La Loi 25 n'est plus une menace théorique
Depuis son adoption, beaucoup d'entreprises québécoises ont traité la Loi 25 comme une case à cocher « un jour ». En 2026, ce calcul ne tient plus. Le régime de sanctions est maintenant pleinement en vigueur, et la Commission d'accès à l'information (CAI) l'utilise.
Si votre PME détient des renseignements personnels de clients, de patients ou d'employés, voici ce que vous devez savoir. Pour les fondamentaux, notre guide complet de conformité à la Loi 25 et notre bilan un an et demi plus tard restent d'excellents points de départ.
Des sanctions qui font mal
La Loi 25 prévoit deux niveaux de pénalités, et ils sont parmi les plus sévères au Canada.
D'abord, la CAI peut imposer des sanctions administratives pécuniaires directement, sans passer par les tribunaux, pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé.
Ensuite, en cas de poursuite pénale, les amendes peuvent grimper jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, et elles doublent en cas de récidive.
Ces montants ne visent pas seulement les grandes entreprises. Ils s'appliquent à toute organisation qui manque à ses obligations.
Le droit d'action privé : le risque que peu voient venir
Au-delà des amendes, la Loi 25 crée un droit d'action privé : une personne peut poursuivre l'entreprise devant les tribunaux, individuellement ou en recours collectif. Lorsque l'atteinte est intentionnelle ou résulte d'une faute lourde, la loi prévoit des dommages punitifs d'au moins 1 000 $ par personne, en plus de l'indemnisation du préjudice réel.
Le point important : ces poursuites peuvent être menées en recours collectif. Une seule fuite touchant des centaines de clients peut donc se transformer en réclamation de plusieurs centaines de milliers de dollars, indépendamment de toute amende de la CAI.
Ce que la CAI surveille
La Commission peut sanctionner une entreprise notamment pour :
Autrement dit, l'absence de mesures de protection n'est plus seulement une mauvaise pratique. C'est une infraction sanctionnable.
Par où commencer
La conformité à la Loi 25 n'a pas à être écrasante. Les fondations sont accessibles à une PME :
Savoir ce que vous détenez
Vous ne pouvez pas protéger ce que vous ne connaissez pas. Un inventaire des renseignements personnels que vous détenez et de l'endroit où ils se trouvent est le point de départ.
Mettre en place des mesures de sécurité raisonnables
Authentification multifacteur, sauvegardes, contrôle des accès, chiffrement : les mesures que la loi attend sont aussi celles qui vous protègent d'une cyberattaque.
Avoir un plan d'intervention
En cas d'incident, vous avez des obligations de déclaration précises. Un plan préparé à l'avance fait la différence entre une gestion maîtrisée et une crise.
Désigner un responsable
La loi exige un responsable de la protection des renseignements personnels. Ce rôle doit être clair et documenté.
En résumé
En 2026, la Loi 25 a des dents. Les sanctions sont réelles, la CAI est active, et les poursuites individuelles ajoutent un risque que beaucoup d'entreprises n'ont pas anticipé. La bonne nouvelle : les mesures qui vous mettent en conformité sont aussi celles qui renforcent votre sécurité.
Chez AIKI Secure, nous aidons les PME québécoises à évaluer leur conformité à la Loi 25 et à mettre en place les mesures nécessaires, sans jargon. Pour une évaluation, communiquez avec nous ou appelez le 514-939-3222.
