Sanctions Loi 25 : le risque réel pour une PME

Il existe une industrie de la peur autour de la Loi 25, et elle tient en deux chiffres : 10 millions et 25 millions de dollars. Ces montants sont réels, ils sont dans la loi, et ils n'ont à peu près aucun rapport avec ce qu'une PME québécoise risque vraiment. Le tour d'horizon des obligations, on l'a fait ici : ce que la Loi 25 demande à une PME. Cet article-ci traite du prix.

La Commission d'accès à l'information a publié en mai 2023 le cadre selon lequel elle décide d'imposer ou non une sanction et en fixe le montant. Ce document public de six pages contient une grille de montants de base que presque personne ne cite, et ces montants sont à quatre chiffres.

Ce qui suit part de ce cadre, du texte de la loi et des chiffres publiés par la Commission, pour ranger les risques dans l'ordre où ils coûtent de l'argent à une entreprise de 10 à 50 employés. L'amende n'est pas en tête de liste, et ce n'est pas rassurant : ce qui la précède est plus difficile à assurer.

La réponse courte, pour les pressés

La Loi 25 prévoit deux régimes. La Commission d'accès à l'information peut imposer une sanction administrative pécuniaire, plafonnée pour une entreprise à 10 millions de dollars ou 2 % du chiffre d'affaires mondial (article 90.12). Une poursuite pénale devant un juge peut mener à une amende de 15 000 $ à 25 millions ou 4 % (article 91). Ce sont des plafonds, pas des tarifs. Le cadre publié par la Commission en mai 2023 fixe le point de départ : un montant de base de 1 000 $, 4 000 $, 8 000 $ ou 15 000 $ pour une entreprise selon la gravité du manquement, ajusté ensuite selon la collaboration, les correctifs et la capacité de payer. La Commission doit d'abord notifier un avis de non-conformité, et une entreprise qui prend un engagement accepté et le respecte échappe à la sanction pour ces faits. Pour une PME, le coût de l'incident, la responsabilité civile et la perte de contrats pèsent plus lourd que l'amende.

Les plafonds que tout le monde cite

Les chiffres exacts d'abord, parce qu'ils sont souvent mal rapportés. L'article 90.12 de la Loi sur la protection des renseignements personnels dans le secteur privé fixe le maximum d'une sanction administrative pécuniaire à 50 000 $ pour une personne physique et, dans les autres cas, à 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent si ce montant est plus élevé.

L'article 91 est un régime distinct, de nature pénale : la Commission intente une poursuite, un juge se prononce, et l'amende va de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 25 millions ou 4 % pour une entreprise. Ces amendes doublent en cas de récidive (article 92.1), et l'administrateur qui a ordonné ou autorisé l'acte est partie à l'infraction (article 93).

Un plafond n'est pas une prévision. Personne ne chiffre un excès de vitesse au maximum prévu au Code de la sécurité routière, et c'est pourtant la structure de l'argument quand on vous vend de la conformité en agitant les 25 millions.

Le chiffre que personne ne cite : le montant de base

L'article 90.2 oblige la Commission à rendre public un cadre général d'application des sanctions administratives pécuniaires. Elle l'a fait le 11 mai 2023, et sa section 5 décrit une méthode en deux étapes.

D'abord, la personne désignée classe le manquement dans une des quatre catégories : A pour un manquement mineur de nature administrative, B pour un manquement modéré, C pour un manquement grave, D pour un manquement très grave. Cette catégorie donne un montant de base. Pour une entreprise : 1 000 $ en A, 4 000 $ en B, 8 000 $ en C, 15 000 $ en D. Pour une personne physique : 500 $, 1 500 $, 3 000 $ et 5 000 $.

Ensuite, ce montant monte ou descend selon des facteurs énumérés dans le cadre : durée et répétition du manquement, sensibilité des renseignements, nombre de personnes touchées, mesures correctives prises, degré de collaboration avec la Commission, compensation offerte aux personnes concernées, capacité de payer.

Rien n'empêche une sanction d'atteindre le plafond. Mais un régime qui démarre à 1 000 $ et qui pondère explicitement la capacité de payer n'est pas conçu pour couler une entreprise de 20 employés. Il est conçu pour la faire corriger vite.

La Commission doit vous avertir avant de sanctionner

C'est la partie la moins connue et la plus utile. L'article 90.4 est catégorique : avant d'imposer une sanction, la personne désignée doit avoir notifié un avis de non-conformité et donné à l'entreprise l'occasion de présenter ses observations. Pas de sanction surprise par la poste.

Mieux : l'article 90.1 permet à une entreprise, en tout temps après un manquement, de s'engager auprès de la Commission à prendre les mesures nécessaires pour y remédier. Si l'engagement est accepté et respecté, aucune sanction ne peut lui être imposée pour les actes visés. La loi offre une sortie à qui corrige.

Deux délais à retenir : une sanction se prescrit par deux ans à compter du manquement (article 90.10), et l'entreprise a 30 jours après l'avis de réclamation pour demander un réexamen, puis 30 jours pour contester devant la Cour du Québec.

Ce que la Commission traite réellement

Son rapport annuel 2024-2025 donne la mesure du volume : 549 plaintes en surveillance reçues, une hausse de 98 % sur un an et de 227 % depuis 2021-2022, et 514 avis d'incidents de confidentialité, dont 80 % venaient du secteur privé. Causes les plus fréquentes : cyberattaque (160 avis), erreur humaine (110), rançongiciel (106).

Ce rapport ne publie aucun montant de sanction administrative pécuniaire imposée. Et dans son rapport quinquennal déposé en mai 2026, la Commission décrit toujours ce régime comme d'implantation récente et recommande de le revoir, parce que certains manquements visés reposent sur des critères subjectifs mal adaptés à une sanction rapide.

Ce rapport quinquennal contient aussi un détail que les vendeurs de conformité oublient. Plusieurs obligations qu'on vous présente comme des bombes à retardement ne peuvent aujourd'hui donner lieu à aucune sanction administrative pécuniaire : publier le titre et les coordonnées du responsable de la protection des renseignements personnels (article 3.1), publier ses politiques de gouvernance (article 3.2), faire une évaluation des facteurs relatifs à la vie privée (article 3.3), tenir un registre des incidents de confidentialité (article 3.8). La Commission recommande de les ajouter au régime, ce qui indique la direction du vent. Faites-les quand même : elles coûtent peu et elles vous protègent ailleurs.

Le classement honnête des risques

Voici l'ordre dans lequel une PME perd de l'argent avec la Loi 25.

Premier : l'incident lui-même. Un rançongiciel un vendredi soir, c'est une équipe qui ne travaille pas, un fournisseur d'urgence à payer, des clients à appeler un par un. Les 514 avis reçus par la Commission viennent d'organisations qui ont vécu cette semaine-là. La facture arrive avant qu'un régulateur ait ouvert votre dossier.

Deuxième : la responsabilité civile. L'article 93.1 impose au tribunal d'accorder des dommages-intérêts punitifs d'au moins 1 000 $ lorsqu'une atteinte illicite à un droit conféré par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde. Mille dollars par personne, dans une base de 5 000 clients, ce n'est plus mille dollars. L'entente approuvée en 2022 dans l'affaire Desjardins, environ 200 millions pour une fuite touchant des millions de membres, donne l'échelle quand le nombre est grand.

La jurisprudence n'est pas pour autant une machine à payer. Dans l'affaire Lamoureux, un portable non chiffré contenant les renseignements de plus de 50 000 investisseurs a été perdu dans un train ; l'action collective a été rejetée au fond en 2021 et le rejet confirmé par la Cour d'appel en 2022. Le tribunal a jugé que l'anxiété et la surveillance de ses propres comptes doivent avoir une certaine gravité pour être indemnisables, et il a refusé les dommages punitifs parce que l'organisme avait suivi les meilleures pratiques après coup : informer la Commission, avertir vite les personnes concernées, retenir des experts, offrir une surveillance de crédit. Ce qui a protégé le défendeur, c'est sa conduite.

Troisième : vos contrats. Le risque le plus sous-estimé. Les grands donneurs d'ordres, les institutions financières et le secteur public transfèrent leurs obligations à leurs fournisseurs par contrat, avec questionnaires de sécurité et clauses de résiliation. Perdre un contrat récurrent de 60 000 $ par an parce que vous ne savez pas remplir une annexe de conformité arrive plus souvent qu'une sanction de la Commission. C'est aussi le seul de ces risques qui se convertit en avantage quand le concurrent n'est pas prêt.

Quatrième : la réputation. Une décision de la Commission est publique, et les avis aux personnes concernées circulent vite.

Cinquième, et seulement là : la sanction réglementaire. Précédée d'un avis, désamorçable par engagement, calculée à partir de 1 000 $, pondérée par votre collaboration.

Ce qui change vraiment votre exposition

Presque tout ce qui vous protège se joue avant et après l'incident, pas devant le régulateur. Savoir quelles données vous détenez et pouvoir les supprimer. Chiffrer ce qui sort du bureau. Avoir écrit, sur une page, qui appelle qui dans les heures suivant une découverte. Tenir le registre. Documenter vos décisions, y compris celles sur vos caméras de surveillance.

C'est le travail qu'on fait quand on refond le site et les formulaires d'un client : aligner ce qu'on collecte, ce qu'on conserve et ce qu'on affiche, pendant qu'on y est plutôt qu'après une plainte. Notre position sur les services ne bouge pas là-dessus : la conformité qui tient est intégrée au produit, pas rangée dans un classeur.

La bonne raison de s'occuper de la Loi 25 n'a jamais été l'amende. C'est qu'une entreprise qui sait où sont ses données réagit mieux le jour où quelque chose casse, et qu'elle signe des contrats que les autres ne signent pas. Si on vous vend la conformité en commençant par 25 millions, demandez la grille de la Commission.

→ Discutons de votre exposition réelle, sans engagement

Ce texte vulgarise le régime de sanctions de la Loi 25 pour aider une PME à situer son risque ; ce n'est pas un avis juridique. Les montants, les délais et les recours cités proviennent de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1) et du cadre général publié par la Commission d'accès à l'information, mais leur application dépend des faits de chaque dossier. Validez votre situation avec un conseiller juridique avant toute décision, en particulier s'il y a eu un incident.