Amendes et sanctions Loi 25 : ce que risque réellement votre organisation

Les chiffres circulent beaucoup : 25 millions de dollars, 4 % du chiffre d'affaires mondial. Ils sont exacts, mais ils ne décrivent qu'une partie du régime de sanctions de la Loi 25, et pas celle qui touchera la plupart des PME. Ce guide présente le portrait complet : les trois mécanismes de sanction, leur fonctionnement réel, les facteurs que la CAI considère, et ce que les premières années d'application nous apprennent.

Les trois mécanismes de sanction

La Loi 25 a créé un régime à trois étages, chacun avec ses propres règles.

1. Les sanctions administratives pécuniaires (SAP)

C'est le mécanisme le plus susceptible de toucher une PME. La CAI peut imposer directement, sans passer par un tribunal, une sanction administrative pécuniaire pour des manquements comme :

• Défaut d'informer les personnes concernées lors de la collecte
• Collecte, utilisation ou communication contraire à la loi
• Défaut de déclarer un incident de confidentialité à la CAI ou aux personnes concernées
• Défaut de prendre les mesures de sécurité requises
• Non-respect des règles sur les décisions automatisées

Montants maximaux : 50 000 $ pour une personne physique, et pour une organisation, 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé.

Le processus prévoit un avis de non-conformité préalable dans la plupart des cas : la CAI signale le manquement et l'organisation peut corriger la situation. Les SAP visent les manquements persistants ou sérieux, pas l'erreur de bonne foi corrigée rapidement.

2. Les sanctions pénales

Pour les infractions les plus graves, la CAI peut intenter une poursuite pénale. Les infractions incluent notamment :

• La collecte, l'utilisation ou la communication illégale de renseignements personnels
• Le défaut de déclarer un incident lorsque requis
• L'entrave au travail de la CAI lors d'une enquête ou d'une inspection
• Les représailles contre un lanceur d'alerte

Montants maximaux : pour une organisation, 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les montants doublent en cas de récidive.

3. Le droit privé d'action et les dommages-intérêts punitifs

Le troisième étage est souvent oublié : les personnes lésées peuvent poursuivre directement l'organisation. La Loi 25 prévoit que lorsqu'une atteinte illicite à un droit reconnu par la loi cause un préjudice, des dommages-intérêts punitifs d'au moins 1 000 $ peuvent être accordés en cas d'atteinte intentionnelle ou de faute lourde.

Ce mécanisme alimente les actions collectives. Une fuite touchant 10 000 clients multiplie le plancher de 1 000 $ par le nombre de membres du groupe. Pour beaucoup d'organisations, le risque d'action collective dépasse le risque de sanction de la CAI.

Ce que la CAI considère avant de sanctionner

Pour fixer le montant d'une SAP, la CAI tient compte de facteurs énumérés dans la loi :

• La nature, la gravité, le caractère répétitif et la durée du manquement
• La sensibilité des renseignements concernés
• Le nombre de personnes touchées et le risque de préjudice
• Les mesures prises par l'organisation pour remédier au manquement
• La capacité de payer de l'organisation
• Les avantages tirés du manquement

Deux implications pratiques ressortent. D'abord, la documentation de vos efforts compte : une organisation qui démontre une démarche structurée (RPP actif, registres tenus, politiques en place, formation donnée) se trouve dans une position fondamentalement différente d'une organisation sans rien. Ensuite, la réaction après le manquement pèse lourd : corriger rapidement, notifier avec diligence et coopérer avec la CAI réduisent l'exposition.

Ce que les premières années d'application montrent

Depuis l'entrée en vigueur des pouvoirs de sanction en septembre 2023, le rythme d'application s'installe progressivement. Les constats généraux :

• La CAI a priorisé l'accompagnement et les avis de non-conformité avant les sanctions lourdes, particulièrement pour les PME
• Les inspections se déclenchent surtout à la suite de plaintes de citoyens et d'incidents médiatisés
• Les organisations sans RPP désigné ni politique publiée sont les plus exposées, car ces manquements sont vérifiables en quelques minutes depuis le site Web
• Les actions collectives liées à des incidents de confidentialité continuent de progresser devant les tribunaux québécois, indépendamment des actions de la CAI

La leçon : le scénario réaliste pour une PME n'est pas l'amende de 25 millions. C'est la plainte d'un client ou d'un ex-employé, l'inspection qui s'ensuit, la découverte d'un programme de conformité inexistant, et l'escalade de mesures qui en découle, avec les coûts juridiques, le temps de direction et le dommage réputationnel qui s'additionnent.

Les manquements les plus faciles à vérifier (et à corriger)

Certains manquements sont visibles publiquement et constituent les vérifications de base de la CAI :

1. Le RPP est-il désigné et ses coordonnées publiées sur le site Web ? Vérifiable en 30 secondes.
2. Une politique de confidentialité existe-t-elle et reflète-t-elle la Loi 25 ? Vérifiable en 5 minutes.
3. Les témoins (cookies) et le consentement sont-ils gérés correctement ? Vérifiable depuis n'importe quel navigateur.
4. Les formulaires collectent-ils plus que nécessaire ? Vérifiable sur chaque formulaire public.

Corriger ces quatre points ne rend pas conforme à lui seul, mais retire les signaux extérieurs de négligence qui attirent l'attention.

Comparaison avec les régimes voisins

| Régime | Sanction administrative max. | Sanction pénale max. | |---|---|---| | Loi 25 (Québec) | 10 M$ ou 2 % | 25 M$ ou 4 % | | LPRPDE (Canada fédéral) | Aucune | 100 000 $ | | RGPD (Europe) | 20 M€ ou 4 % | Selon les États membres | | Californie (CCPA/CPRA) | 7 500 $ US par violation intentionnelle | s. o. |

Le Québec s'est doté du régime le plus sévère au Canada, calqué sur l'approche européenne. C'est un choix délibéré du législateur pour donner du mordant à la loi.

Réduire votre exposition : les priorités

Dans l'ordre d'impact :

1. Désigner le RPP et publier ses coordonnées. Le manquement le plus visible et le plus simple à corriger.
2. Tenir le registre des incidents et notifier avec diligence. Le défaut de notification est explicitement sanctionnable, et c'est le manquement le plus coûteux en cas d'incident réel.
3. Documenter votre démarche. Chaque registre tenu, chaque EFVP réalisée, chaque formation donnée devient une pièce dans votre dossier de diligence.
4. Sécuriser les renseignements sensibles. Les mesures de sécurité raisonnables sont une obligation directe, et leur absence aggrave tout incident.
5. Préparer la réponse aux incidents. La différence entre une notification en 3 jours et une notification en 3 semaines peut déterminer l'issue du dossier.

Comment Observantia réduit ce risque

Observantia structure précisément la documentation que la CAI examine : registres tenus à jour, EFVP archivées, incidents documentés avec leur chronologie de notification, et rapports qui démontrent la démarche d'ensemble. En cas d'inspection, le dossier de diligence se produit en minutes. Essayez gratuitement pendant 14 jours.

Articles connexes

• Comprendre les mécanismes d'application de la Loi 25
• Gérer un incident de confidentialité : guide étape par étape sous la Loi 25
• 5 erreurs fréquentes dans la mise en conformité à la Loi 25

Ce contenu est fourni à titre informatif seulement et ne constitue pas un avis juridique. Pour des questions spécifiques à votre situation, consultez un conseiller juridique qualifié.