 2025.
15. Guidance for processing biometrics, for businesses, OPC, 11 августа 2025.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Законопроект C-36, 45-й парламент, 1-я сессия, LEGISinfo, просмотрено 31 октября 2026.
18. Законопроект C-36, текст первого чтения, Parliament of Canada, 15 июня 2026.
19. Руководство по раскрытию информации за пределами Канады, Government of British Columbia, обновлено 13 февраля 2025.
20. Personal Information International Disclosure Protection Act, вопросы и ответы, Government of Nova Scotia.
21. Новый Freedom of Information and Protection of Privacy Act провинции Новая Шотландия, David Fraser, Canadian Privacy Law Blog, 9 ноября 2025.
22. Изменения FIPPA и MFIPPA, Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
24. Face Match (1:1), документация Didit.
25. Проверка живости (liveness), документация Didit.
26. Согласие на обработку биометрии, документация Didit.
27. Хранение и удаление данных, документация Didit.
28. Удаление сессии, документация Didit.
29. Безопасность и комплаенс, документация Didit.
30. Сертификаты, документация Didit.
31. Поддерживаемые языки, документация Didit.
32. Ручная проверка, документация Didit.
33. Проверка через кредитное бюро Канады (FINTRAC), документация Didit.
34. Проверка документов, удостоверяющих личность, документация Didit.

Далее: идентификация личности в Канаде, наше руководство по FINTRAC и страница проверки документов.