La question revient à chaque rencontre : qu’est-ce qu’on risque vraiment. La réponse tient en deux parties. Ce que le texte prévoit, et ce qui arrive réellement à une PME québécoise. Les deux méritent d’être connus, parce qu’ils ne pointent pas dans la même direction.
Cette page présente les trois régimes de sanctions créés par la Loi 25, puis le risque concret, celui qui se matérialise bien avant qu’une amende soit imposée.
Réponse rapide : La Loi 25 a créé trois voies distinctes : les sanctions administratives pécuniaires imposées par la Commission d’accès à l’information, les amendes pénales obtenues par poursuite, et les dommages punitifs accordés par un tribunal civil. Dans les faits, le risque le plus fréquent pour une PME n’est pas l’amende, c’est la plainte, l’enquête et le contrat perdu faute de pouvoir répondre à un questionnaire de conformité.
1. Trois régimes distincts
La Loi 25 a créé trois voies qui peuvent frapper une même entreprise pour un même événement.
- Les sanctions administratives pécuniaires, imposées par la Commission d’accès à l’information sans passer par un tribunal.
- Les amendes pénales, obtenues par poursuite pénale.
- Les dommages punitifs, accordés par un tribunal civil à la demande d’une personne lésée.
Elles ne s’excluent pas. Une fuite mal gérée peut produire une ordonnance de la Commission, une poursuite pénale et un recours civil.
2. Les sanctions administratives pécuniaires
L’article 90.12 fixe les maximums : 50 000 $ dans le cas d’une personne physique et, dans les autres cas, 10 000 000 $ ou le montant correspondant à 2 % du chiffre d’affaires mondial de l’exercice financier précédent si ce dernier montant est plus élevé.
Pour une PME québécoise, le plafond utile est donc de 10 millions de dollars. Le pourcentage ne devient supérieur qu’au-delà d’un chiffre d’affaires mondial de 500 millions.
Ce sont des maximums, pas des montants attendus. Il n’existe pas de barème public garantissant un montant pour une infraction donnée.
3. Les amendes pénales
L’article 91 prévoit une amende de 5 000 $ à 100 000 $ dans le cas d’une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial de l’exercice financier précédent si ce montant est plus élevé.
Les comportements visés sont énumérés au même article. Ceux qui concernent le plus une PME :
- recueillir, utiliser, communiquer, conserver ou détruire des renseignements personnels en contravention à la loi ;
- omettre de déclarer, si on est tenu de le faire, un incident de confidentialité à la Commission ou aux personnes concernées ;
- ne pas prendre les mesures de sécurité propres à assurer la protection des renseignements personnels conformément à l’article 10 ;
- procéder ou tenter de procéder à l’identification d’une personne à partir de renseignements dépersonnalisés sans autorisation, ou à partir de renseignements anonymisés ;
- entraver une enquête ou une inspection de la Commission, notamment en lui communiquant des renseignements faux ou inexacts ;
- contrevenir à une ordonnance de la Commission.
Le plancher mérite d’être noté. Pour une entreprise, l’amende minimale prévue est de 15 000 $. Il n’y a pas de version symbolique. L’article 92.1 double les amendes en cas de récidive et l’article 92.2 fixe la prescription à cinq ans à compter de la perpétration.
4. Les dommages punitifs
L’article 93.1 prévoit que lorsqu’une atteinte illicite à un droit conféré par la loi ou par les articles 35 à 40 du Code civil cause un préjudice, et que cette atteinte est intentionnelle ou résulte d’une faute lourde, le tribunal accorde des dommages-intérêts punitifs d’au moins 1 000 $.
Deux mots importent. « Accorde » : ce n’est pas une faculté, c’est une obligation une fois les conditions réunies. « Au moins » : c’est un plancher, pas un plafond.
Ce plancher par personne change l’économie des recours collectifs. Une fuite touchant 20 000 dossiers représente un plancher théorique considérable, avant même les dommages compensatoires.
5. Le risque réel pour une PME
Le montant de l’amende n’est ni ce qui coûte le plus cher, ni ce qui arrive le plus souvent.
Ce qui arrive : une plainte d’un ancien employé ou d’un client à la Commission, une demande d’information, la production de vos documents, une ordonnance de corriger. Le coût est en temps de direction, en honoraires et en désorganisation.
Ce qui arrive aussi, et de plus en plus : le questionnaire de conformité imposé par un client. Les grands donneurs d’ordre, les assureurs et les organismes publics posent maintenant les questions. Qui est votre responsable. Où sont vos données. Avez-vous un registre d’incidents. Vos sauvegardes sont-elles testées. Une PME qui n’a pas de réponse perd des contrats bien avant de recevoir une amende.
C’est l’argument le plus honnête à faire à un dirigeant. La conformité se rentabilise surtout comme condition d’accès à des clients.
6. Ce qui réduit vraiment l’exposition
Trois défauts reviennent dans les dossiers qui tournent mal : l’absence de responsable joignable, l’absence de registre d’incidents, et l’incapacité de démontrer ce qui est sorti faute de journaux. Les trois se corrigent sans grand projet.
Le premier et le deuxième sont administratifs et se règlent en quelques heures. Le troisième est technique et demande d’activer, de conserver et de surveiller les journaux d’audit, de protéger les postes et de tester les sauvegardes. C’est le coeur de nos services informatiques gérés, et c’est aussi ce qui permet de répondre à un questionnaire client sans improviser.
Foire aux questions
Quelles amendes prévoit la Loi 25 pour une PME ?
Le texte prévoit des sanctions administratives pouvant atteindre 10 000 000 $ ou 2 % du chiffre d’affaires mondial, et des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour une entreprise. Ce sont des maximums, pas des montants attendus.
Qui impose les sanctions de la Loi 25 ?
La Commission d’accès à l’information impose les sanctions administratives pécuniaires sans passer par un tribunal. Les amendes pénales passent par une poursuite, et les dommages punitifs sont accordés par un tribunal civil à la demande d’une personne lésée.
Une PME peut-elle être poursuivie par un employé pour un manquement ?
Oui. L’article 93.1 prévoit des dommages punitifs d’au moins 1 000 $ lorsqu’une atteinte illicite intentionnelle ou résultant d’une faute lourde cause un préjudice. Un employé ou un client peut exercer ce recours.
Réduire le risque plutôt que de le calculer, en Mauricie
Aucune PME ne devrait bâtir son plan sur le montant des amendes. Le vrai calcul est plus simple : combien de temps faut-il pour répondre à un questionnaire client, et peut-on démontrer ce qui s’est passé après un incident. Nos services informatiques gérés mettent en place les preuves techniques que ces deux questions exigent, pour des entreprises de Trois-Rivières et de partout au Québec. Pour en discuter, écrivez par le formulaire de contact ou appelez au 450-231-3836.
Ce guide vulgarise des obligations légales. Il n’est pas un avis juridique et ne remplace pas la lecture du texte de loi ni les conseils d’un conseiller juridique. Les références légales renvoient à la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la Loi 25.