Loi 25 : sanctions administratives et amendes pénales

Une lettre de la Commission d'accès à l'information (CAI) arrive chez un détaillant en ligne : un avis de non-conformité. Elle ne réclame encore rien. Elle prévient que le manquement décrit pourrait donner lieu à une sanction administrative pécuniaire ou à une sanction pénale. Ce que l'entreprise fera ensuite pèsera sur le montant, et parfois sur l'existence même de la sanction.

Ce que dit la loi

La « Loi 25 » est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (2021, chapitre 25), sanctionnée le 22 septembre 2021. Son article 175 fixe au 22 septembre 2023 l'entrée en vigueur de la plupart de ses dispositions, dont le régime de sanctions qu'elle insère dans la Loi sur la protection des renseignements personnels dans le secteur privé. Ce régime a trois étages, et trois décideurs.

La sanction administrative pécuniaire. Elle est imposée par une personne désignée par la Commission, qui n'est membre d'aucune de ses sections (article 90.1). Elle vise notamment le fait de :

• ne pas informer les personnes concernées conformément aux articles 7 et 8 ;
• recueillir, utiliser, communiquer, conserver ou détruire des renseignements personnels en contravention à la loi ;
• ne pas déclarer un incident de confidentialité à la Commission ou aux personnes concernées ;
• ne pas prendre les mesures de sécurité exigées par l'article 10 ;
• ne pas informer la personne visée par une décision entièrement automatisée (article 12.1).

Le plafond est de 50 000 $ pour une personne physique et, dans les autres cas, de 10 000 000 $ ou de 2 % du chiffre d'affaires mondial de l'exercice précédent si ce montant est plus élevé (article 90.12). Elle se prescrit par deux ans (article 90.10).

L'amende pénale. L'article 91 prévoit de 5 000 $ à 100 000 $ pour une personne physique et, dans les autres cas, de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial si ce montant est plus élevé. La liste recoupe la précédente et y ajoute notamment la réidentification à partir de renseignements dépersonnalisés ou anonymisés, l'entrave à une enquête ou à une inspection et le non-respect d'une ordonnance de la Commission. La Commission intente la poursuite (article 92), un juge fixe la peine (article 92.3), les amendes doublent en cas de récidive (article 92.1) et la poursuite se prescrit par cinq ans (article 92.2).

Les dommages-intérêts punitifs. Lorsqu'une atteinte illicite à un droit conféré par la loi cause un préjudice et qu'elle est intentionnelle ou résulte d'une faute lourde, le tribunal accorde au moins 1 000 $ (article 93.1).

Un constat d'infraction déjà signifié pour la même disposition, le même jour et les mêmes faits ferme la voie administrative (article 90.11). L'inverse n'est pas vrai : l'avis de réclamation rappelle que les mêmes faits peuvent aussi donner lieu à une poursuite pénale (article 90.5).

Le chemin d'une sanction administrative

La personne désignée ne peut rien imposer sans avoir notifié un avis de non-conformité et donné à l'entreprise l'occasion de présenter ses observations et ses documents (articles 90.3 et 90.4). La sanction prend ensuite la forme d'un avis de réclamation, dont le montant porte intérêt à compter du 31e jour (article 90.5). L'entreprise a 30 jours pour demander le réexamen, confié à un membre de la section de surveillance (article 90.6), puis 30 jours pour contester la décision en réexamen devant la Cour du Québec (article 90.9).

L'article 90.2 oblige la Commission à rendre public un cadre général d'application. La loi en fixe le contenu : les objectifs (inciter à corriger vite, dissuader la répétition), les circonstances où le recours pénal sera priorisé, et les critères qui guident la décision et le montant. Ces critères sont la nature, la gravité, le caractère répétitif et la durée du manquement, la sensibilité des renseignements, le nombre de personnes concernées et le risque de préjudice, les mesures prises pour y remédier, la collaboration offerte à la Commission, la compensation offerte et la capacité de payer.

Pourquoi ça compte

Le communiqué du gouvernement du Québec du 22 septembre 2023 résume l'échelle : 10 M$ ou 2 % du chiffre d'affaires mondial pour les sanctions administratives, 25 M$ ou 4 % pour les sanctions pénales. Le mot qui compte est « mondial » : le pourcentage dépasse le montant fixe à partir de 500 M$ de chiffre d'affaires dans le premier cas, de 625 M$ dans le second.

Trois des critères tiennent à ce que l'entreprise fait après le manquement : corriger, collaborer, compenser. Et l'engagement prévu à l'article 90.1, s'il est accepté par la Commission et respecté, écarte la sanction administrative pour les actes qu'il mentionne. Le dossier se joue donc avant l'avis de réclamation.

Quoi faire, dans l'ordre

1. Fermer les manquements de l'article 90.1. Information des personnes, déclaration des incidents, mesures de sécurité, décisions automatisées.
2. Nommer qui répond à la Commission. Un avis de non-conformité appelle des observations et des documents, pas un silence.
3. Documenter la correction. Mesures, dates, personnes avisées, compensation : ce sont les critères du cadre.
4. Évaluer l'engagement avant que la personne désignée ne décide.
5. Tenir les délais. Trente jours pour le réexamen, trente jours pour la Cour du Québec.
6. Mesurer l'exposition sur le chiffre d'affaires mondial, récidive comprise.

La prochaine étape

Reprenez votre dernier incident de confidentialité et posez-lui les questions du cadre : combien de personnes, quelle sensibilité, quelles mesures, quelle preuve de chacune ? Si le dossier ne répond pas en une heure, c'est par là qu'il faut commencer, et notre page Loi 25 reprend les obligations qui précèdent la sanction.