Sanctions Loi 25 : combien coûte vraiment la non-conformité au Québec ?

# La Loi 25 au Québec : combien coûte vraiment la non-conformité ?

**T’as entendu parler de la Loi 25, mais tu te demandes si c’est vraiment grave de pas s’y conformer ?** On va te parler cash : les amendes sont pas une joke. Entre 100 000 $ pour une personne physique et jusqu’à 25 millions de dollars pour une entreprise, y a de quoi faire réfléchir. Mais avant de paniquer, respire. On va te montrer exactement ce que la Commission d’accès à l’information (CAI) peut te charger, quelles obligations sont déjà en vigueur, et surtout, comment éviter de te faire pogner.

Pas de jargon juridique ici. Juste du concret, en français québécois, pour que tu saches où tu mets les pieds.

—

## H2 : Les montants réels des sanctions (oui, c’est gros)

On va pas te mentir : la Loi 25 (le projet de loi 64) a été adoptée le 21 septembre 2021, et elle s’applique de façon progressive depuis le 22 septembre 2022, puis 2023, et finalement 2024. Mais le gros morceau, c’est les sanctions pénales. Voici les chiffres exacts, pas de débat :

– **Personnes physiques** (toi, ton associé, ton employé) : jusqu’à **100 000 $** d’amende.
– **Personnes morales** (ta compagnie, ton inc., ta PME) : jusqu’à **25 000 000 $** ou **4 % de ton chiffre d’affaires mondial** (selon le montant le plus élevé).

Attends, 25 millions ? Oui. Mais c’est le maximum théorique. Dans la pratique, la CAI regarde la gravité, la récidive, et si t’as fait des efforts. Mais le simple fait que ça existe, ça veut dire que tu peux pas faire le fou.

Compare avec le RGPD en Europe : eux, c’est jusqu’à 20 millions d’euros ou 4 % du CA mondial. Le Québec a décidé de suivre la même vibe, mais avec des montants qui font mal en dollars canadiens. La CNIL (l’autorité française) peut aussi te tomber dessus, mais nous, c’est la CAI qui gère ça au Québec.

**Le point important** : c’est pas parce que t’es une petite PME de 5 employés que t’es à l’abri. Les amendes s’appliquent à toutes les entreprises qui font affaire au Québec, peu importe la taille. La seule différence, c’est que la CAI va peut-être commencer par des avertissements pour les plus petites, mais si tu ignores les avis, ça va te coûter cher.

—

## H2 : Les obligations en vigueur (check si tu les respectes)

La Loi 25, c’est pas juste un papier que tu signes et que tu oublies. Y a des obligations concrètes qui sont déjà en application depuis le 22 septembre 2022, 2023 et 2024. Voici la liste de ce que tu dois avoir en place, sinon tu es techniquement en infraction :

### H3 : Le consentement aux cookies (oui, ça te concerne)

Si ton site web utilise des cookies (pour le tracking, la pub, les statistiques), tu dois :
– Obtenir le consentement **avant** de déposer un cookie.
– Donner la possibilité de **refuser aussi facilement que d’accepter**. Pas de bouton « Accepter » gros et vert, et un petit lien « Refuser » caché en bas de page. Ça, c’est interdit.

### H3 : La politique de confidentialité

Ta politique doit être claire, en français, et expliquer :
– Les **finalités** de la collecte (pourquoi tu prends leurs données).
– Les **droits** de la personne (accès, rectification, suppression, etc.).

Si ta politique est un copier-coller d’un site américain, tu es à risque.

### H3 : Le registre des incidents de confidentialité

Depuis le 22 septembre 2022, tu dois tenir un registre de tous les incidents de confidentialité (vol de données, perte d’un portable, piratage, etc.). Même si c’est mineur, tu dois le noter. Pas d’exception pour les PME.

### H3 : Le responsable de la protection des renseignements personnels

Si tu as **22 salariés ou plus**, tu dois nommer un responsable de la protection des renseignements personnels. Cette personne doit être identifiée dans tes politiques et accessible. Si t’as moins de 22 employés, t’es pas obligé d’en nommer un, mais tu dois quand même avoir quelqu’un qui s’occupe de ça en interne.

### H3 : Les droits d’accès, de rectification et de suppression

N’importe quel client ou employé peut te demander :
– D’**accéder** à ses données.
– De les **rectifier** si elles sont fausses.
– De les **supprimer** (dans certains cas).

Tu as un délai pour répondre, et si tu refuses, tu dois justifier par écrit.

### H3 : La désindexation et la portabilité (2024)

Depuis le 22 septembre 2024, tu dois aussi :
– Permettre la **désindexation** (si quelqu’un veut que ses infos sortent de ton site ou de ton moteur de recherche interne).
– Offrir la **portabilité** des données (si quelqu’un veut récupérer ses données dans un format lisible pour les transférer ailleurs).

### H3 : La destruction des renseignements personnels

Tu ne peux pas garder les données de tes clients pour toujours. Tu dois avoir une politique de destruction après un certain délai (selon la finalité). Si t’as des vieux fichiers clients qui traînent depuis 10 ans, c’est un problème.

### H3 : Les contrats avec les sous-traitants

Si tu engages un fournisseur de services (ex. : un service infonuagique, un expert-comptable, une firme de marketing) qui a accès à des renseignements personnels, tu dois avoir un **contrat écrit** qui précise :
– Ce qu’ils peuvent faire avec les données.
– Les mesures de sécurité qu’ils doivent prendre.
– Leur obligation de te notifier en cas d’incident.

### H3 : Les évaluations d’impact (si nécessaire)

Si tu fais un projet qui implique des données sensibles (ex. : un nouveau système de gestion clients, une base de données biométriques), tu dois faire une **évaluation d’impact** sur la vie privée avant de lancer. C’est pas toujours obligatoire, mais si la CAI te le demande, tu dois pouvoir le prouver.

—

## H2 : Ce que la CAI contrôle en premier (spoiler : c’est pas compliqué)

La Commission d’accès à l’information (CAI) a des priorités. Elle va pas commencer par vérifier si ton registre d’incidents est à jour si ton site web est un désastre. Voici ce qu’elle regarde en premier :

1. **Ton site web** : Est-ce que t’as un bandeau de cookies conforme ? Est-ce que ta politique de confidentialité est facile à trouver et à comprendre ? Est-ce que le bouton « Refuser » est aussi visible que « Accepter » ? Si t’as un site de base avec un pop-up de consentement qui date de 2015, tu es dans la mire.

2. **Tes formulaires de collecte** : Quand quelqu’un te donne son courriel ou son numéro de téléphone, est-ce que tu expliques pourquoi tu le prends ? Est-ce que tu coches une case pré-cochée pour les infolettres ? (C’est interdit, au cas où tu te demandais.)

3. **Tes contrats de sous-traitance** : Si tu utilises Shopify, Salesforce, ou n’importe quel outil cloud, as-tu un contrat signé qui respecte la Loi 25 ? La CAI va te demander de le voir.

4. **Ton registre d’incidents** : Si t’as jamais eu d’incident, tant mieux. Mais si t’as eu un vol de portable ou un courriel envoyé à la mauvaise personne, et que t’as rien noté, c’est une infraction en soi.

5. **La nomination du responsable** : Si t’as 22 employés et plus, et que t’as pas nommé personne, c’est un manquement direct. La CAI va commencer par là.

**Le piège** : La CAI peut faire des inspections **sans préavis**. Elle peut aussi recevoir des plaintes de clients, d’employés, ou même de concurrents. Donc, si quelqu’un te signale, tu vas devoir te justifier.

—

## H2 : Comment éviter l’amende (sans devenir parano)

On va être honnête : la conformité, c’est pas excitant. Mais c’est moins pire que de payer 25 millions de dollars. Voici comment t’en sortir sans trop de trouble :

### H3 : Fais un audit de base (même si t’es petit)

Tu peux commencer par toi-même :
– Vérifie ton site web (cookies, politique de confidentialité).
– Fais une liste de tous les endroits où tu stockes des données clients (Excel, CRM, courriels, etc.).
– Identifie qui a accès à ces données.
– Note les incidents passés (même si c’est gênant).

### H3 : Mets à jour tes contrats

Si t’as des fournisseurs qui traitent des données pour toi, contacte-les et demande-leur de signer une entente de confidentialité conforme à la Loi 25. La plupart des gros fournisseurs (comme Shopify ou Google) ont déjà des clauses prêtes. Pour les plus petits, tu vas devoir rédiger un document simple.

### H3 : Nomme un responsable (même si t’es en dessous de 22 employés)

C’est pas obligatoire en dessous de 22 salariés, mais ça montre à la CAI que tu prends ça au sérieux. Ça peut être toi, ton associé, ou un employé de confiance. Le but, c’est d’avoir une personne qui sait quoi faire en cas de problème.

### H3 : Documente tout

La CAI aime les entreprises qui peuvent prouver qu’elles ont fait des efforts. Si tu as un registre d’incidents, même vide, c’est déjà ça. Si tu as une politique de confidentialité datée et signée, c’est encore mieux.

### H3 : Forme ton équipe

Tes employés sont ta première ligne de défense. Si quelqu’un envoie un courriel avec des données personnelles à la mauvaise adresse, c’est un incident. Forme-les sur les bases : pas de données sensibles dans les courriels non chiffrés, pas de fichiers clients sur des clés USB, etc.

### H3 : Utilise un service d’audit professionnel (si tu veux pas te casser la tête)

C’est là qu’on entre en jeu. Un audit de conformité Loi 25, ça te prend pas 3 mois. Avec nous, tu peux avoir un diagnostic complet en 48 heures, pour un prix fixe de 79 $. On te dit exactement ce qui manque, et on te donne un plan d’action. Pas de frais cachés, pas de jargon.

—

## H2 : FAQ (3 questions qu’on nous pose souvent)

### H3 : Est-ce que la Loi 25 s’applique à ma petite entreprise de 3 employés ?

Oui. La Loi 25 s’applique à toute entreprise qui fait affaire au Québec, peu importe le nombre d’employés. La seule différence, c’est que l’obligation de nommer un responsable de la protection des renseignements personnels ne s’applique qu’à partir de 22 salariés. Mais toutes les autres obligations (cookies, politique de confidentialité, registre d’incidents, etc.) s’appliquent à toi.

### H3 : Qu’est-ce qui arrive si je ne fais rien ?

Si tu ne fais rien, tu es techniquement en infraction depuis le 22 septembre 2022. La CAI peut te donner un avertissement, mais elle peut aussi imposer une amende. Pour une personne physique, c’est jusqu’à 100 000 $. Pour une personne morale, c’est jusqu’à 25 000 000 $ ou 4 % de ton chiffre d’affaires mondial. En plus, si un client ou un employé porte plainte, tu vas devoir te défendre, et ça, ça coûte cher en avocats.

### H3 : Est-ce que je peux utiliser un modèle de politique de confidentialité trouvé sur Internet ?

Tu peux, mais c’est risqué. Un modèle générique ne couvre pas forcément les spécificités de ton entreprise (tes sous-traitants, tes finalités, tes pratiques de conservation). La CAI va regarder si ta politique est adaptée à ta réalité. Si c’est un copier-coller d’un site américain, ça va paraître. Mieux vaut faire un audit et adapter un modèle à ton cas.

—

## H2 : C’est le temps d’agir (avant que ça coûte cher)

La Loi 25, c’est pas une mode passagère. C’est la loi, et elle est en vigueur. Les amendes sont réelles, et la CAI a les dents longues. Mais t’as pas besoin de devenir un expert en protection des données du jour au lendemain. Tu as juste besoin de savoir où tu en es, et de corriger le tir.

On te propose un audit de conformité Loi 25 pour 79 $, avec un rapport en 48 heures. On regarde ton site web, tes politiques, tes contrats, et on te dit exactement quoi faire pour être en règle. Pas de frais cachés, pas de vente de services supplémentaires si t’en veux pas. Juste un diagnostic clair et honnête.

**Clique ici pour commander ton audit : [loi25-audit.com](https://loi25-audit.com)**

Tu vas dormir tranquille, et ta business aussi.