Combien coûtent vraiment les manquements à la loi 25, et pourquoi les chiffres se contredisent
Il existe deux régimes de sanctions distincts, et c'est la raison pour laquelle les chiffres que vous lisez se contredisent. La sanction administrative pécuniaire de l'article 90.12 atteint au maximum 50 000 $ pour une personne physique et 10 000 000 $ ou 2% du chiffre d'affaires mondial pour les autres cas. L'amende pénale de l'article 91 va de 5 000 $ à 100 000 $ pour une personne physique et de 15 000 $ à 25 000 000 $ ou 4% du chiffre d'affaires mondial pour les autres cas. Les deux plafonds ne se combinent jamais.
Pourquoi vous lisez tout et son contraire
La confusion vient d'une erreur répandue, qui consiste à prendre le montant d'un régime et à l'attribuer à l'autre. Une page annonce 25 millions de dollars et 4% pour une sanction imposée par la Commission, ce qui est faux, ce sont les chiffres du régime pénal. Une autre annonce un plafond de 10 millions pour une amende prononcée par un tribunal, ce qui est faux aussi. Les deux régimes ont leurs montants, leur autorité, leur prescription et leurs règles de récidive.
Le tableau des deux régimes
| Élément | Régime administratif, article 90.12 | Régime pénal, article 91 |
|---|---|---|
| Qui l'impose | Une personne désignée par la Commission d'accès à l'information, qui n'est pas membre de l'une de ses sections, selon l'article 90.1 | Le tribunal, sur poursuite. La Commission peut elle-même intenter la poursuite pénale, selon l'article 92 |
| Personne physique | 50 000 $ au maximum | De 5 000 $ à 100 000 $ |
| Dans les autres cas, donc une entreprise | 10 000 000 $, ou 2% du chiffre d'affaires mondial de l'exercice financier précédent si ce montant est plus élevé | De 15 000 $ à 25 000 000 $, ou 4% du chiffre d'affaires mondial de l'exercice financier précédent si ce montant est plus élevé |
| Nature du montant | Un maximum, sans plancher dans le texte | Une fourchette, avec un minimum et un maximum |
| Prescription | Deux ans à compter de la date du manquement, selon l'article 90.10 | Cinq ans à compter de la perpétration de l'infraction, selon l'article 92.2 |
| Récidive | Le texte ne prévoit pas de doublement | Les amendes sont portées au double, selon l'article 92.1 |
Le montant maximal de la sanction administrative pécuniaire est de 50 000 $ dans le cas d'une personne physique et, dans les autres cas, de 10 000 000 $ ou du montant correspondant à 2% du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé.
Article 90.12
Commet une infraction et est passible d'une amende de 5 000 $ à 100 000 $ dans le cas d'une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou du montant correspondant à 4% du chiffre d'affaires mondial de l'exercice financier précédent si ce dernier montant est plus élevé, quiconque [...]
Article 91
Remarquez la mécanique du pourcentage. Il ne s'ajoute pas au montant fixe, il le remplace lorsqu'il est plus élevé. Pour une PME dont le chiffre d'affaires est de 12 millions de dollars, 2% représente 240 000 $, un montant inférieur à 10 millions. Le plafond applicable reste donc 10 millions, et le pourcentage ne joue aucun rôle. Le pourcentage ne devient déterminant que pour une entreprise dont le chiffre d'affaires mondial dépasse 500 millions dans le régime administratif, ou 625 millions dans le régime pénal.
Les deux régimes ne s'additionnent pas pour les mêmes faits
L'article 90.11 ferme une porte précise. Aucune sanction administrative pécuniaire ne peut être imposée en raison d'un manquement lorsqu'un constat d'infraction a été antérieurement signifié pour une contravention à la même disposition, survenue le même jour et fondée sur les mêmes faits. L'article 90.13 ajoute qu'une entente de paiement ou le paiement d'une sanction administrative ne constitue pas une reconnaissance des faits aux fins d'une poursuite pénale.
Ce que le texte sanctionne, et ce qui l'évite
L'article 90.1 énumère les manquements qui ouvrent la porte à une sanction administrative. L'article 91 énumère les infractions pénales. Les deux listes se recoupent largement, et le tableau suivant reprend celles qui concernent une PME ordinaire.
| Manquement | Régime | Ce qui l'évite |
|---|---|---|
| Ne pas informer les personnes concernées conformément aux articles 7 et 8 | Administratif, 90.1 | Les mentions de collecte sur vos formulaires et vos contrats |
| Recueillir, utiliser, communiquer, conserver ou détruire des renseignements personnels en contravention à la loi | Les deux | Une politique écrite et un calendrier de conservation |
| Ne pas déclarer un incident de confidentialité à la Commission ou aux personnes concernées lorsqu'on y est tenu | Les deux | Une procédure d'incident et un registre tenu |
| Ne pas prendre les mesures de sécurité propres à assurer la protection des renseignements personnels, selon l'article 10 | Les deux | Des accès limités au nécessaire, des sauvegardes, le chiffrement des appareils mobiles |
| Ne pas informer la personne visée par une décision fondée exclusivement sur un traitement automatisé, ni lui donner l'occasion de présenter ses observations | Administratif, 90.1 | Un avis et un droit de révision si vous utilisez un outil de décision automatique |
Les critères qui fixent le montant
Les deux régimes encadrent la détermination du montant, et les critères sont lisibles. L'article 90.2 oblige la Commission à publier un cadre général d'application des sanctions administratives, qui précise notamment la nature, la gravité, le caractère répétitif et la durée du manquement, la sensibilité des renseignements, le nombre de personnes concernées, les mesures prises pour remédier au manquement, le degré de collaboration, la compensation offerte et la capacité de payer de l'entreprise.
L'article 92.3 fixe des facteurs semblables pour la peine pénale, et deux d'entre eux méritent votre attention. Le défaut d'avoir donné suite à des recommandations ou à des avertissements visant à prévenir l'infraction. Et le fait d'avoir accru ses revenus ou réduit ses dépenses en commettant l'infraction ou en omettant de l'empêcher. Autrement dit, économiser sur la protection est un facteur aggravant écrit dans le texte.
L'engagement, la porte de sortie prévue par le texte
Le deuxième alinéa de l'article 90.1 permet à une personne de s'engager en tout temps auprès de la Commission à prendre les mesures nécessaires pour remédier au manquement ou en atténuer les conséquences. Si l'engagement est accepté et respecté, aucune sanction administrative pécuniaire ne peut être imposée pour les actes ou omissions qui y sont mentionnés. C'est un mécanisme qu'il vaut la peine de connaître avant d'avoir besoin d'un avocat.
Les dirigeants, personnellement
L'article 93 prévoit que l'administrateur, le dirigeant ou le représentant d'une personne morale qui a prescrit ou autorisé l'acte ou l'omission constituant l'infraction, ou qui y a consenti, est partie à l'infraction et passible de la peine prévue. Le plafond de 50 000 $ du régime administratif et la fourchette de 5 000 $ à 100 000 $ du régime pénal pour une personne physique prennent alors un autre sens.
Les dommages-intérêts punitifs, un troisième canal
Les amendes ne sont pas le seul coût. L'article 93.1 prévoit que le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $ lorsqu'une atteinte illicite à un droit conféré par la loi, ou par les articles 35 à 40 du Code civil, cause un préjudice et que cette atteinte est intentionnelle ou résulte d'une faute lourde.
Lorsqu'une atteinte illicite à un droit conféré par la présente loi ou par les articles 35 à 40 du Code civil cause un préjudice et que cette atteinte est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $.
Article 93.1
Ce minimum s'entend par personne, et c'est le mécanisme qui rend une action collective possible. Nous ne vous donnons aucun montant total pour un tel recours, parce qu'aucune source ne permet de le calculer d'avance, et parce que ce montant dépend du nombre de personnes retenues par le tribunal et de sa décision sur la faute.
Ce que nous ne vous dirons pas
Vous ne trouverez pas ici de montant moyen de sanction ni de nombre de sanctions imposées depuis l'entrée en vigueur. Nous n'avons pas de donnée vérifiée à citer sur ce point, et un chiffre inventé ne vous aiderait pas à décider quoi faire lundi matin.
Ce qui est vérifiable, c'est que la prescription administrative court sur deux ans à compter du manquement, et la poursuite pénale sur cinq ans à compter de l'infraction. Un manquement qui dure, par exemple l'absence de coordonnées publiées, reste donc exposé longtemps.
Trois gestes recommandés
- Publiez les coordonnées du responsable, puisque c'est le manquement le plus facile à constater de l'extérieur. Voyez qui doit être le responsable chez vous.
- Écrivez votre procédure d'incident avant d'en avoir besoin, parce que l'absence de déclaration figure dans les deux listes de manquements. Voyez quoi faire quand un incident vient de se produire.
- Datez vos décisions, une pratique recommandée. La capacité de démontrer ce que vous avez fait, et quand, pèse dans les critères des articles 90.2 et 92.3.
L'ordre complet des travaux, pour une entreprise qui part de rien, est dans par où commencer quand rien n'est fait. Les documents qui servent de preuve, politique, registre, délégation, procédure d'incident, sont réunis dans la trousse.
Articles cités, 90.1, 90.2, 90.10, 90.11, 90.12, 90.13, 91, 92, 92.1, 92.2, 92.3, 93, 93.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, chapitre P-39.1, texte officiel, consulté le 7 novembre 2026.
Douze gabarits à remplir, 14 fichiers, téléchargement immédiat.
Autodiagnostic gratuit en douze questions, aucune adresse demandée.