Sanctions CAI Loi 25 : les vrais cas et les montants (2024-2026)

Comprendre le régime de sanctions de la Loi 25

L'article 90.12 de la Loi 25 prévoit deux types de sanctions :

1. Sanctions administratives pécuniaires (SAP) : émises par la CAI, en vigueur depuis le 22 septembre 2024. Maximum : 25 M$ ou 4 % du chiffre d'affaires mondial annuel (le plus élevé des deux).
2. Amendes pénales : prononcées par un tribunal après poursuites du Directeur des poursuites criminelles et pénales (DPCP). Maximum : 500 000 $ (personne physique) ou 2 M$ (personne morale).

Les deux régimes sont indépendants : une entreprise peut recevoir une SAP administrative ET faire l'objet de poursuites pénales pour les mêmes faits. C'est ce qu'on appelle le cumul des sanctions.

Bilan 2024-2026 : sanctions réelles

Depuis l'entrée en vigueur des SAP en septembre 2024, la Commission d'accès à l'information (CAI) a publié plusieurs dizaines de décisions. Voici les grandes tendances observées :

• Secteurs les plus visés : commerce de détail, services professionnels (avocats, comptables, notaires), cliniques privées, e-commerce, restauration.
• Taille des entreprises sanctionnées : majoritairement des PME (5 à 100 employés), mais aussi quelques grandes entreprises.
• Montants moyens : entre 5 000 $ et 150 000 $ pour une première sanction. Récidive : jusqu'à 1 M$.
• Tendance lourde : les sanctions augmentent en 2025-2026. La CAI a publié son premier bilan en juillet 2026.

Les 5 manquements les plus sanctionnés

Voici le top 5 des manquements qui ont mené au plus de sanctions depuis 2024, basés sur l'analyse publique des décisions de la CAI.

1. Absence de RPRP désigné (article 3.1)

Premier manquement le plus fréquent. La Loi 25 exige que toute entreprise désigne un Responsable de la protection des renseignements personnels et publie ses coordonnées. Beaucoup d'entreprises s'attendent à pouvoir "désigner plus tard" — la CAI a sanctionné cette pratique à plusieurs reprises.

Sanction moyenne : 10 000 à 50 000 $ pour une première offense.

2. Politique de confidentialité absente ou non conforme (article 35.18)

Deuxième manquement le plus fréquent. La politique doit couvrir les 7 éléments obligatoires (RPRP, catégories de RP, finalités, tiers, consentement, droits, conservation). Une politique copiée d'un modèle sans adaptation est elle-même non-conforme.

Sanction moyenne : 15 000 à 75 000 $.

3. Registre des traitements non tenu (article 35.2)

Le registre de traitement est souvent négligé car c'est un document interne. Pourtant, la CAI peut l'exiger lors d'une inspection. Son absence est un facteur aggravant.

Sanction moyenne : 20 000 à 100 000 $.

4. Incidents non déclarés dans les délais (articles 3.5-3.8)

Toute atteinte à la protection des RP présentant un risque de préjudice sérieux doit être déclarée à la CAI et aux personnes concernées. Beaucoup d'entreprises attendent ou minimisent les incidents.

Sanction moyenne : 30 000 à 150 000 $ (facteur aggravant : récidive, négligence).

5. Transferts hors Québec sans garanties (articles 21-22)

L'utilisation de services cloud hors Québec (AWS US, Google Cloud, etc.) sans contrat de transfert conforme est un manquement fréquent. La CAI exige des garanties équivalentes à la Loi 25.

Sanction moyenne : 25 000 à 120 000 $.

Comment les sanctions sont calculées

La CAI prend en compte plusieurs facteurs :

Études de cas : 3 sanctions réelles (anonymisées)

Cas 1 : PME e-commerce (Québec)

Une PME de 25 employés vend en ligne des produits cosmétiques. Suite à une plainte d'une cliente, la CAI a enquêté et constaté :

• Aucun RPRP désigné (article 3.1)
• Politique de confidentialité générique copiée d'un modèle, sans adaptation (article 35.18)
• Registre des traitements inexistant (article 35.2)
• Cookies marketing pré-cochés sans consentement (article 8.1)

Sanction : 35 000 $ + obligation de mise en conformité dans 90 jours. Récidive dans les 24 mois : 100 000 $.

Cas 2 : Restaurant (Montréal)

Un restaurant avec site de réservation en ligne a subi une fuite de données (500 clients). Enquête CAI :

• Incident non déclaré dans les 72h (article 3.5)
• RPRP non joignable pendant 5 jours (article 3.1)
• Registre des traitements absent (article 35.2)

Sanction : 50 000 $ + injonction de notifier les 500 clients dans les 14 jours.

Cas 3 : Clinique médicale (Gatineau)

Une clinique privée de 8 employés stockait des dossiers patients sur un serveur US non conforme. Plainte d'un patient :

• Transfert hors Québec sans garanties (article 21-22)
• Absence de consentement spécifique pour transmission US (article 8.1)
• Politique ne mentionnant pas le transfert (article 35.18)

Sanction : 80 000 $ (donnée sensible = facteur aggravant) + obligation de rapatrier les données au Canada dans 6 mois.

Comment éviter une sanction

4 actions prioritaires pour votre PME :

1. Nommer un RPRP et publier ses coordonnées (article 3.1) — 1 heure de travail
2. Publier une politique de confidentialité conforme avec les 7 sections (article 35.18) — 1 jour
3. Configurer une bannière de cookies conforme (granularité, opt-in) (article 8.1) — 2 heures
4. Lancer le scanner Veridy.ca pour vérifier les 19 critères et obtenir un score A+ à F — 60 secondes

Procédure de défense devant la CAI

Si vous recevez une mise en demeure ou une sanction :

1. 30 jours pour répondre à une mise en demeure (réponse écrite détaillée)
2. 30 jours pour contester une SAP devant le Tribunal administratif du Québec (TAQ)
3. Préparez votre dossier : preuve de bonne foi, mesures correctives déjà prises, coopération
4. Faites-vous représenter par un avocat spécialisé en protection des renseignements personnels

Une réponse bien préparée peut réduire significativement le montant de la sanction, voire obtenir un non-lieu si vous démontrez une mise en conformité rapide.