Ces montants sont des plafonds, pas des tarifs. Cet article explique ce que chaque type de sanction vise, comment la Commission d'accès à l'information fixe un montant et ce qu'une PME peut faire, dès maintenant, pour réduire son exposition.

Où en est la Loi 25, exactement

La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). Ses obligations sont entrées en vigueur par étapes en 2022, 2023 et 2024.

Le régime de sanctions s'applique depuis le 22 septembre 2023. À partir de cette date, la Commission d'accès à l'information (CAI) peut imposer elle-même des sanctions administratives pécuniaires aux entreprises, sans passer par un tribunal. Le 11 mai 2023, la CAI a publié son Cadre général d'application des sanctions administratives pécuniaires, qui décrit comment elle choisit de sanctionner et comment elle calcule un montant.

La Loi 25 ne prévoit aucune exemption selon la taille de l'entreprise. Une PME de 15 employés est soumise aux mêmes sanctions qu'une grande entreprise ; seul le calcul du montant tient compte de sa situation.

Quels sont les trois types de sanctions de la Loi 25 ?

La Loi 25 prévoit trois mécanismes distincts, qui peuvent s'additionner pour un même manquement.

Type Qui l'impose Montant pour une entreprise
Sanction administrative pécuniaire (SAP) La CAI, directement Jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé
Amende pénale Un tribunal, après une poursuite De 15 000 $ à 25 M$ ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé ; doublée en cas de récidive
Dommages-intérêts punitifs Un tribunal, à la demande d'une personne lésée Au moins 1 000 $

Les sanctions administratives pécuniaires de la CAI

Une sanction administrative pécuniaire est une pénalité que la Commission d'accès à l'information impose sans procès. Elle est prévue aux articles 90.1 et suivants de la loi P-39.1. Pour une entreprise, le montant maximal est de 10 M$ ou, si ce montant est plus élevé, 2 % du chiffre d'affaires mondial de l'exercice financier précédent. Pour une personne physique, il est de 50 000 $.

Pour une PME, 2 % du chiffre d'affaires est presque toujours inférieur à 10 M$ : le plafond qui s'applique est donc 10 M$. C'est un maximum, pas un montant probable.

L'imposition d'une sanction administrative pécuniaire se prescrit par deux ans à compter de la date du manquement.

C'est la sanction la plus probable pour une PME, parce qu'elle est rapide à imposer et qu'elle vise des manquements concrets et fréquents.

Les amendes pénales

Une amende pénale de la Loi 25 est imposée par un tribunal au terme d'une poursuite. Pour une entreprise, l'amende va de 15 000 $ à 25 M$ ou, si le montant est plus élevé, 4 % de son chiffre d'affaires mondial. Pour une personne physique, elle va de 5 000 $ à 100 000 $. En cas de récidive, les amendes sont doublées. Une poursuite pénale peut être intentée dans les cinq ans suivant l'infraction, un délai plus long que les deux ans prévus pour la sanction administrative.

Les dommages-intérêts punitifs

L'article 93.1 de la loi P-39.1 permet à une personne lésée de réclamer des dommages-intérêts punitifs. Lorsqu'une atteinte illicite à ses droits lui cause un préjudice et que l'atteinte est intentionnelle ou résulte d'une faute lourde, le tribunal accorde au moins 1 000 $. Ce montant s'ajoute à la réparation du préjudice lui-même, et peut se multiplier si plusieurs personnes sont touchées.

Quels manquements peuvent mener à une sanction ?

Selon la Commission d'accès à l'information, une sanction administrative pécuniaire peut être imposée à une entreprise qui :

  • recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention de la loi ;
  • n'informe pas adéquatement les personnes lors de la collecte de leurs renseignements ;
  • omet de déclarer un incident de confidentialité qui présente un risque de préjudice sérieux ;
  • ne prend pas les mesures de sécurité appropriées pour protéger les renseignements personnels ;
  • n'informe pas une personne qu'une décision la concernant a été prise de façon automatisée, ou ne lui donne pas l'occasion de présenter ses observations.

Pour une PME, les deux premiers points reviennent le plus souvent en pratique : un formulaire web qui collecte plus que nécessaire, ou une politique de confidentialité absente ou incomplète.

Comment la CAI fixe-t-elle le montant d'une sanction ?

Le Cadre général d'application de la CAI énumère les critères que la personne désignée prend en compte avant d'imposer une sanction administrative pécuniaire :

  • la nature du manquement, sa gravité objective, sa répétition et sa durée ;
  • la sensibilité des renseignements personnels en cause ;
  • le nombre de personnes touchées et le risque de préjudice sérieux ;
  • les mesures prises pour corriger le manquement ou en atténuer les conséquences ;
  • le degré de collaboration avec la Commission ;
  • l'indemnisation offerte aux personnes touchées ;
  • la capacité de payer de l'entreprise.

Autrement dit, deux PME qui commettent le même manquement ne recevront pas nécessairement la même sanction. Celle qui a documenté ses mesures, collaboré et corrigé rapidement est mieux placée.

Comment se déroule une sanction de la CAI, étape par étape ?

Le Cadre général de la CAI décrit une procédure en cinq étapes :

  1. Avis de non-conformité : la CAI informe l'entreprise du manquement constaté.
  2. Observations : l'entreprise peut présenter ses observations et ses mesures correctives.
  3. Avis de réclamation : si la CAI maintient la sanction, elle notifie le montant réclamé.
  4. Demande de réexamen : l'entreprise dispose de 30 jours pour demander un réexamen.
  5. Décision en réexamen : un membre de la section de surveillance de la CAI rend la décision.

Il existe aussi une voie de sortie : l'engagement volontaire. Après un manquement, une entreprise peut s'engager auprès de la CAI à prendre les mesures nécessaires pour y remédier. Si la CAI accepte l'engagement et que l'entreprise le respecte, elle ne peut plus recevoir de sanction administrative pécuniaire pour les manquements visés.

Des entreprises ont-elles déjà reçu une sanction de la Loi 25 ?

En date du 27 septembre 2026, nous n'avons trouvé aucune décision publique de la Commission d'accès à l'information qui nomme une entreprise visée par une sanction administrative pécuniaire, avec son montant. La CAI publie les décisions de sa section de surveillance, mais aucun registre public ne répertorie les sanctions administratives imposées.

Méfiez-vous donc des « cas réels » présentés sans nom d'entreprise, date ni numéro de décision : ce sont généralement des exemples fictifs. Nous mettrons cet article à jour dès qu'une décision publique de sanction sera accessible.

Ce que ça représente vraiment pour une PME

Les chiffres de 10 M$ et de 25 M$ font peur, mais ce sont des plafonds conçus pour les grandes entreprises. Pour une PME, le vrai risque financier tient à trois choses :

  • Le coût d'un incident mal géré. Un incident de confidentialité non déclaré est un manquement en soi, qui s'ajoute à l'incident lui-même.
  • L'effet cumulatif. Une sanction administrative, une poursuite civile avec dommages punitifs et le temps de gestion peuvent s'additionner pour un seul événement.
  • L'absence de preuve. Les critères de la CAI récompensent ce qui est documenté : un responsable nommé, un registre des incidents, une politique publiée. Sans documents, la PME ne peut pas démontrer sa bonne foi.

En pratique, se mettre en conformité coûte généralement moins cher que d'y être forcé. Pour estimer votre budget, voyez combien coûte la conformité à la Loi 25 pour une PME.

Obtenez jusqu'à 3 soumissions de firmes spécialisées en Loi 25, selon votre secteur et votre taille.

Les erreurs les plus fréquentes

  • Croire que les PME sont exemptées. La Loi 25 s'applique à toute entreprise qui détient des renseignements personnels, peu importe sa taille.
  • Lire le plafond comme l'amende probable. Le montant dépend de critères précis, dont la capacité de payer. S'en servir pour paniquer ou pour tout ignorer est la même erreur.
  • Attendre un incident pour agir. Le registre des incidents et la procédure de déclaration doivent exister avant l'incident, pas après.
  • Se fier à des « cas réels » sans source. Plusieurs sites présentent des exemples de sanctions sans nom, date ni numéro de décision. Vérifiez toujours auprès de la CAI avant de tirer des conclusions.
  • Ignorer l'engagement volontaire. Si un manquement est constaté, proposer rapidement des mesures correctives peut éviter la sanction administrative.

Et ensuite

Si vous n'avez encore rien mis en place, commencez par les bases : lisez par où commencer avec la Loi 25 quand on est une PME. Si vous cherchez de l'aide, voyez les 7 critères pour choisir une firme en conformité Loi 25.

Décrivez votre besoin en 2 minutes : Obtenez jusqu'à 3 soumissions.

Sources