Amende Loi 25 — Sanctions CAI et pénales expliquées (2026)

Amende Loi 25 : ce que risque réellement votre entreprise

Une amende Loi 25 peut être imposée à toute entreprise qui ne respecte pas ses obligations en matière de protection des renseignements personnels au Québec. Contrairement à une idée reçue, les montants ne se limitent pas à quelques centaines de dollars : la loi prévoit des plafonds pouvant atteindre des millions de dollars, calculés en fonction du chiffre d’affaires mondial de l’entreprise.

Depuis la modernisation entrée en vigueur par étapes entre 2022 et 2024, la Commission d’accès à l’information (CAI) dispose de pouvoirs de sanction renforcés. Les entreprises qui traitent des données de clients, d’employés ou de fournisseurs — y compris les PME — sont visées sans exception de taille.

Deux régimes de sanctions distincts

C’est le point le plus important à comprendre : deux régimes de sanctions coexistent et ne doivent jamais être confondus.

Sanctions administratives pécuniaires (CAI)

Imposées directement par la CAI, sans passer par un tribunal. Elles visent principalement les manquements aux obligations de conformité : absence de politique de confidentialité, défaut de registre des incidents, non-réponse aux demandes d’accès, etc.

• Entreprises : jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé
• Personnes physiques (dirigeants, RPP) : jusqu’à 100 000 $

Sanctions pénales (tribunaux)

Poursuivies devant les tribunaux pour les infractions les plus graves : collecte frauduleuse, communication illicite de renseignements, obstruction à une enquête de la CAI, récidive délibérée.

• Entreprises : jusqu’à 25 000 000 $ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé
• Personnes physiques : amendes pouvant atteindre 100 000 $ et, dans certains cas, emprisonnement

Dommages-intérêts punitifs

En plus des sanctions publiques, toute personne dont les renseignements personnels ont fait l’objet d’une atteinte intentionnelle ou résultant d’une faute lourde peut réclamer des dommages-intérêts punitifs d’au moins 1 000 $ par personne concernée, devant les tribunaux civils.

Comment la CAI calcule le montant d’une amende

La CAI n’applique pas un barème fixe. Elle évalue chaque situation en tenant compte de plusieurs facteurs :

• La gravité de l’infraction — nature des renseignements concernés (données sensibles, données d’enfants, données financières)
• Le nombre de personnes affectées — un incident touchant 50 000 clients pèse plus lourd qu’un dossier isolé
• La durée et la récidive — un manquement persistant depuis plusieurs mois est plus sévèrement sanctionné
• Les mesures correctives prises — une entreprise qui coopère, corrige rapidement et informe les personnes concernées sera traitée plus favorablement
• La taille et les ressources de l’entreprise — une PME de 5 employés ne sera pas sanctionnée au même niveau qu’une multinationale, mais reste pleinement assujettie
• Le caractère intentionnel ou négligent — une violation délibérée entraîne des montants plus élevés

En pratique, la CAI privilégie encore l’accompagnement et la sensibilisation, surtout pour les premières infractions chez les PME. Mais le pouvoir de sanction est bien réel et a déjà été exercé.

Infractions les plus fréquemment sanctionnées

Voici les manquements qui exposent le plus souvent les PME québécoises à une amende Loi 25 :

1. Absence de politique de confidentialité publiée et accessible (obligatoire depuis septembre 2023)
2. Registre des incidents incomplet ou inexistant (obligatoire depuis septembre 2022)
3. Non-réponse ou réponse tardive aux demandes d’accès des personnes (délai légal : 30 jours)
4. Responsable RPP non désigné ou dont les coordonnées ne sont pas publiées
5. Incident de confidentialité non signalé à la CAI alors qu’un risque de préjudice sérieux existait
6. Transfert de données hors Québec sans EFVP ni mesures contractuelles appropriées
7. Collecte de renseignements sans consentement valide ou au-delà des finalités déclarées

Cas concrets : à quoi ressemblent les sanctions

Première infraction chez une PME

Une PME de 20 employés qui n’a pas publié sa politique de confidentialité ni désigné de RPP recevra probablement un avis de la CAI demandant une mise en conformité dans un délai fixé. Si l’entreprise corrige rapidement, aucune amende n’est imposée. C’est le scénario le plus fréquent aujourd’hui.

Incident non signalé

Une entreprise subit une fuite de données clients (courriels, numéros de téléphone) et ne signale pas l’incident à la CAI. Lors d’une inspection ultérieure, la CAI découvre le manquement. La sanction administrative peut alors être significative, surtout si des centaines de personnes étaient concernées.

Récidive ou négligence grave

Une entreprise déjà avisée par la CAI qui persiste dans ses manquements, ou qui commet une violation intentionnelle (revente de listes de clients sans consentement), s’expose aux sanctions pénales maximales et aux dommages-intérêts punitifs.

Amende Loi 25 vs RGPD : comparaison des plafonds

Régime	Loi 25 (Québec)	RGPD (Europe)
Sanction administrative max. (entreprise)	10 M$ ou 2 % CA mondial	20 M€ ou 4 % CA mondial
Sanction pénale max. (entreprise)	25 M$ ou 4 % CA mondial	—
Dommages punitifs (personnes)	≥ 1 000 $ / personne	Variable selon juridiction

Les montants québécois sont substantiels, même s’ils restent inférieurs aux plafonds européens pour les sanctions administratives. Pour une PME québécoise, le risque réel n’est pas le plafond théorique, mais une amende proportionnée à la gravité — qui peut quand même représenter des dizaines de milliers de dollars.

Comment réduire votre risque d’amende

La bonne nouvelle : la conformité préventive coûte infiniment moins cher qu’une sanction. Voici les actions les plus efficaces :

1. Désignez et publiez votre responsable RPP — c’est la première chose que la CAI vérifie
2. Publiez une politique de confidentialité claire — en langage simple, accessible sur votre site
3. Tenez un registre des incidents à jour — documentez chaque incident, même mineur
4. Répondez aux demandes d’accès dans les 30 jours — avec un processus documenté
5. Formez vos employés — la majorité des incidents viennent d’erreurs humaines
6. Réalisez une EFVP avant tout nouveau projet impliquant des données personnelles
7. Coopérez avec la CAI — en cas d’inspection, la transparence et la correction rapide atténuent les sanctions

Foire aux questions sur les amendes Loi 25

Une micro-entreprise peut-elle recevoir une amende de 10 millions ?

Techniquement, le plafond légal s’applique à toutes les entreprises. En pratique, la CAI tient compte de la taille et des ressources de l’organisme. Une micro-entreprise sera sanctionnée proportionnellement — mais une amende de plusieurs milliers de dollars reste possible pour une récidive grave.

La CAI peut-elle sanctionner sans avertissement préalable ?

Oui. Bien que la CAI privilégie l’accompagnement, elle peut imposer une sanction administrative directement si l’infraction est grave, si l’entreprise a obstrué une enquête, ou en cas de récidive.

Un dirigeant peut-il être personnellement responsable ?

Oui. Les personnes physiques (dirigeants, responsables RPP) peuvent faire l’objet de sanctions administratives jusqu’à 100 000 $ et de poursuites pénales individuelles, notamment en cas de consentement à une infraction ou d’ordre donné de violer la loi.

Existe-t-il un délai de prescription ?

Les sanctions administratives et pénales sont assujetties à des délais de prescription prévus par la loi. En cas de doute sur un manquement passé, consultez un avocat spécialisé en protection des renseignements personnels.

Prochaines étapes

Si vous n’avez pas encore évalué votre niveau de conformité, commencez par notre guide des obligations Loi 25 puis consultez la page dédiée aux sanctions et amendes pour une vue d’ensemble des montants et régimes.