« 25 millions de dollars. » Le chiffre revient dans toutes les présentations sur la Loi 25, souvent pour faire peur. Pour la propriétaire d'une agence de placement de Longueuil qui conserve 3 000 CV, la vraie question est ailleurs : qu'est-ce qui déclenche une sanction, et combien ça coûte vraiment ?
La réponse se trouve dans deux textes officiels : la loi elle-même et le cadre général d'application que la Commission d'accès à l'information (CAI) a publié le 11 mai 2023. Ce guide les résume, article par article.
En bref
- Deux régimes : les sanctions administratives pécuniaires (SAP) imposées par la CAI, jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales, de 15 000 $ à 25 M$ ou 4 %.
- Le cadre de la CAI classe les manquements en quatre catégories, avec un montant de base de 1 000 $ à 15 000 $ pour une entreprise, ajusté ensuite selon les circonstances.
- Aucune SAP sans avis de non-conformité préalable et sans occasion de présenter vos observations.
- Une personne lésée peut aussi obtenir des dommages-intérêts punitifs d'au moins 1 000 $ (art. 93.1).
Quelles sont les amendes maximales de la Loi 25 ?
Une entreprise risque au maximum une sanction administrative de 10 M$ ou 2 % de son chiffre d'affaires mondial, et une amende pénale de 25 M$ ou 4 %, selon le montant le plus élevé dans chaque cas. Ces plafonds figurent aux articles 90.12 et 91 de la Loi sur la protection des renseignements personnels dans le secteur privé. Selon la CAI, son pouvoir d'imposer des SAP s'applique depuis le 22 septembre 2023.
| Sanction administrative pécuniaire | Amende pénale | Dommages-intérêts punitifs | |
|---|---|---|---|
| Qui décide | Une personne désignée par la CAI (art. 90.1) | Un juge, sur poursuite de la CAI (art. 92) | Un tribunal civil (art. 93.1) |
| Entreprise | Jusqu'à 10 M$ ou 2 % du CA mondial | De 15 000 $ à 25 M$ ou 4 % du CA mondial | Au moins 1 000 $ |
| Personne physique | Jusqu'à 50 000 $ | De 5 000 $ à 100 000 $ | Au moins 1 000 $ |
| Récidive | Facteur aggravant (cadre de la CAI) | Amendes doublées (art. 92.1) | Sans objet |
| Délai | 2 ans après le manquement (art. 90.10) | 5 ans après l'infraction (art. 92.2) | Règles du droit civil |
Quels manquements peuvent mener à une sanction administrative ?
L'article 90.1 énumère six manquements passibles d'une SAP, dont quatre concernent directement une PME :
- ne pas informer les personnes lors de la collecte de leurs renseignements (art. 7 et 8);
- recueillir, utiliser, communiquer, conserver ou détruire des renseignements en contravention à la loi;
- ne pas déclarer un incident de confidentialité à la CAI ou aux personnes concernées, lorsqu'on y est tenu;
- ne pas prendre les mesures de sécurité exigées par l'article 10.
Les deux autres visent les décisions fondées exclusivement sur un traitement automatisé (art. 12.1) et les agents de renseignements personnels.
Le quatrième point relie directement votre cybersécurité au risque de sanction. Ce que la loi vise, ce n'est pas le fait d'avoir été attaqué, mais l'absence de mesures de sécurité « propres à assurer la protection » des renseignements, raisonnables selon leur sensibilité, leur quantité et leur support.
Le volet pénal (art. 91) reprend plusieurs de ces manquements et en ajoute d'autres : entraver une enquête de la CAI, ne pas répondre à une demande péremptoire, exercer des représailles contre une personne qui a porté plainte, ou ne pas respecter une ordonnance.
Comment la CAI calcule le montant d'une sanction
Selon le cadre général d'application publié par la CAI le 11 mai 2023, le montant d'une SAP se fixe en deux étapes : une catégorie de gravité détermine un montant de base, puis des facteurs aggravants ou atténuants l'ajustent.
| Catégorie | Description selon le cadre de la CAI | Montant de base, entreprise | Montant de base, personne physique |
|---|---|---|---|
| A | Manquement mineur, en général de nature administrative, conséquence nulle ou mineure | 1 000 $ | 500 $ |
| B | Manquement modéré, conséquence modérée | 4 000 $ | 1 500 $ |
| C | Manquement grave, conséquence majeure | 8 000 $ | 3 000 $ |
| D | Manquement très grave, conséquence majeure, réelle ou irréparable | 15 000 $ | 5 000 $ |
Le montant de base est ensuite augmenté ou réduit selon, notamment, la durée et la répétition du manquement, la sensibilité des renseignements, le nombre de personnes touchées, le risque de préjudice sérieux, les mesures prises pour corriger la situation, la collaboration offerte à la CAI, la compensation offerte aux personnes et la capacité de payer. Le résultat peut aller jusqu'au plafond légal.
Deux garde-fous encadrent le régime. D'abord, aucune SAP ne peut être imposée sans un avis de non-conformité préalable et sans vous donner l'occasion de présenter vos observations (art. 90.3 et 90.4). Ensuite, vous pouvez en tout temps vous engager auprès de la CAI à corriger le manquement : si l'engagement est accepté et respecté, aucune SAP ne peut vous être imposée pour les actes ou omissions qu'il mentionne (art. 90.1).
Quand la CAI choisit plutôt la poursuite pénale
La CAI priorise généralement la poursuite pénale dans les cas graves : atteinte importante à la vie privée, clientèle vulnérable, renseignements sensibles, non-respect d'une ordonnance ou conduite intentionnelle, négligente ou insouciante. C'est ce que prévoit son cadre général, qui ajoute l'entrave à une enquête, l'absence de correction malgré des SAP antérieures et les manquements répétés.
Au pénal, c'est un juge qui fixe l'amende. Il tient compte notamment du caractère prévisible de l'infraction, des tentatives de la dissimuler, et du fait que le contrevenant ait accru ses revenus ou réduit ses dépenses en omettant de prendre des mesures (art. 92.3). Autrement dit, « économiser » sur la sécurité peut alourdir la peine. Et l'administrateur ou le dirigeant qui a autorisé l'infraction, ou y a consenti, en est partie (art. 93).
Enquêtes et ordonnances : les autres pouvoirs de la CAI
Les sanctions ne sont qu'un outil parmi d'autres : la CAI peut aussi enquêter, exiger des documents et ordonner des mesures correctives. Elle peut notamment :
- enquêter de sa propre initiative ou à la suite d'une plainte, qui peut être anonyme (art. 81);
- exiger, par demande péremptoire, tout document permettant de vérifier l'application de la loi (art. 81.3);
- lorsqu'un incident lui est signalé, ordonner toute mesure visant à protéger les droits des personnes, y compris la remise ou la destruction des renseignements (art. 81.4);
- au terme d'une enquête, recommander ou ordonner des mesures correctives (art. 83), puis publier un avis si l'entreprise ne s'y conforme pas (art. 84).
Ces ordonnances ont du poids. En décembre 2021, la CAI a ordonné à Clearview AI de cesser de recueillir des renseignements personnels de Québécois et de détruire leurs images et identifiants biométriques. Selon l'annonce de la CAI du 16 octobre 2026, la Cour du Québec a confirmé cette ordonnance et conclu à un lien réel et substantiel entre l'entreprise américaine et le Québec, malgré son argument selon lequel elle n'y avait plus ni bureau, ni employé, ni client depuis juillet 2020.
Comment réduire votre exposition
La meilleure défense est un dossier qui démontre vos efforts, puisque la CAI tient compte des mesures prises, de votre collaboration et de la compensation offerte. Pour une entreprise qui détient les renseignements de milliers de clients, le risque civil des dommages-intérêts punitifs s'ajoute aussi au risque de sanction.
- Documentez vos mesures de sécurité : MFA, correctifs, sauvegardes testées (art. 10).
- Tenez le registre des incidents à jour, incidents mineurs compris (art. 3.8).
- Déclarez avec diligence les incidents qui présentent un risque de préjudice sérieux (notre guide de déclaration à la CAI).
- Répondez à un avis de non-conformité rapidement, avec un plan de correction daté.
- Ne transmettez jamais à la CAI de renseignements inexacts ou incomplets : l'entrave est une infraction distincte (art. 91).
- Gardez une trace écrite des décisions de la direction.
Pour une vue d'ensemble des contrôles à mettre en place, consultez notre checklist cybersécurité Loi 25 et, pour votre site Web, notre guide sur les témoins et la Loi 25.
Ce texte résume la loi et le cadre de la CAI ; il ne constitue pas un avis juridique. Validez votre situation avec votre conseiller juridique. Pour savoir où se situent vos plus grands risques, réservez une discussion gratuite ou découvrez notre accompagnement en conformité Loi 25.
Questions fréquentes
Quelle est l'amende maximale de la Loi 25 pour une entreprise ?+
La sanction administrative pécuniaire peut atteindre 10 M$ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, selon le montant le plus élevé (art. 90.12). Au pénal, l'amende va de 15 000 $ à 25 M$ ou 4 % du chiffre d'affaires mondial (art. 91), et elle double en cas de récidive (art. 92.1). Les plafonds sont les mêmes pour une PME, mais la capacité de payer fait partie des critères de la CAI.
Un dirigeant peut-il être tenu personnellement responsable sous la Loi 25 ?+
Oui. Lorsqu'une personne morale commet une infraction, l'administrateur, le dirigeant ou le représentant qui l'a prescrite, autorisée ou qui y a consenti est partie à l'infraction et passible de la peine prévue (art. 93). Pour une personne physique, l'amende pénale va de 5 000 $ à 100 000 $, et la sanction administrative peut atteindre 50 000 $.
Combien de temps la CAI a-t-elle pour sanctionner une entreprise ?+
La CAI a deux ans à compter du manquement pour imposer une sanction administrative pécuniaire (art. 90.10), et cinq ans à compter de l'infraction pour intenter une poursuite pénale (art. 92.2).
Peut-on contester une sanction administrative pécuniaire de la CAI ?+
Oui. Vous pouvez demander par écrit le réexamen de la décision dans les 30 jours de la notification de l'avis de réclamation (art. 90.6). La décision en réexamen peut ensuite être contestée devant la Cour du Québec dans les 30 jours de sa notification (art. 90.9).
Sources
- 1.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 81 à 93.1
- 2.CAI — Cadre général d'application des sanctions administratives pécuniaires (11 mai 2023)
- 3.CAI — Sanctions (entreprises et organisations privées)
- 4.CAI — Sanctions administratives pécuniaires (actualité)
- 5.CAI — Clearview AI : l'ordonnance de la Commission confirmée par la Cour du Québec (16 octobre 2026)