Pénalités pour non-conformité à la Loi 25 — Guide pratique

Pénalités Loi 25 : au-delà des amendes administratives

Quand on parle de pénalités pour non-conformité à la Loi 25, il faut distinguer trois types de conséquences financières :

1. Sanctions administratives pécuniaires — imposées par la CAI (jusqu’à 10 M$)
2. Sanctions pénales — devant les tribunaux (jusqu’à 25 M$)
3. Dommages-intérêts punitifs — réclamés par les personnes lésées devant les tribunaux civils (≥ 1 000 $ par personne)

Ce guide se concentre sur les sanctions pénales et les dommages-intérêts, les conséquences les plus lourdes prévues par la loi.

Quelles infractions entraînent des sanctions pénales ?

Les poursuites pénales sont réservées aux infractions les plus graves. Voici les principales :

Collecte et utilisation frauduleuses

• Recueillir des renseignements personnels par fraude ou par ruse
• Utiliser des renseignements personnels à des fins autres que celles pour lesquelles ils ont été recueillis, sans consentement
• Conserver des renseignements au-delà du délai nécessaire de façon systématique et délibérée

Communication illicite

• Communiquer des renseignements personnels à un tiers sans consentement ou sans base légale
• Vendre ou louer des listes de renseignements personnels en violation de la loi
• Transférer des renseignements hors Québec sans les garanties requises

Obstruction et non-collaboration

• Entraver une enquête ou une inspection de la CAI
• Détruire des documents ou des preuves pendant une enquête
• Fournir de faux renseignements à la CAI

Atteinte à la réputation

• Utiliser des renseignements personnels de manière à porter atteinte à la réputation ou à la vie privée d’une personne

Montants des sanctions pénales

Contrevenant	Amende maximale	Autres peines
Entreprise	25 000 000 $ ou 4 % du CA mondial	—
Personne physique	100 000 $	Emprisonnement possible
Récidive (entreprise)	Montants doublés	—

Le calcul « selon le montant le plus élevé » entre le montant fixe et le pourcentage du chiffre d’affaires mondial signifie qu’une entreprise avec un CA élevé s’expose à des pénalités proportionnelles à sa taille — un mécanisme similaire au RGPD européen.

Dommages-intérêts punitifs : le risque invisible

Au-delà des sanctions publiques, la Loi 25 permet à toute personne lésée de réclamer des dommages-intérêts punitifs devant les tribunaux civils lorsque :

• L’atteinte à ses renseignements personnels est intentionnelle, ou
• Elle résulte d’une faute lourde (négligence grossière)

Le montant minimum est de 1 000 $ par personne concernée. Si un incident touche 500 clients, le minimum théorique est de 500 000 $ — sans compter les dommages compensatoires.

C’est souvent le risque le plus sous-estimé par les PME : une plainte individuelle devant les tribunaux civils peut coûter bien plus qu’une sanction administrative CAI.

Comment une poursuite pénale se déclenche

Contrairement aux sanctions administratives (où la CAI décide seule), les poursuites pénales sont intentées par le Directeur des poursuites criminelles et pénales (DPCP) :

1. La CAI mène son enquête et constate des infractions de nature pénale
2. La CAI transmet le dossier au DPCP avec ses recommandations
3. Le DPCP décide d’intenter ou non des poursuites
4. Le procès se déroule devant la Cour du Québec (Chambre criminelle et pénale)
5. En cas de culpabilité, le juge impose la peine

Les poursuites pénales sont plus rares que les sanctions administratives, mais leurs conséquences sont plus graves — incluant un casier judiciaire pour les personnes physiques condamnées.

Comment protéger votre entreprise des pénalités

Mesures préventives essentielles

• Politique de confidentialité claire, publiée et respectée dans les faits
• Processus de consentement documenté pour chaque finalité de collecte
• Registre des incidents tenu rigoureusement
• Formation régulière des employés sur la protection des renseignements personnels
• Clauses contractuelles avec tous les sous-traitants qui traitent des données pour vous
• EFVP réalisée avant tout projet impliquant des renseignements personnels

En cas d’incident

1. Consignez l’incident dans votre registre immédiatement
2. Évaluez le risque de préjudice sérieux
3. Signalez à la CAI et aux personnes concernées si le risque est sérieux
4. Corrigez la faille et documentez les mesures prises
5. Consultez un avocat si l’incident est majeur

La rapidité et la transparence de votre réaction sont les facteurs les plus importants pour éviter l’escalade vers des pénalités.

Comparaison des trois régimes de conséquences

Conséquence	Autorité	Seuil de déclenchement	Plafond PME typique
Sanction administrative	CAI	Manquement à une obligation	1 000 $ – 100 000 $
Sanction pénale	DPCP / Tribunaux	Infraction grave ou intentionnelle	25 000 $ – 25 000 000 $
Dommages punitifs	Tribunaux civils	Atteinte intentionnelle ou faute lourde	1 000 $ × nb de personnes

Foire aux questions

Une PME peut-elle faire face à une poursuite pénale ?

Oui, bien que ce soit rare pour une première infraction non intentionnelle. Le risque augmente significativement en cas de récidive, de fraude ou d’obstruction à une enquête.

Les dommages punitifs sont-ils cumulatifs avec les amendes CAI ?

Oui. Une entreprise peut être sanctionnée administrativement par la CAI et faire l’objet de réclamations civiles en dommages punitifs de la part des personnes affectées. Ce ne sont pas des régimes alternatifs.

Comment savoir si mon entreprise est à risque ?

Si vous n’avez pas de politique de confidentialité publiée, pas de registre des incidents, pas de RPP désigné, ou si vous ne répondez pas aux demandes d’accès dans les délais, vous êtes exposé. Commencez par notre diagnostic des obligations et consultez les amendes Loi 25 pour évaluer votre profil de risque.