Amendes Loi 25 pour les PME — Combien risquez-vous vraiment ?

Les PME sont-elles vraiment visées par les amendes Loi 25 ?

Oui, sans aucune exception de taille. La Loi 25 s’applique à toute entreprise qui recueille, utilise, communique ou conserve des renseignements personnels au Québec — qu’il s’agisse d’une multinationale ou d’un entrepreneur solo avec une liste de courriels clients.

Beaucoup de dirigeants de PME pensent que la loi ne concerne que les grandes entreprises. C’est faux. La CAI a explicitement indiqué que l’accompagnement est privilégié pour les premières infractions, mais le pouvoir de sanction s’applique à tous.

Combien une PME peut-elle payer concrètement ?

Les plafonds légaux sont impressionnants (10 M$ en sanction administrative, 25 M$ en sanction pénale), mais une PME ne sera jamais condamnée à ces montants maximaux sauf circonstances exceptionnelles. Voici une estimation réaliste par profil de risque :

PME en bonne foi, première infraction

Amende probable : 0 $ — La CAI émet un avis de non-conformité et accorde un délai pour corriger. C’est le scénario le plus courant en 2025-2026.

PME avec manquements persistants

Amende probable : 1 000 $ à 25 000 $ — Si l’entreprise a été avisée et n’a pas corrigé dans le délai imparti, ou si plusieurs obligations sont simultanément en défaut (pas de RPP, pas de politique, pas de registre).

PME impliquée dans un incident de confidentialité non signalé

Amende probable : 5 000 $ à 100 000 $ — Selon le nombre de personnes affectées, la sensibilité des données et le délai de signalement. Un incident touchant des données de santé ou financières de centaines de clients sera traité plus sévèrement.

PME en récidive ou faute intentionnelle

Amende probable : 25 000 $ à 500 000 $+ — Revente de listes clients, collecte frauduleuse, obstruction à une enquête CAI. Peut aussi déclencher des poursuites pénales.

Les 5 erreurs de PME qui mènent à une amende

1. Ignorer la loi en pensant être « trop petit » — La CAI ne fait pas de tri par taille d’entreprise lors de ses inspections
2. Ne pas avoir de registre des incidents — Obligatoire depuis septembre 2022, c’est la première vérification lors d’une inspection
3. Copier-coller une politique de confidentialité générique — Une politique non adaptée à vos pratiques réelles ne protège pas en cas de plainte
4. Sous-traiter sans contrat de protection des données — Vous restez responsable des manquements de vos fournisseurs (infonuagique, CRM, comptabilité)
5. Ne pas former les employés — Un courriel envoyé au mauvais destinataire peut déclencher une plainte et une inspection

Ce que la CAI vérifie en priorité chez les PME

Lors d’une inspection ou d’une enquête suite à une plainte, la CAI examine systématiquement :

• Le responsable RPP est-il désigné et ses coordonnées publiées ?
• La politique de confidentialité est-elle publiée, à jour et adaptée ?
• Le registre des incidents existe-t-il et est-il complet ?
• Les demandes d’accès sont-elles traitées dans les 30 jours ?
• Le consentement est-il obtenu de façon valide pour chaque finalité ?
• Les transferts hors Québec sont-ils encadrés par une EFVP ?

Plan d’action anti-amende en 5 étapes

1. Semaine 1 — Désignez votre RPP et publiez ses coordonnées sur votre site web
2. Semaine 2 — Rédigez et publiez votre politique de confidentialité (adaptée à vos pratiques)
3. Semaine 3 — Créez votre registre des incidents (modèle simple : date, nature, mesures prises)
4. Semaine 4 — Inventoriez vos renseignements personnels (clients, employés, fournisseurs)
5. Mois 2 — Formez votre équipe aux bonnes pratiques et mettez en place un processus de réponse aux demandes d’accès

Pour le détail de chaque obligation, consultez notre guide des 8 obligations Loi 25. Pour les montants exacts des sanctions, voir notre article sur les sanctions CAI et pénales.

Foire aux questions PME

Dois-je m’inquiéter si je viens de découvrir la Loi 25 ?

Pas de panique, mais agissez maintenant. La CAI est en phase d’accompagnement pour les PME qui font des efforts de mise en conformité. Chaque mois de retard augmente cependant le risque, surtout si vous traitez des données sensibles.

Un avocat est-il obligatoire pour éviter les amendes ?

Non pour la conformité de base. Un RPP interne bien formé ou un outil de conformité automatisé suffit pour la majorité des PME. Un avocat devient pertinent pour les EFVP complexes, les incidents majeurs ou les litiges avec la CAI.

Les amendes Loi 25 sont-elles déductibles d’impôt ?

Les sanctions et amendes ne sont généralement pas déductibles fiscalement au Canada. C’est un coût net pour l’entreprise — un argument de plus pour investir dans la prévention.