Quebec Law 25 na bayometriki: mwongozo wa uthibitishaji wa utambulisho (2026)

Ilipitiwa mwisho: 31 Oktoba 2026 · Si ushauri wa kisheria

Quebec Law 25 (Bill 64 kabla ya kupitishwa) ni sheria ya 2021 iliyoboresha sheria za faragha za Quebec, na kanuni zake za bayometriki zinahusu ukaguzi wa utambulisho mtandaoni unaolinganisha selfie ya moja kwa moja na picha iliyo kwenye hati ya utambulisho.^[8][6] Kwa biashara inayoongozwa na kanuni hizi, ulinganishaji wa uso ni mchakato uliotolewa tamko na unaotegemea ridhaa, wenye kanuni yake ya ufutaji na, data inapotoka nje ya jimbo, tathmini ya athari kwa faragha.^[1][3]

Mwongozo huu unasoma maandishi rasmi kifungu kwa kifungu, ikiwemo Act respecting the protection of personal information in the private sector, fomu ya tamko ya CAI, maamuzi yake tangu 2024, mwongozo wa shirikisho wa 11 Agosti 2025, Mswada C-36 na kanuni za sekta ya umma za majimbo manne. Unamalizika na orodha ya ukaguzi ya mwezi huu (na ukurasa wetu wa Canada).

Quebec Law 25 na bayometriki kwa muhtasari

1. Septemba 2022kif. 44-45 vimerekebishwaMabadiliko ya bayometriki ya Law 25 yaanza kutumika; mwongozo wa CAI wasasishwa.
2. 22 Septemba 2023Majukumu mengiTathmini ya athari kwa faragha kabla ya data kutoka Quebec, ridhaa ya wazi kwa data nyeti.
3. 18 Februari 2025Amri ya MetroAmri ya kwanza ya CAI chini ya kif. 45: hifadhidata ya bayometriki ilipigwa marufuku.
4. 11 Agosti 2025Mwongozo wa OPCMwongozo wa shirikisho kuhusu bayometriki kwa biashara.
5. 15 Juni 2026Mswada C-36Uliwasilishwa; katika usomaji wa pili tarehe 31 Oktoba 2026.

Hatua muhimu zenye tarehe kwa uthibitishaji wa utambulisho wa bayometriki huko Quebec na Kanada.^{[6][8][10][14][17]}

Law 25 ya Quebec inasema nini kuhusu uthibitishaji wa utambulisho wa bayometriki

Law 25 ilirekebisha sheria kadhaa. Kanuni zake za bayometriki ziko katika vifungu vya 44 na 45 vya Act to establish a legal framework for information technology (CQLR c. C-1.1; kwa Kifaransa, Loi concernant le cadre juridique des technologies de l’information, LCCJTI).^[1] Kifungu cha 44 ndicho kinachochochewa na mtiririko wa uthibitishaji wa utambulisho.

Kifungu cha 44Act to establish a legal framework for information technology

"Utambulisho wa mtu hauwezi kuthibitishwa au kuhakikishwa kwa njia ya mchakato unaoruhusu sifa au vipimo vya bayometriki kutumika baadaye, isipokuwa uthibitishaji au uhakikisho huo umefichuliwa mapema kwa Commission d’accès à l’information na isipokuwa kwa idhini ya wazi ya mtu husika."

Chanzo: LégisQuébec, CQLR c. C-1.1^[1]

Maandishi ya Kifaransa, ambayo ni rasmi kwa usawa, yanaanza na marufuku: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Hakuna mtu anayeweza kulazimisha utambulisho uthibitishwe kwa mchakato wa bayometriki bila kwanza kufichua hilo kwa CAI na bila ridhaa ya wazi ya mtu huyo.)^[2] Ukurasa wa CAI wenyewe unaenda mbali zaidi: unasema kwamba kulazimisha uthibitishaji wa utambulisho wa bayometriki ni marufuku na kwamba njia nyingine lazima itolewe mtu asipotoa ridhaa.^[5]

Kisha Kifungu cha 44 kinaongeza mipaka mitatu inayounda bidhaa:

• Data ya chini kabisa: sifa zinazohitajika tu kumuunganisha mtu na kitendo, zinazonaswa mtu akiwa na ufahamu.^[1]
• Hakuna matumizi mengine: hakuna kitu kingine kinachofichuliwa na data ya bayometriki kinachoweza kutumika kufanya uamuzi kuhusu mtu huyo au kwa madhumuni mengine yoyote.^[1]
• Uharibifu: "Rekodi ya sifa au vipimo na maandishi yoyote yanayohusiana nayo lazima iharibiwe mara tu madhumuni ya uthibitishaji au uhakikisho wa utambulisho yanapotimizwa au sababu ya uthibitishaji au uhakikisho haipo tena."^[1]

Ulinganishaji wa selfie wa 1:1 unahesabika

Mwongozo wa CAI unashughulikia madhumuni yote mawili: utambuzi, ambao hutafuta katika hifadhidata miongoni mwa utambulisho mwingi, na uthibitishaji, ambao huthibitisha utambulisho kwa ulinganisho wa "mmoja dhidi ya mmoja" na data ya bayometriki ya mtu anayejulikana.^[6] Mwongozo pia unasema kwamba msimbo, kiolezo au modeli inayotokana na picha kupitia algoriti pia ni taarifa za bayometriki.^[6] Mnamo Februari 2025 CAI iligundua kwamba mradi wa utambuzi wa uso wa muuzaji rejareja ulikuwa uthibitishaji wa utambulisho kwa njia za bayometriki, ambao unahitaji ridhaa ya wazi chini ya Sheria hiyo.^[11]

Tamko la kifungu cha 44 au hifadhidata ya kifungu cha 45

Kifungu cha 45 kinatumika kwa hifadhidata ya bayometriki, kwa mfano picha za uso au violezo vilivyohifadhiwa.^[1]

Mamlaka haya yanatumika: amri ya kwanza ya CAI chini ya kifungu cha 45, mnamo Februari 2025, ilipiga marufuku hifadhidata ya utambuzi wa uso ya muuzaji wa rejareja.^[11]

Fomu ya tamko ya CAI inauliza nini, na nini cha kupata kutoka kwa mtoa huduma wako

Biashara inayothibitisha utambulisho ndiyo inayotoa tamko, kupitia fomu ya mtandaoni ya CAI, na kila sehemu ni ya lazima.^[5][7] Kwa vitendo, majibu mengi yanahusu mfumo wa mtoa huduma, kwa hiyo yaombe kabla ya kusaini.

Ambatisha mwongozo wa mtumiaji, fomu ya ridhaa, makubaliano ya data inayotumwa nje ya Quebec na tathmini ya athari kwa faragha (kwa Kifaransa, évaluation des facteurs relatifs à la vie privée, EFVP).^[7]

Ridhaa ya wazi na mbadala usio wa bayometriki

Kifungu cha 12 cha Sheria ya sekta binafsi kinasema ridhaa "lazima itolewe kwa uwazi inapohusu taarifa binafsi nyeti", na kinataja asili ya bayometriki miongoni mwa sababu zinazofanya taarifa kuwa nyeti.^[3][4] Kwa bayometriki, CAI inasema ridhaa halali ni ya dhahiri na ya wazi, ya hiari, yenye ufahamu, mahususi na yenye kikomo cha muda.^[5] CAI inachapisha fomu ya mfano ya ridhaa ya kurekebisha kulingana na mfumo wako.^[5]

Sehemu ya pili ya sheria hii ndiyo ambayo timu za bidhaa huisahau. Kwa kuwa mtu lazima awe huru kukataa au kuondoa idhini yake, CAI inasema lazima suluhisho jingine litolewe.^[5] Mdhibiti wa shirikisho anasema vivyo hivyo kwa matumizi yasiyo ya lazima: "lazima uwape watu njia nyingine za kufikia au kushiriki" na hupaswi kuzuia ufikiaji wa njia hizo.^[15]

Mtiririko wa uthibitishaji unaoanza na ridhaa kwa watumiaji wa Quebec. Njia mbadala haipaswi kumwacha mtu bila pa kwenda.^[3][5]

Kifungu cha 12.1 kinaongeza kwamba uamuzi unapotegemea uchakataji wa kiotomatiki pekee, lazima umjulishe mtu huyo na umruhusu kuwasilisha maoni yake kwa mfanyakazi anayeweza kuupitia.^[3]

Kifungu cha 17: tathmini ya athari kwa faragha kabla ya data kutoka Quebec

Kifungu cha 17Act respecting the protection of personal information in the private sector

"Kabla ya kuwasilisha taarifa binafsi nje ya Québec, mtu anayeendesha biashara lazima afanye tathmini ya athari kwa faragha."

Chanzo: LégisQuébec, CQLR c. P-39.1^[3]

Tathmini lazima ipime unyeti wa data, madhumuni yake, hatua za ulinzi zikiwemo mikataba, na mfumo wa kisheria wa mahali data inakokwenda.^[3] Data inaweza kutumwa tu ikiwa tathmini inaonyesha ulinzi wa kutosha, na uhamishaji huo "lazima uwe chini ya makubaliano ya maandishi" yanayoakisi tathmini.^[3] Hali hiyo hiyo inatumika pale mtu au taasisi iliyo nje ya Quebec inapokusanya, kutumia, kuwasilisha au kuhifadhi data kwa niaba yako, ambayo ndiyo hali ya mtoa huduma.^[3] Kwa uelewa wetu, "nje ya Québec" inajumuisha majimbo mengine ya Canada: maandishi ya sheria hayaishii kwenye mpaka wa Canada.^[3]

Kifungu cha 3.3 kinahitaji tathmini ya athari kwa faragha kwa mradi wowote wa kununua au kufanyia marekebisho makubwa mfumo wa taarifa, kwa hiyo mtoa huduma mpya anahitaji tathmini hiyo hata ndani ya Quebec.^[3] Kifungu cha 18.3 kinahitaji mkataba wa maandishi unaomwekea mtoa huduma mipaka ya mamlaka aliyopewa na kumzuia kuhifadhi data baada ya hapo.^[3]

Mahali kila wajibu wa Law 25 unapoangukia katika uthibitishaji unaotumia mtoa huduma.^[1][3]

Adhabu chini ya Law 25

Kukusanya, kutumia, kuhifadhi au kuharibu taarifa binafsi kwa kukiuka sheria kunaweza kusababisha adhabu ya kiutawala ya CAI au faini ya jinai.^[3][9]

Maamuzi ya CAI kuhusu utambuzi wa uso

Muktadha wa Canada nzima: PIPEDA, mwongozo wa OPC na Mswada C-36

Ukaguzi wa umri kwa kutumia uso pia unahesabiwa kama bayometriki; mwongozo wetu wa uthibitishaji wa umri nchini Canada unashughulikia hali hiyo.

Nje ya Quebec, katika mikoa mingi, bayometriki katika sekta binafsi zinasimamiwa na sheria ya shirikisho, Personal Information Protection and Electronic Documents Act (PIPEDA). Tarehe 11 Agosti 2025, Office of the Privacy Commissioner of Canada (OPC) ilichapisha mwongozo wake kuhusu bayometriki, ambao unaendana na kanuni za Quebec.^[14]

Kuhusu uchakataji wa kuvuka mipaka, PIPEDA inafanya kazi tofauti na kifungu cha 17. Miongozo ya OPC inasema kwamba "PIPEDA haizuii mashirika nchini Kanada kuhamisha taarifa binafsi kwa shirika katika mamlaka nyingine kwa ajili ya uchakataji", lakini shirika linaendelea kuwajibika na lazima litumie mikataba au njia nyingine kutoa "kiwango kinacholingana cha ulinzi".^[16]

Mswada C-36, ambao ungetunga Protecting Privacy and Consumer Data Act na kurekebisha PIPEDA, uliwasilishwa na kusomwa mara ya kwanza tarehe 15 Juni 2026, na kufikia 31 Oktoba 2026 uko katika usomaji wa pili katika House of Commons, kulingana na LEGISinfo.^[17] Ni mswada, si sheria. Kama ulivyowasilishwa, kifungu chake cha 57(1) kingehitaji tathmini ya athari za faragha na hatua za kupunguza hatari kabla ya taarifa binafsi kufichuliwa au kuhamishwa nje ya Kanada, na adhabu ya juu zaidi kwa ukiukaji katika uchunguzi mmoja ingekuwa kiasi kikubwa zaidi kati ya CAD milioni 10 na 3% ya mapato ghafi ya kimataifa.^[18] Pia unaorodhesha taarifa za bayometriki zinazoweza kumtambua mtu kwa upekee kuwa taarifa nyeti.^[18]

Ukazi wa data wa sekta ya umma katika BC, Nova Scotia, Ontario na Alberta

Taasisi za umma hufuata sheria za mikoa, ambazo huchochea maswali mengi kuhusu ukazi wa data katika maombi ya mapendekezo. Kampuni za malipo na crypto: tazama KYC kwa biashara za huduma za fedha na crypto nchini Kanada.

Kuhifadhi data ndani ya Canada hakuondoi tathmini ya kifungu cha 17 cha Quebec pale data inapotoka Quebec kwenda jimbo jingine.^[3]

Orodha ya ukaguzi ya uthibitishaji wa bayometriki chini ya Quebec Law 25 kwa mwezi huu

Wasilisha tamko la CAI kabla ya ulinganishaji wa uso kuanza kutumika kwa watumiaji wa Quebec.^[1]

• Orodhesha kila mtiririko unaonasa na kulinganisha uso, ikiwemo urejeshaji wa akaunti.
• Andika tatizo ambalo ulinganishaji wa uso unatatua, ukitumia data yako mwenyewe ya ulaghai, pamoja na njia zisizoingilia faragha kwa kiwango kikubwa ulizojaribu.^[5]
• Angalia kama picha au violezo vilivyohifadhiwa vinaunda hifadhidata ya bayometriki; ikiwa ndivyo, ifichue haraka na angalau siku 60 kabla ya matumizi.^[1]
• Fanya tathmini za kifungu cha 3.3 na kifungu cha 17, na saini makubaliano ya maandishi na mtoa huduma.^[3]
• Tengeneza skrini ya ridhaa ya wazi kwa Kifaransa na Kiingereza, na uhifadhi rekodi ya kila ridhaa.^[5]
• Toa njia isiyo ya bayometriki inayofanya kazi kwa watu wanaokataa au wanaoondoa ridhaa.^[5]
• Weka muda wa kuhifadhi ili data ya bayometriki iharibiwe mara lengo linapotimia, kwa mtoa huduma na kwenye nakala rudufu.^[1][15]
• Elekeza ulinganishaji ulioshindwa kwa mtu anayeweza kuupitia, na uwajulishe watumiaji kuhusu maamuzi ya kiotomatiki.^[3][15]
• Wasilisha tamko la CAI pamoja na mwongozo, fomu ya ridhaa, makubaliano na tathmini vikiwa vimeambatishwa.^[7]

Maswali kwa watoa huduma kuhusu mahali data inapohifadhiwa:

• Uliza data inachakatwa na kuhifadhiwa wapi kwa chaguo-msingi, na kama eneo jingine linapatikana kupitia mkataba.
• Omba orodha kamili ya wachakataji wadogo pamoja na nchi ya kila mmoja.
• Uliza kama wafanyakazi walio nje ya Canada wanaweza kufikia data ya uzalishaji.
• Omba maelezo ya mbinu ya mtoa huduma ya upimaji wa kidemografia na vipimo vyake vya makosa.^[15]

Mashirika yenye wajibu wa kuripoti chini ya sheria za shirikisho za kupambana na utakatishaji fedha: mwongozo wetu wa uthibitishaji wa utambulisho wa FINTRAC mwaka 2026 unashughulikia upande huo; tathmini wajibu wa faragha wa Quebec kando.

Jinsi Didit inavyosaidia

Uthibitishaji wa kitambulisho na ukaguzi wa uhai wa Didit hufanyika katika mtiririko mmoja wa kazi: hati husomwa na kukaguliwa ili kubaini kama imechezewa, kisha ukaguzi wa uhai wa aina ya passive, 3D action au flashing huthibitisha kuwa ni mtu halisi aliye hai, na ulinganishaji wa uso wa 1:1 hulinganisha selfie na picha iliyo kwenye hati.^[24][25][34] Violezo vya uso havihifadhiwi baada ya kikao kufutwa, isipokuwa uwashe uhifadhi wa violezo kwa idadi maalum ya siku.^[27]

Didit ni mchakataji wa data; wewe unabaki kuwa mwenye udhibiti wa data.^[29] Uthibitishaji kupitia hifadhidata, ikiwa ni pamoja na ukaguzi wa ofisi ya taarifa za mikopo ya Kanada, ni ukaguzi usio wa kibayometriki unaoweza kuutathmini kwa ajili ya njia yako mbadala: angalia uthibitishaji kupitia hifadhidata, uchunguzi wa AML na bei.^[33]

Maswali yanayoulizwa mara kwa mara

Vyanzo

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, vifungu vya 44 na 45, LégisQuébec, toleo lililounganishwa hadi 29 Oktoba 2026.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, vifungu vya 44 na 45, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21 Septemba 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22 Septemba 2023.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 18 Februari 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2 Julai 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11 Agosti 2025.
15. Guidance for processing biometrics, for businesses, OPC, 11 Agosti 2025.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Mswada C-36, Bunge la 45, kikao cha 1, LEGISinfo, iliangaliwa 31 Oktoba 2026.
18. Mswada C-36, maandishi ya usomaji wa kwanza, Parliament of Canada, 15 Juni 2026.
19. Mwongozo kuhusu ufichuzi nje ya Kanada, Government of British Columbia, ilisasishwa 13 Februari 2025.
20. Personal Information International Disclosure Protection Act, maswali na majibu, Government of Nova Scotia.
21. Freedom of Information and Protection of Privacy Act mpya ya Nova Scotia, David Fraser, Canadian Privacy Law Blog, 9 Novemba 2025.
22. Masasisho ya FIPPA na MFIPPA, Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
24. Face Match (1:1), nyaraka za Didit.
25. Utambuzi wa uhai, nyaraka za Didit.
26. Ridhaa ya bayometriki, nyaraka za Didit.
27. Uhifadhi na ufutaji wa data, nyaraka za Didit.
28. Kufuta kipindi, nyaraka za Didit.
29. Usalama na uzingatiaji wa sheria, nyaraka za Didit.
30. Vyeti, nyaraka za Didit.
31. Lugha zinazotumika, nyaraka za Didit.
32. Ukaguzi wa binadamu, nyaraka za Didit.
33. Uthibitishaji kupitia taasisi ya taarifa za mikopo ya Kanada (FINTRAC), nyaraka za Didit.
34. Uthibitishaji wa kitambulisho, nyaraka za Didit.

Ifuatayo: uthibitishaji wa utambulisho nchini Kanada, mwongozo wetu wa FINTRAC na ukurasa wa uthibitishaji wa kitambulisho.