Les plafonds des manchettes existent, articles à l'appui - mais un dossier réel ne commence pas là. Voici les deux régimes de sanctions, la gradation d'une plainte, et les manquements que la Commission d'accès à l'information repère en premier.
À jour au 10 août 2026 Dernier changement du droit couvert 22 septembre 2024
En une réponse : la Loi 25 prévoit deux régimes de sanctions. La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires atteignant 50 000 $ pour une personne physique et, pour une entreprise, 10 M$ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé (art. 90.12). Les infractions pénales vont de 15 000 $ à 25 M$ ou 4 % du chiffre d'affaires mondial pour une entreprise (art. 91), et doublent en cas de récidive (art. 92.1). S'y ajoute un recours privé : des dommages-intérêts punitifs d'au moins 1 000 $ quand l'atteinte est intentionnelle ou résulte d'une faute lourde (art. 93.1). Aucune exemption de taille n'existe - et tout commence le plus souvent par une plainte gratuite que n'importe qui peut déposer.
Deux mécaniques distinctes, deux échelles, les articles cités
Les sanctions administratives pécuniaires sont imposées directement par la Commission d'accès à l'information, sans passer par un tribunal. Le plafond : 50 000 $ pour une personne physique; pour une entreprise, 10 M$ ou 2 % du chiffre d'affaires mondial de l'exercice précédent, le montant le plus élevé (art. 90.12).
Les infractions pénales passent par la poursuite. Pour une entreprise, l'amende va de 15 000 $ à 25 M$ ou 4 % du chiffre d'affaires mondial, le montant le plus élevé (art. 91). L'article vise entre autres : recueillir, utiliser ou conserver des renseignements en contravention de la loi; omettre de déclarer un incident de confidentialité à la Commission ou aux personnes concernées; ne pas prendre les mesures de sécurité exigées par l'art. 10. En cas de récidive, ces amendes sont portées au double (art. 92.1).
Et un troisième risque, souvent oublié : le recours privé. Quand une atteinte illicite à un droit conféré par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $ (art. 93.1) - par personne touchée.
Personne ne reçoit une amende de 25 M$ par surprise un mardi matin
Le chemin typique : une plainte - gratuite, déposée par un client, un employé ou un simple visiteur - déclenche une enquête de la Commission. Suivent des demandes de correctifs et des engagements; la sanction administrative vient quand les manquements persistent ou qu'ils sont sérieux, et le pénal est réservé aux cas les plus graves. Pour une PME, le vrai coût d'un dossier est rarement le plafond des manchettes : c'est la fourchette basse des échelles, le temps de direction absorbé par l'enquête, et la trace publique qu'elle laisse auprès des clients et des assureurs.
Ce déroulement gradué est une bonne nouvelle déguisée : à presque chaque étape, corriger coûte moins cher que contester. L'entreprise qui règle ses manquements visibles avant la plainte sort du radar; celle qui les règle pendant l'enquête limite la sanction; celle qui attend paie l'échelle.
Les manquements les plus sanctionnables sont ceux qui se voient sans enquête
En pratique, les manquements visibles depuis un simple navigateur sont les premiers repérés - par les clients, les concurrents, les assureurs en cybersécurité et les journalistes, avant même la Commission :
Notre diagnostic gratuit regarde votre site exactement comme un plaignant le ferait : politique de confidentialité, témoins déposés, formulaires, mentions exigées. Verdict en quelques minutes, sans compte ni carte - et si des manquements apparaissent, vous saurez lesquels corriger en premier.
Les vraies questions qu'un dirigeant se pose sur les amendes
La Loi 25 ne prévoit aucune exemption de taille : elle s'applique dès le premier renseignement personnel recueilli. Les sanctions sont proportionnées à la gravité et à la capacité de payer, mais une plainte contre une PME déclenche la même mécanique que contre une grande entreprise : enquête, correctifs demandés, sanction si rien ne bouge.
N'importe qui, gratuitement : un client, un employé, un concurrent, un visiteur de votre site. Les manquements visibles depuis un navigateur - politique absente, témoins déposés avant consentement - sont les plus faciles à documenter dans une plainte.
C'est un plafond, pas un montant automatique. Au pénal, l'amende d'une entreprise va de 15 000 $ à 25 M$ ou 4 % du chiffre d'affaires mondial, le montant le plus élevé (art. 91), doublée en récidive (art. 92.1). Pour une PME, le vrai risque est la fourchette basse de ces échelles, plus les frais et la réputation - pas le plafond des manchettes.
Par ce qui se voit : le diagnostic gratuit vérifie votre site comme un plaignant le ferait, et le guide des obligations explique chaque exigence, article à l'appui.
Tout ce qui est cité ici est vérifiable gratuitement