Sanctions et pénalités

La Loi 25 a introduit trois régimes de sanction simultanés qui peuvent s'appliquer au même incident. Pour une PME, le seuil d'exposition est maintenant comparable à ce qu'on voit sous le RGPD européen, un incident mal géré peut coûter des centaines de milliers de dollars, même pour une entreprise de 20 employés.

Ce chapitre détaille chaque régime, les critères de calcul et les décisions déjà rendues par la CAI.

Le régime administratif, sanctions pécuniaires de la CAI#

Plafond (art. 90.12)#

Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 000 000 $ ou, s'il est plus élevé, du montant correspondant à 2 % du chiffre d'affaires mondial de l'exercice financier précédent.

L'article 90.1 énumère plutôt les manquements pouvant donner lieu à une sanction administrative pécuniaire, voir la section « Quels manquements? » ci-dessous.

Quels manquements?#

L'article 90.1 énumère de façon limitative les manquements pouvant donner lieu à une sanction administrative pécuniaire, notamment :

• Défaut de réaliser une EFVP avant un transfert hors Québec (art. 17).
• Défaut de notifier un incident à la CAI (art. 3.5).
• Défaut d'obtenir un consentement valable (art. 12-14).

D'autres obligations importantes de la loi, comme la désignation d'un responsable RP (art. 3.1), l'adoption d'une politique de gouvernance (art. 3.2) ou le délai de réponse de 30 jours à une demande d'accès (art. 32), demeurent à respecter, mais elles ne figurent pas dans la liste fermée de l'article 90.1 et ne donnent donc pas ouverture, telles quelles, à une sanction administrative pécuniaire.

Critères de gradation (art. 90.2)#

L'article 90.2 oblige la CAI à publier un cadre général précisant les critères qui doivent guider les personnes désignées dans la décision d'imposer une sanction et dans la détermination de son montant, notamment :

• La nature, la gravité, le caractère répétitif et la durée du manquement.
• La sensibilité des renseignements personnels concernés.
• Le nombre de personnes concernées par le manquement et le risque de préjudice auquel elles sont exposées.
• Les mesures prises par l'entreprise pour remédier au manquement ou en atténuer les conséquences.
• Le degré de collaboration offert à la Commission.
• La compensation offerte, à titre de dédommagement, aux personnes concernées.
• La capacité de payer de l'entreprise, compte tenu notamment de son patrimoine, de son chiffre d'affaires ou de ses revenus.

Autrement dit : une PME qui découvre un manquement, le signale proactivement, corrige rapidement et collabore avec la CAI s'expose à une sanction nettement moindre que celle qui le dissimule. (L'article 90.3, lui, encadre plutôt l'avis de non-conformité que la CAI peut notifier avant d'imposer une sanction.)

Processus (art. 90.3-90.9)#

1. La CAI enquête (d'office, sur plainte ou sur signalement) et peut notifier un avis de non-conformité invitant l'entreprise à corriger le manquement sans délai (art. 90.3).
2. Avant d'imposer une sanction, la personne désignée doit avoir notifié cet avis de non-conformité et avoir donné à l'entreprise l'occasion de présenter ses observations et de produire des documents, la loi ne fixe pas de délai précis pour cette étape (art. 90.4).
3. La sanction est imposée par la notification d'un avis de réclamation énonçant le montant, les motifs et les droits de recours (art. 90.5).
4. L'entreprise dispose de 30 jours suivant la notification de l'avis de réclamation pour demander par écrit à la CAI le réexamen de la décision (art. 90.6), une nouvelle occasion de présenter des observations est alors offerte avant que la décision en réexamen ne soit rendue (art. 90.7-90.8).
5. Contestation possible de la décision en réexamen devant la Cour du Québec dans les 30 jours suivant sa notification (art. 90.9).

Le régime pénal, amendes à l'issue de poursuites#

Plafond (art. 91)#

Quiconque contrevient à [liste d'articles] commet une infraction et est passible d'une amende de 5 000 $ à 100 000 $ dans le cas d'une personne physique et de 15 000 $ à 25 000 000 $ ou, s'il est plus élevé, du montant correspondant à 4 % du chiffre d'affaires mondial dans les autres cas.

Différence avec le régime administratif#

• Le pénal vise des comportements plus graves (communication volontaire non autorisée, collecte illégale, refus intentionnel).
• Le pénal exige une poursuite intentée par la Commission d'accès à l'information (CAI) elle-même, conformément à l'article 10 du Code de procédure pénale, avec procès devant un tribunal. Le fardeau de preuve est plus élevé (hors de tout doute raisonnable).
• Le pénal s'ajoute en général à l'administratif : les deux régimes peuvent coexister pour un même incident, sous réserve de l'exception étroite de l'art. 90.11 — aucune sanction administrative pécuniaire ne peut être imposée si un constat d'infraction a déjà été signifié pour une contravention à la même disposition, survenue le même jour et fondée sur les mêmes faits.

Doublement pour récidive#

En cas de récidive (art. 92.1), les amendes sont doublées. Un deuxième manquement de même nature expose à des montants potentiellement démultipliés.

Le recours civil, dommages punitifs#

Article 93.1#

Lorsqu'une atteinte illicite à un droit conféré par la présente loi ou par les articles 35 à 40 du Code civil du Québec cause un préjudice et que cette atteinte est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $.

Ces dommages punitifs sont accordés à la personne lésée et s'ajoutent aux dommages-intérêts compensatoires, sans y être liés : le plancher de 1 000 $ s'applique indépendamment de tout dommage compensatoire accordé.

Les caractéristiques clés :

• Plancher de 1 000 $ par personne, une action collective de 10 000 personnes expose donc à un plancher de 10 M$.
• S'ajoute aux dommages compensatoires (perte financière, préjudice moral, perte d'opportunité).
• Exigence de faute lourde ou d'intention: certains tribunaux ont retenu une interprétation large de la « faute lourde » dans des dossiers comparables — la portée exacte pour votre situation est à faire valider par votre avocat.

Actions collectives#

Le Québec est un terrain favorable aux actions collectives (class actions), notamment en matière de vie privée. Depuis 2023, on voit plus de demandes d'autorisation d'action collective liées à des fuites de données québécoises. Quelques cas se sont soldés par des règlements significatifs.

Cas concrets de sanctions déjà rendues par la CAI#

Les décisions de la CAI sont publiques, consultables sur le site de la Commission. Sans citer d'entreprise spécifique, voici des patterns que nous observons — il s'agit d'une lecture opérationnelle de HiloTech, non d'une analyse juridique : validez avec votre avocat avant d'en tirer des conclusions pour votre propre dossier :

• Petites PME sanctionnées pour défaut de désignation d'un responsable RP et de publication des coordonnées, alors que l'entreprise fonctionnait depuis plus d'un an.
• Fuites de données non notifiées à temps, avec amende proportionnelle à la durée du silence.
• Consentements invalides obtenus par cases pré-cochées, corrigés sous ordonnance.
• Transferts hors Québec sans EFVP documentée, avec obligation d'en produire une et de suspendre les transferts en attendant.

Le pouvoir de la CAI d'imposer des sanctions administratives pécuniaires n'est en vigueur que depuis le 22 septembre 2023. Les premières années d'application ont été marquées par une approche graduelle, misant surtout sur les avis, les mises en demeure et les ordonnances correctrices plutôt que sur les sanctions pécuniaires. À mesure que la Commission consolide son cadre d'application et que le nombre de dossiers augmente, plusieurs observateurs s'attendent à une hausse progressive des sanctions pécuniaires — aucune annonce officielle de la CAI ne fixe toutefois d'échéance précise à cet égard.

Qui porte la responsabilité?#

L'entreprise, d'abord#

Les sanctions visent l'entreprise (la personne morale). Côté pénal, la Loi 25 elle-même ne prévoit qu'un seul cas d'exposition personnelle : l'administrateur, le dirigeant ou le représentant qui a prescrit, autorisé ou consenti à l'acte constitutif de l'infraction est réputé partie à l'infraction (art. 93 — régime pénal uniquement). D'autres sources de responsabilité personnelle (faute lourde personnelle, complicité, devoirs des administrateurs en droit corporatif) relèvent du droit civil et corporatif général : l'exposition réelle de vos administrateurs est une question à faire évaluer par votre avocat corporatif.

Le responsable RP#

Le responsable RP n'est pas visé, en tant que tel, par les sanctions de la Loi 25 pour les manquements de l'entreprise : sa responsabilité est d'abord interne (envers l'employeur). L'exposition dans des cas particuliers (par exemple s'il a lui-même prescrit, autorisé ou consenti à une infraction, art. 93) est à valider avec votre avocat.

Les fournisseurs#

Un fournisseur TI (comme nous) peut être co-responsable si :

• Il a commis lui-même un manquement (fuite côté fournisseur).
• Il a refusé de coopérer à une demande d'accès ou à une notification d'incident.
• Il a dépassé le mandat contractuel (utilisation des données à ses propres fins).

Nos contrats visent à circonscrire notre rôle aux fins convenues avec le client; la répartition précise des responsabilités Loi 25 se définit au contrat, mandat par mandat.

Liste de contrôle rapide, réduire l'exposition#

• Désignation écrite d'un responsable RP, coordonnées publiées.
• Politique de gouvernance des RP publiée et datée.
• EFVP documentées pour tous les transferts hors Québec.
• Registre des incidents tenu, même pour les incidents mineurs.
• Procédure écrite de gestion d'incident, testée au moins une fois.
• Formation annuelle de l'équipe sur la Loi 25.
• Contrats fournisseurs alignés avec les exigences Loi 25.
• Assurance cyber qui couvre les sanctions administratives et les frais de défense.
• Sauvegardes chiffrées (AES-256) et testées, hébergées dans des centres de données canadiens, avec copie immuable.
• MFA actif sur tous les comptes Microsoft 365 / Azure / Google.
• Journaux d'accès (Entra ID, RMM, EDR) conservés et consultables en cas d'enquête.

Ces contrôles TI documentés sont exactement le type de « mesures prises pour remédier au manquement ou en atténuer les conséquences » que la CAI considère au moment de déterminer une sanction (art. 90.2).

Erreurs fréquentes qui aggravent les sanctions#

• Tenter de cacher un incident.: Dissimulation = aggravation. La CAI retient fortement les cas de mauvaise foi.
• Refuser de collaborer avec la CAI.: La collaboration est un facteur de mitigation explicite.
• Ne pas documenter.: Sans documentation, impossible de démontrer la diligence. La CAI présume le pire.
• Délégation sans pouvoir.: Si le responsable RP n'a pas l'autorité de corriger, la responsabilité remonte à la haute direction avec agrément plus lourd.

Questions à poser à votre conseiller juridique#

• Notre assurance cyber couvre-t-elle les sanctions administratives de la CAI (elles ne le sont pas automatiquement, certaines polices excluent les amendes)?
• Avons-nous une exposition à une action collective (taille de la base client × sensibilité des données)?
• En cas d'enquête de la CAI, quel est notre protocole de communication avec la Commission?
• Nos administrateurs sont-ils exposés personnellement dans certains scénarios?