Sanctions CAI Loi 25 — Comment fonctionne la procédure ?

Comment la CAI arrive-t-elle à sanctionner une entreprise ?

Les sanctions CAI Loi 25 ne tombent pas du ciel. Elles suivent une procédure encadrée qui peut prendre plusieurs mois. Comprendre ce processus vous aide à réagir correctement à chaque étape et à minimiser le risque de sanction.

Étape 1 : La plainte ou l’initiative de la CAI

Une procédure débute généralement de l’une de ces façons :

• Plainte d’un citoyen — Une personne estime que ses droits n’ont pas été respectés (refus d’accès, utilisation non autorisée de ses données, absence de politique de confidentialité)
• Signalement d’incident — L’entreprise signale elle-même un incident de confidentialité à la CAI
• Inspection proactive — La CAI lance une enquête ou une inspection de sa propre initiative, notamment dans un secteur d’activité ciblé

Toute personne peut déposer une plainte en ligne sur le site de la CAI, gratuitement et sans avocat.

Étape 2 : L’enquête préliminaire

La CAI examine la plainte pour déterminer si elle est fondée et si elle relève de sa compétence. Si la plainte est recevable, la CAI ouvre une enquête et peut :

• Demander des explications écrites à l’entreprise visée
• Exiger la production de documents (politiques, registres, correspondances)
• Mener une inspection sur place avec accès aux locaux et aux systèmes
• Interroger des témoins (employés, dirigeants, responsable RPP)

L’entreprise a l’obligation de collaborer avec la CAI durant l’enquête. L’obstruction ou le refus de fournir des documents peut en soi constituer une infraction sanctionnable.

Étape 3 : L’avis de non-conformité

Si la CAI constate un manquement, elle émet généralement un avis de non-conformité (aussi appelé mise en demeure) qui :

• Décrit la nature de l’infraction constatée
• Indique les dispositions légales violées
• Fixe un délai pour corriger la situation (souvent 30 à 90 jours)
• Informe l’entreprise de la possibilité de sanctions si elle ne se conforme pas

C’est le moment critique. Une entreprise qui corrige dans le délai et démontre sa bonne foi échappera très probablement à toute amende.

Étape 4 : La décision de sanction

Si l’entreprise ne corrige pas ou si l’infraction est suffisamment grave, la CAI peut imposer une sanction administrative pécuniaire par décision motivée. Cette décision :

• Énonce les faits retenus
• Identifie les infractions
• Fixe le montant de l’amende en tenant compte des facteurs d’atténuation et d’aggravation
• Informe l’entreprise de ses recours

Les montants vont de quelques milliers de dollars pour une PME en première infraction corrigée tardivement, jusqu’aux plafonds de 10 M$ ou 2 % du chiffre d’affaires mondial pour les cas les plus graves.

Étape 5 : Les recours

L’entreprise sanctionnée dispose de recours :

• Demande de révision auprès de la CAI — dans un délai de 30 jours suivant la notification de la décision
• Pourvoi devant le Tribunal administratif du Québec (TAQ) — si la demande de révision est rejetée ou si l’entreprise choisit directement cette voie
• Pourvoi en contrôle judiciaire — dans des cas limités, devant la Cour supérieure

Pendant les recours, le paiement de l’amende peut être suspendu selon les circonstances.

Sanctions administratives vs poursuites pénales

Aspect	Sanction administrative (CAI)	Poursuite pénale (Directeur des poursuites criminelles et pénales)
Autorité	CAI	Tribunaux
Procédure	Administrative, sans jury	Judiciaire
Plafond entreprise	10 M$ ou 2 % CA	25 M$ ou 4 % CA
Emprisonnement	Non	Oui (personnes physiques)
Déclenchement	Plainte, enquête CAI	Infractions graves, récidive, fraude

Les deux régimes peuvent coexister pour une même entreprise si les faits le justifient.

Comment se préparer à une inspection CAI

Si la CAI vous contacte, voici comment réagir :

1. Ne paniquez pas — Désignez immédiatement une personne responsable de la communication avec la CAI (idéalement le RPP)
2. Coopérez pleinement — Fournissez les documents demandés dans les délais
3. Documentez tout — Conservez une trace de chaque échange avec la CAI
4. Corrigez rapidement — Si un manquement est identifié, mettez en place des mesures correctives sans attendre l’avis formel
5. Consultez si nécessaire — Pour les cas complexes, un avocat en protection des renseignements personnels peut vous accompagner

Facteurs qui atténuent une sanction

La CAI prend en compte les efforts de conformité de l’entreprise. Voici ce qui joue en votre faveur :

• Mise en place proactive d’un programme de conformité avant toute plainte
• Coopération totale durant l’enquête
• Correction rapide des manquements identifiés
• Mesures compensatoires envers les personnes affectées (notification, offre de protection)
• Absence de récidive et de caractère intentionnel
• Petite taille de l’entreprise et ressources limitées

Foire aux questions sur la procédure CAI

Combien de temps dure une enquête CAI ?

De quelques semaines pour un dossier simple à plusieurs mois pour une enquête complexe impliquant de multiples infractions ou un grand nombre de personnes affectées.

Puis-je continuer mes activités pendant l’enquête ?

Oui, sauf si la CAI ordonne des mesures conservatoires. L’enquête n’entraîne pas automatiquement la suspension de vos activités.

La CAI publie-t-elle les sanctions ?

Oui. Les décisions de sanction sont généralement publiques et accessibles sur le site de la CAI. C’est un facteur réputationnel important pour les PME.

Pour connaître les montants des amendes, consultez notre guide complet sur les amendes Loi 25 et notre page sanctions et amendes.