Loi 25 : sanctions et inspections de la CAI en 2026

L'application de la Loi 25 a changé de vitesse au Québec, et les sanctions de la CAI ne relèvent plus de la théorie. Toutes les obligations de la loi sont en vigueur depuis le 22 septembre 2024, la Commission d'accès à l'information (CAI) détient le pouvoir d'imposer des sanctions administratives pécuniaires depuis septembre 2023, et elle a publié le cadre qu'elle applique pour décider quand sanctionner une entreprise et à quelle hauteur. La phase d'éducation, ces années de webinaires et de rappels courtois, est derrière nous.

Pour une PME de Québec ou d'ailleurs en province, le calcul change. Un seul incident de confidentialité déclaré, ou une plainte d'un client ou d'un ancien employé, peut ouvrir un dossier à la CAI. Les questions arrivent alors par écrit, et elles sont précises. Cet article associe chaque obligation de la Loi 25 à un contrôle concret de Microsoft 365, pour que les réponses existent avant qu'on les demande. Il prolonge notre guide Loi 25 et Microsoft 365 sous l'angle de la préparation aux inspections.

Points clés à retenir

• Toutes les obligations de la Loi 25 sont exécutoires depuis septembre 2024. Aucun délai de grâce ne subsiste.
• La CAI peut imposer des sanctions administratives allant jusqu'à 10 millions $ ou 2 % du chiffre d'affaires mondial.
• Les amendes pénales atteignent 25 millions $ ou 4 % du chiffre d'affaires mondial, doublées en cas de récidive.
• La CAI peut exiger votre registre des incidents de confidentialité en tout temps.
• Purview, la DLP, la rétention et l'accès conditionnel transforment ses questions en preuves, pas en promesses.

Sanctions de la CAI : pourquoi 2026 change la donne

La Loi 25 est arrivée en trois vagues : déclaration obligatoire des incidents de confidentialité et registre en 2022; responsable de la protection des renseignements personnels désigné, politiques de gouvernance, évaluations des facteurs relatifs à la vie privée (EFVP), consentement resserré et confidentialité par défaut en 2023; portabilité des données en 2024 (selon la synthèse des principaux changements publiée par la CAI). Plus rien dans la loi n'est « à venir ».

Les pouvoirs de sanction ont suivi la même trajectoire. Depuis le 22 septembre 2023, la CAI peut imposer des sanctions administratives pécuniaires aux entreprises privées : jusqu'à 10 millions $ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les manquements graves relèvent du pénal, où l'amende prévue par la Loi 25 grimpe à 25 millions $ ou 4 % du chiffre d'affaires mondial, et double en cas de récidive (selon la page des sanctions de la CAI). Son cadre général d'application, lui aussi public, confirme que la collaboration compte : un engagement formel de correction, accepté puis respecté, peut éviter la sanction pécuniaire. Les décisions, elles, sont publiques. Pour une firme de 40 personnes, la facture réputationnelle peut dépasser le chèque.

Ce qu'un dossier de la CAI vous demandera de produire

Un dossier s'ouvre de trois façons : vous déclarez un incident, quelqu'un dépose une plainte, ou la Commission s'y intéresse de sa propre initiative. Peu importe le déclencheur, attendez-vous à produire des preuves, par écrit. À partir des obligations de la loi, cela signifie :

• Le nom et les coordonnées de votre responsable de la protection des renseignements personnels, publiés sur votre site web
• Vos politiques et pratiques encadrant les renseignements personnels, rédigées en langage clair
• Votre registre des incidents de confidentialité, que la CAI peut exiger en tout temps
• Les EFVP des projets touchant des renseignements personnels et de toute communication de données hors Québec
• La preuve qu'un consentement valide a été obtenu pour chaque finalité
• La démonstration de mesures de sécurité proportionnelles à la sensibilité des données détenues

Deux observations terrain. D'abord, aucun de ces documents ne se produit de façon crédible à la dernière minute; un registre créé la semaine de la demande ne convainc personne. Ensuite, les éléments techniques de cette liste sont là où la plupart des PME sont les plus solides : Microsoft 365 contient déjà la mécanique. La conformité à la Loi 25 pour une PME exige surtout de l'activation et de la documentation.

Associer chaque obligation de la Loi 25 aux contrôles Microsoft 365

Voici comment les obligations s'alignent sur des outils déjà payés via Business Premium ou les licences E3/E5.

Savoir ce que vous détenez : classification Purview et étiquettes de confidentialité

Impossible de protéger, de minimiser ou de détruire des données que vous n'avez pas localisées. Les types d'information sensible de Microsoft Purview détectent les identifiants pertinents au Québec (numéros d'assurance sociale, de carte d'assurance maladie, données financières) dans Exchange, SharePoint, OneDrive et Teams. Les étiquettes de confidentialité marquent et chiffrent ensuite les fichiers concernés. Quand la CAI demande quels renseignements personnels vous détenez et pourquoi, l'explorateur de contenu fournit une réponse appuyée par des chiffres.

Contrôler qui entre : Entra ID et accès conditionnel

La Loi 25 exige des mesures de sécurité contre l'accès illégal, et en pratique cela commence par l'identité : authentification multifacteur partout, authentification héritée bloquée, connexions à risque soumises à une vérification supplémentaire. Notre base d'accès conditionnel gratuite décrit les politiques que nous déployons chez chaque client, et notre équipe en cybersécurité ajoute les vérifications de conformité des appareils via Intune.

Conserver moins, exposer moins : DLP et politiques de rétention

La loi s'attend à ce que les renseignements personnels soient détruits ou anonymisés une fois leur finalité accomplie. Les politiques et étiquettes de rétention de Purview automatisent cette fin de vie; un environnement qui garde chaque fichier pour toujours transporte un passif, pas des archives. Côté sortie, les politiques DLP bloquent ou signalent les numéros d'assurance sociale, d'assurance maladie et de carte qui quittent l'organisation par Exchange, Teams ou SharePoint, une réponse directe à l'obligation de prévenir la communication illégale.

Prouver ce qui s'est passé, ou pas : journal d'audit et eDiscovery

Une inspection est un exercice de preuve. Le journal d'audit unifié consigne qui a accédé à quelle boîte aux lettres, à quel fichier ou à quel paramètre, exactement ce qu'il faut pour enquêter sur un incident et démontrer que les accès sont limités. eDiscovery retrouve chaque élément lié à une personne lorsqu'elle exerce son droit d'accès ou de portabilité, sans fouille manuelle des boîtes aux lettres.

Détecter, répondre, documenter : Defender et votre registre des incidents

Les obligations d'incident comportent trois volets : détecter, évaluer le risque de préjudice sérieux, puis aviser la CAI et les personnes concernées avec diligence quand le seuil est atteint. Defender for Business fait remonter la compromission; votre procédure doit se terminer par l'évaluation, le formulaire officiel de déclaration de la CAI et une entrée au registre. Si personne ne porte cette dernière étape, la réponse technique réussit pendant que la réponse légale échoue.

Un plan de 90 jours pour être prêt à une inspection

1. Semaines 1-2 : confirmez la désignation de votre responsable, publiez ses coordonnées et rafraîchissez votre politique de confidentialité en langage clair.
2. Semaines 3-4 : lancez la découverte Purview, puis étiquetez les dépôts où les renseignements personnels se concentrent.
3. Semaines 5-6 : déployez la base d'accès conditionnel et comblez les manques de MFA qu'elle révèle.
4. Semaines 7-8 : activez la DLP pour les numéros d'assurance sociale, d'assurance maladie et les données financières; fixez des politiques de rétention avec de vraies dates de suppression.
5. Semaines 9-10 : rédigez la procédure d'incident, montez le gabarit de registre et faites un exercice de simulation.
6. Semaines 11-12 : complétez les EFVP des outils qui transfèrent des renseignements hors Québec, puis rassemblez le tout dans un cartable qu'un inconnu pourrait suivre.

Pour comprimer ce calendrier, notre évaluation TI couvre cette liste exacte en une semaine, et nos clients en TI gérées voient registre et procédure maintenus pour eux.

FAQ

Quelle est l'amende maximale prévue par la Loi 25 au Québec?

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions $ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les infractions graves poursuivies au pénal peuvent atteindre 25 millions $ ou 4 % du chiffre d'affaires mondial, et ces amendes doublent en cas de récidive. Au-delà de l'argent, les décisions sont publiques et peuvent inclure des ordonnances correctrices contraignantes.

La CAI peut-elle vraiment enquêter sur une petite entreprise?

Oui. La loi québécoise du secteur privé s'applique à toute entreprise qui recueille des renseignements personnels, peu importe sa taille. Les dossiers démarrent le plus souvent avec un incident déclaré ou une plainte, donc une petite entreprise avec un seul contact mécontent est exposée le jour même. La taille influence la proportionnalité des mesures attendues, pas l'application de la loi.

Utiliser Microsoft 365 rend-il mon entreprise conforme à la Loi 25?

Non. Microsoft 365 fournit les contrôles techniques, mais la loi exige aussi une gouvernance : un responsable désigné, des politiques publiées, un consentement valide, des EFVP et un processus d'incident. Un environnement bien configuré couvre les obligations de sécurité, de rétention et de preuve, ce qui retire le plus difficile du volet technique et vous laisse la documentation à compléter.

Par où commencer si nous n'avons encore rien fait?

Commencez par les bases visibles : désignez le responsable, publiez la politique et créez le registre des incidents même s'il reste vide. Fermez ensuite la brèche d'identité avec la MFA et l'accès conditionnel, puisque la compromission de comptes est l'incident le plus fréquent que nous observons sur le terrain. L'inventaire avec Purview vient ensuite, en documentant chaque étape.

Sources

• CAI : Sanctions applicables aux entreprises privées
• CAI : Cadre général d'application des sanctions administratives pécuniaires
• CAI : Principaux changements apportés par la Loi 25
• CAI : Formulaire de déclaration d'un incident de confidentialité (PDF)

La préparation aux inspections tient surtout de la discipline : les mêmes quelques contrôles, configurés une fois et bien documentés. Si vous souhaitez un deuxième regard sur votre environnement avant que la CAI n'en fournisse un, écrivez-nous et nous ferons le tour ensemble.