Combien peut coûter une amende en vertu de la Loi 25 au Québec ? Les sanctions pénales prévues par la Loi 25 peuvent atteindre jusqu'à 25 000 000$ ou 4% du chiffre d'affaires mondial de l'entreprise pour les manquements les plus graves ou en cas de récidive, tandis que les sanctions administratives pécuniaires (SAP) imposées directement par la Commission d'accès à l'information (CAI) peuvent atteindre jusqu'à 10 000 000$ ou 2% du chiffre d'affaires mondial. Ces plafonds visent toutefois les plus grandes organisations : pour une PME québécoise, les montants réellement imposés sont généralement beaucoup plus modestes et proportionnés à la gravité du manquement.
Depuis l'entrée en vigueur complète de la Loi 25 (anciennement projet de loi 64), la protection des renseignements personnels n'est plus une simple bonne pratique au Québec : c'est une obligation légale assortie de sanctions réelles, applicables à toute entreprise qui traite des renseignements personnels, peu importe sa taille. Ce guide décortique l'échelle officielle des sanctions, le processus concret suivi par la CAI et les facteurs qui font varier un montant à la hausse ou à la baisse — utile en complément de notre guide plus large sur la conformité Loi 25 pour PME et pour les cabinets professionnels, notre article sur la conformité Loi 25 pour cabinets comptables et juridiques. Nos techniciens accompagnent aussi les entreprises via un audit de sécurité informatique et des mesures de cybersécurité en entreprise à Montréal pour réduire concrètement le risque de manquement.
Deux échelles de sanctions, un seul objectif : la conformité
La Loi 25 ne cherche pas d'abord à punir, mais à inciter les organisations à protéger les renseignements personnels qu'elles détiennent. Dans les faits, la grande majorité des interventions de la CAI se concluent par un avis et une correction, pas par une sanction financière. Comprendre l'échelle réelle des amendes permet de mesurer le risque avec justesse, sans céder à l'exagération ni sous-estimer l'enjeu.
Les deux types de sanctions prévues par la Loi 25
La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) prévoit deux régimes de sanctions distincts, qui répondent à des logiques et à des processus différents. Il est essentiel de bien les distinguer avant d'évaluer le risque réel pour une PME québécoise.
Les sanctions pénales : jusqu'à 25 000 000$ ou 4% du chiffre d'affaires mondial
Les sanctions pénales sont imposées par un tribunal à la suite d'une poursuite intentée par le Directeur des poursuites criminelles et pénales, généralement pour les manquements les plus graves, intentionnels, ou en cas de récidive après une première sanction. Le plafond légal pour une personne morale peut atteindre 25 000 000$ ou une somme correspondant à 4% du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé des deux. Ce type de poursuite exige un fardeau de preuve plus exigeant qu'une sanction administrative et demeure, dans la pratique, réservé à des cas exceptionnels — pas au manquement isolé d'une PME de bonne foi.
Les sanctions administratives pécuniaires (SAP) : jusqu'à 10 000 000$ ou 2%
Les sanctions administratives pécuniaires (SAP) sont l'outil que la CAI utilise le plus fréquemment. Contrairement à une poursuite pénale, une SAP est imposée directement par la CAI, sans passer devant un tribunal criminel, selon un processus administratif plus rapide. Le plafond légal pour une SAP peut atteindre 10 000 000$ ou 2% du chiffre d'affaires mondial de l'exercice financier précédent, selon le montant le plus élevé. La CAI dispose d'une grande discrétion pour fixer un montant nettement inférieur à ce plafond, en fonction de la gravité du manquement, de la taille de l'organisation et de sa conduite.
Ces plafonds ne représentent pas ce qu'une PME risque en pratique
Les montants de 25 000 000$ et de 10 000 000$ sont calibrés pour dissuader des multinationales dont le chiffre d'affaires justifie de tels ordres de grandeur — pensons aux grandes plateformes technologiques ou aux institutions financières d'envergure. La CAI tient explicitement compte de la capacité de payer de l'organisation fautive. Pour une PME québécoise de quelques employés à quelques dizaines d'employés, une première sanction administrative pécuniaire, lorsqu'elle est imposée, se chiffre le plus souvent en quelques milliers de dollars, pas en millions. La CAI publie certains résumés de décisions sur son site officiel www.cai.gouv.qc.ca, la seule source fiable pour consulter les sanctions réellement imposées à ce jour.
Comment se déroule concrètement le processus qui peut mener à une sanction
Une sanction financière n'est presque jamais la première étape d'une intervention de la CAI. Le processus suit habituellement une progression en plusieurs temps, laissant à l'entreprise une réelle occasion de corriger la situation avant qu'une amende ne soit envisagée.
Plainte d'un citoyen ou enquête initiée par la CAI
Le processus débute le plus souvent par une plainte déposée par une personne concernée (un client, un employé) qui estime que ses renseignements personnels n'ont pas été traités conformément à la loi, ou par une enquête que la CAI initie elle-même, notamment à la suite d'un incident de confidentialité qui doit lui être déclaré. La CAI dispose aussi de pouvoirs d'inspection proactifs.
Examen du dossier et avis à l'entreprise
Si la plainte ou l'enquête révèle un manquement potentiel, la CAI communique généralement avec l'entreprise pour l'informer de la situation, lui demander des explications et, dans la majorité des cas, lui indiquer les correctifs attendus. Cette étape est déterminante : la réponse de l'entreprise à ce stade influence fortement la suite du dossier.
Possibilité de corriger la situation
Dans la plupart des dossiers impliquant une PME de bonne foi, la CAI laisse un délai raisonnable pour corriger le manquement — mettre à jour une politique de confidentialité, notifier des personnes concernées, renforcer une mesure de sécurité technique. Une correction rapide, documentée et complète réduit considérablement la probabilité qu'une sanction financière soit imposée par la suite.
Sanction en dernier recours
Ce n'est que lorsque l'entreprise ne corrige pas la situation dans le délai accordé, refuse de collaborer, répète un manquement déjà signalé, ou que la gravité du manquement le justifie d'emblée (par exemple une fuite massive de renseignements sensibles) que la CAI impose une sanction administrative pécuniaire. Les cas les plus graves peuvent être référés vers une poursuite pénale, mais cette avenue demeure l'exception plutôt que la règle.
Les facteurs aggravants et atténuants considérés par la CAI
Avant de fixer le montant d'une sanction, la CAI évalue un ensemble de facteurs qui peuvent faire varier considérablement le résultat final, même pour des manquements de nature similaire :
- La bonne foi de l'organisation — une entreprise qui découvre elle-même un manquement et le signale de façon proactive est traitée plus favorablement qu'une organisation qui tente de dissimuler la situation.
- La rapidité et la qualité des mesures correctives — corriger un manquement dans les jours suivant sa découverte, plutôt que des semaines ou des mois plus tard, pèse fortement en faveur de l'entreprise.
- L'historique de conformité — une première infraction isolée est traitée différemment d'un manquement répété malgré des avis antérieurs.
- Le niveau de coopération durant l'enquête — répondre promptement aux demandes de la CAI, fournir la documentation demandée et faciliter le travail des enquêteurs constitue un facteur atténuant important.
- La gravité et l'ampleur réelle du manquement — le nombre de personnes touchées, la sensibilité des renseignements en cause (données financières ou de santé, par exemple) et les conséquences concrètes subies par les personnes concernées.
- La capacité financière de l'organisation — la CAI tient compte de la taille réelle de l'entreprise et de sa capacité de payer, ce qui explique l'écart considérable entre les plafonds légaux et les montants réellement imposés aux PME.
Le tableau suivant résume l'échelle officielle des sanctions prévues par la Loi 25. Il s'agit des fourchettes légales maximales prévues par le texte de loi — pas de montants garantis ni de barème automatique appliqué à chaque dossier.
| Type de manquement | Sanction pénale max. | SAP max. (CAI) | Exemple de facteur déclencheur |
|---|---|---|---|
| Défaut de notifier un incident de confidentialité à risque de préjudice sérieux | 25 000 000$ ou 4% du CA mondial | 10 000 000$ ou 2% du CA mondial | Fuite de données non déclarée à la CAI ni aux personnes concernées |
| Collecte ou utilisation de renseignements personnels sans consentement valide | 25 000 000$ ou 4% du CA mondial | 10 000 000$ ou 2% du CA mondial | Politique de confidentialité absente, trompeuse ou non appliquée |
| Entrave à une enquête de la CAI ou refus de collaborer | 25 000 000$ ou 4% du CA mondial | 10 000 000$ ou 2% du CA mondial | Documents refusés, réponses incomplètes ou délais ignorés |
| Défaut de mettre en œuvre des mesures de sécurité raisonnables | Généralement traité par SAP, poursuite pénale en cas de gravité extrême | 10 000 000$ ou 2% du CA mondial | Absence de mesures techniques de base après un premier avis |
| Manquement mineur, isolé et corrigé rapidement | Rarement applicable | Généralement bien en deçà du plafond, ou avis sans SAP | Erreur administrative corrigée dans les jours suivant sa découverte |
Réduisez votre exposition à une sanction Loi 25 avant qu'une plainte ne soit déposée
Nos techniciens certifiés IT Cares réalisent un audit de vos pratiques de sécurité et de gestion des renseignements personnels, puis mettent en place des mesures concrètes de cybersécurité adaptées à votre PME. Dès 119,99 $ pour un audit initial.
Trois cas illustratifs de PME québécoises face à la Loi 25
Les exemples suivants sont des scénarios fictifs et anonymisés, construits à des fins pédagogiques pour illustrer comment les facteurs aggravants et atténuants décrits plus haut influencent concrètement l'issue d'un dossier. Ils ne représentent aucune entreprise réelle, aucun nom d'entreprise véritable et aucun montant tiré d'une décision officielle. Pour consulter de véritables décisions rendues par la CAI, référez-vous directement à www.cai.gouv.qc.ca.
Exemple illustratif — Québec : un avis évité grâce à une correction rapide
Une PME de services professionnels d'une douzaine d'employés, basée à Québec, reçoit un avis de la CAI après qu'un client se soit plaint que la politique de confidentialité affichée sur son site web ne précisait pas clairement quelles données étaient recueillies via son formulaire de contact ni combien de temps elles étaient conservées. Dans ce scénario illustratif, l'entreprise répond à la CAI dans la semaine suivant l'avis, révise entièrement sa politique de confidentialité avec l'aide d'un conseiller externe, documente le nouveau processus de conservation et de suppression des données, et confirme les correctifs par écrit. La CAI referme le dossier sans imposer de sanction administrative pécuniaire, considérant la bonne foi de l'entreprise et la rapidité de la correction comme des facteurs atténuants déterminants.
Exemple illustratif — Granby : une notification tardive entraîne une SAP modeste
Un commerce de détail d'une trentaine d'employés, situé à Granby, subit une fuite de données touchant les courriels et numéros de téléphone d'environ 400 clients inscrits à son programme de fidélité, à la suite d'une erreur de configuration d'un système en ligne. Dans ce scénario illustratif, l'entreprise prend connaissance de l'incident mais tarde plusieurs semaines avant de le déclarer à la CAI et de notifier les personnes concernées, dépassant le délai attendu pour un incident présentant un risque de préjudice sérieux. La CAI impose une sanction administrative pécuniaire, mais d'un montant modeste et très en deçà du plafond légal de 10 000 000$, compte tenu de la taille de l'entreprise, de l'ampleur limitée de la fuite et de l'absence d'antécédents — le principal facteur aggravant demeurant le délai de notification, pas la gravité de la fuite elle-même.
Exemple illustratif — Rouyn-Noranda : la diligence raisonnable évite toute sanction
Une PME manufacturière d'une vingtaine d'employés, établie à Rouyn-Noranda, fait l'objet d'une enquête de la CAI à la suite d'une plainte d'un ancien employé concernant la conservation de son dossier après son départ. Dans ce scénario illustratif, l'entreprise peut démontrer, documents à l'appui, qu'elle avait déjà réalisé un audit interne de ses pratiques de gestion des renseignements personnels l'année précédente, formé ses gestionnaires en ressources humaines sur les obligations de la Loi 25, et adopté un calendrier de conservation et de destruction des dossiers d'employés. La CAI conclut son enquête par un simple avis rappelant certaines bonnes pratiques à maintenir, sans imposer de sanction, la diligence raisonnable démontrée par l'entreprise étant jugée suffisante au regard du manquement allégué.
Le fil conducteur des trois scénarios
Dans les trois cas illustratifs présentés, ce n'est pas l'existence d'un manquement qui détermine à elle seule l'issue du dossier, mais la rapidité de la réaction, la qualité de la documentation et l'existence de mesures préventives déjà en place avant même que la CAI ne s'implique. C'est exactement ce que vise un audit de conformité préventif plutôt qu'une correction après coup.
Section budget : combien coûte la mise en conformité à la Loi 25 au Québec
Les fourchettes suivantes reflètent des prix de marché indicatifs pour des PME québécoises en 2026, observés auprès de fournisseurs spécialisés en conformité et en sécurité informatique. Elles ne constituent pas une grille tarifaire officielle et varient selon la taille de l'entreprise, le volume de données traitées et l'état de départ de ses pratiques.
| Mesure de conformité | Fourchette indicative 2026 (CAD) | Fréquence typique |
|---|---|---|
| Audit de conformité Loi 25 / sécurité informatique | 500$ à 3 500$ | Ponctuel, puis révision annuelle |
| Révision de politique de confidentialité et de gouvernance des données | 800$ à 4 000$ | Ponctuel, mise à jour périodique |
| Nomination et formation d'un responsable de la protection des renseignements personnels | Variable selon rôle interne ou externe | Continu |
| Mesures techniques de sécurité (chiffrement, contrôle d'accès, sauvegardes) | 1 000$ à 10 000$+ selon l'infrastructure | Ponctuel puis maintenance |
| Formation des employés sur la protection des renseignements personnels | 300$ à 2 000$ pour une PME | Embauche + rappel annuel |
| Plan de réponse aux incidents de confidentialité | 500$ à 3 000$ | Ponctuel, test annuel |
Comparés aux montants qu'une sanction, même modeste, peut représenter — sans oublier les coûts indirects d'un incident (temps de gestion, perte de confiance client, notification obligatoire) — ces investissements préventifs demeurent généralement bien inférieurs au coût réel d'une non-conformité découverte tardivement. C'est la même logique de rapport coût-bénéfice qui s'applique à la cyberassurance pour PME, souvent complémentaire à une démarche de conformité Loi 25.
Checklist à imprimer : réduire le risque de sanction Loi 25
Checklist à imprimer / partager avec votre équipe
- ☐ Une politique de confidentialité claire, à jour et facilement accessible est publiée sur le site web de l'entreprise
- ☐ Un registre des incidents de confidentialité est tenu à jour, même pour les incidents mineurs
- ☐ Une procédure écrite précise les délais et les étapes de notification en cas d'incident présentant un risque de préjudice sérieux
- ☐ Un responsable de la protection des renseignements personnels est désigné, même à temps partiel dans une petite structure
- ☐ Les employés ayant accès à des renseignements personnels ont reçu une formation de base sur la Loi 25
- ☐ Les mesures de sécurité techniques (contrôle d'accès, chiffrement, sauvegardes) sont documentées et testées
- ☐ Les ententes avec les fournisseurs et sous-traitants qui traitent des renseignements personnels incluent des clauses de protection des données
- ☐ Un audit de conformité a été réalisé au cours des douze derniers mois, ou est planifié
Ressources gouvernementales utiles à la conformité Loi 25
La Commission d'accès à l'information (CAI)
La CAI est l'organisme provincial responsable de l'application de la Loi 25 au Québec. Son mandat comprend la réception des plaintes, la conduite d'enquêtes, la publication de lignes directrices d'interprétation, et l'imposition de sanctions administratives pécuniaires lorsque justifié. La CAI publie certaines décisions et résumés de cas sur son site officiel, www.cai.gouv.qc.ca — la référence à consulter pour connaître l'état actuel des décisions réelles rendues, plutôt que de se fier uniquement à des exemples génériques comme ceux présentés dans ce guide.
La Banque de développement du Canada (BDC)
La BDC (www.bdc.ca) offre des prêts et des services-conseils technologiques qui peuvent contribuer à financer des mesures de cybersécurité et de conformité, notamment pour les PME qui doivent moderniser leur infrastructure informatique afin de répondre aux exigences de sécurité de la Loi 25. Les critères d'admissibilité et les produits offerts varient — il est recommandé de communiquer directement avec la BDC pour connaître les options actuelles.
Investissement Québec
Investissement Québec (www.investquebec.com) propose de l'accompagnement et des solutions de financement pour appuyer la transformation numérique des PME québécoises, ce qui peut inclure des projets de modernisation technologique liés indirectement à la mise en conformité avec la Loi 25. Comme pour la BDC, les programmes évoluent : consultez directement leur site pour connaître les options actuellement disponibles pour votre entreprise.
Réduisez votre risque de sanction avant qu'un incident ne survienne
IT Cares aide les PME québécoises à évaluer leurs pratiques de sécurité et de gestion des renseignements personnels, à corriger les lacunes identifiées et à documenter leurs mesures de diligence raisonnable en matière de Loi 25. Nos techniciens certifiés interviennent en audit, en cybersécurité continue et en accompagnement de conformité.
Questions fréquentes — Amendes et sanctions Loi 25
La Loi 25 prévoit deux échelles de sanctions distinctes. Les sanctions pénales, imposées par un tribunal, peuvent atteindre jusqu'à 25 000 000$ ou 4% du chiffre d'affaires mondial de l'entreprise pour l'exercice financier précédent, selon le montant le plus élevé, dans les cas les plus graves ou de récidive. Les sanctions administratives pécuniaires (SAP), imposées directement par la Commission d'accès à l'information (CAI), peuvent quant à elles atteindre jusqu'à 10 000 000$ ou 2% du chiffre d'affaires mondial. Ces plafonds visent surtout les grandes organisations : pour une PME québécoise, les montants réellement imposés sont généralement beaucoup plus modestes et proportionnés à la gravité du manquement.
Une sanction pénale résulte d'une poursuite intentée devant un tribunal, généralement réservée aux manquements les plus graves, intentionnels ou répétés, et exige une preuve hors de tout doute raisonnable. Une sanction administrative pécuniaire (SAP), au contraire, est imposée directement par la CAI sans passer par les tribunaux, selon un processus administratif plus rapide, et vise des manquements moins graves ou une première infraction. Dans la pratique, les SAP sont l'outil le plus fréquemment utilisé par la CAI, les poursuites pénales demeurant réservées à des cas exceptionnels.
Dans les faits, très rarement. Les plafonds de 25 000 000$ et de 10 000 000$ sont conçus pour dissuader les grandes multinationales, dont le chiffre d'affaires justifie de tels montants proportionnels. La CAI tient compte de la capacité de payer de l'organisation, de la gravité réelle du manquement et de sa bonne foi. Pour une PME québécoise, une première sanction administrative pécuniaire se chiffre le plus souvent en milliers plutôt qu'en millions de dollars, et un avis de la CAI sans sanction financière reste une issue fréquente lorsque l'entreprise corrige rapidement la situation.
Le processus débute généralement par une plainte d'un citoyen ou une enquête initiée par la CAI, souvent à la suite d'un incident de confidentialité signalé. La CAI examine ensuite la situation et communique habituellement un avis à l'entreprise, lui laissant la possibilité de corriger le manquement dans un délai déterminé. Ce n'est que si l'entreprise ne corrige pas la situation, refuse de collaborer, ou que le manquement est particulièrement grave, que la CAI impose une sanction administrative pécuniaire ou, dans les cas les plus sérieux, renvoie le dossier vers une poursuite pénale.
La CAI tient compte de plusieurs facteurs aggravants et atténuants avant de fixer une sanction : la bonne foi de l'entreprise, la rapidité et la qualité des mesures correctives mises en place, l'historique de conformité de l'organisation, son niveau de coopération durant l'enquête, la gravité et l'ampleur réelle du manquement, ainsi que la capacité financière de l'entreprise à payer l'amende. Une PME qui collabore pleinement et corrige rapidement un manquement de bonne foi reçoit généralement un traitement beaucoup plus clément qu'une organisation négligente ou récidiviste.
La Commission d'accès à l'information du Québec publie certaines de ses décisions et avis sur son site officiel, www.cai.gouv.qc.ca, qui demeure la seule source fiable et à jour pour connaître les sanctions réellement imposées en vertu de la Loi 25. Les exemples et scénarios présentés dans les guides comme celui-ci sont des illustrations à but pédagogique et ne remplacent jamais la consultation des décisions officielles publiées par la CAI.
Oui, c'est souvent l'issue la plus fréquente pour les PME de bonne foi. La CAI privilégie généralement une approche progressive : un avis est d'abord communiqué à l'entreprise, avec la possibilité de corriger le manquement dans un délai raisonnable, avant qu'une sanction pécuniaire ne soit envisagée. Une entreprise qui répond rapidement, documente ses correctifs et démontre sa diligence raisonnable réduit considérablement le risque de sanction financière, même si le manquement initial était réel.
Certaines PME québécoises peuvent explorer les services-conseils et solutions de financement offerts par la Banque de développement du Canada (BDC) ou l'accompagnement à la transformation numérique proposé par Investissement Québec pour financer des mesures de cybersécurité et de conformité, incluant l'aide d'un partenaire technologique externe. Ces organismes ne financent pas spécifiquement des amendes, mais peuvent appuyer les investissements préventifs qui réduisent le risque d'en recevoir une.
Commentaires (3)
On a mis en place la checklist pour nos 12 employés le mois dernier, incluant la révision des mots de passe. Deux personnes utilisaient encore le même mot de passe partout. Content de l'avoir découvert avant un incident plutôt qu'après.
Le point sur la culture non punitive m'a fait réfléchir. On a longtemps découragé nos employés de signaler leurs erreurs sans le réaliser, juste par le ton qu'on adoptait. On a ajusté ça et déjà plus de signalements volontaires.
Très utile comme point de départ, surtout la section sur le signalement d'incidents. On n'avait jamais formalisé à qui s'adresser en cas de doute — c'est corrigé maintenant avec une affiche près des postes de travail.
Laisser un commentaire