Pénalités de la Loi 25 : une amende de 25M$ CA va-t-elle vraiment frapper une entreprise de neuf employés?

La Loi 25 du Québec permet aux régulateurs d'imposer une amende pouvant atteindre 25 millions de dollars CA, ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Ce chiffre est réel. C'est aussi presque jamais le chiffre qui tombe sur une entreprise de neuf employés. Cet article porte sur l'écart entre le maximum légal et ce qui arrive vraiment aux entreprises de votre taille.

C'est quoi, la Loi 25, en une phrase?

La Loi 25 est la loi québécoise sur la protection des renseignements personnels. Elle s'applique à toute organisation qui recueille des renseignements personnels de personnes situées au Québec, peu importe où se trouve le siège social de l'entreprise. Si vous avez un seul client ou un seul employé au Québec, elle s'applique à vous. Elle est entrée en vigueur graduellement depuis 2022, avec les dernières exigences majeures arrivées en septembre 2024.

Est-ce que le maximum de 25 millions de dollars s'applique à moi?

Non. Ce plafond existe pour les pires violations commises par les plus grandes entreprises — pensez aux courtiers en données, aux chaînes de détail nationales, aux télécoms. Le régulateur québécois établit les pénalités en fonction de la taille de l'organisation et de la gravité de la violation. Une petite entreprise qui gère mal une liste de clients n'est pas traitée comme une banque nationale qui perd des millions de dossiers.

Les pénalités réelles imposées à des organisations petites et moyennes au Québec ont varié de quelques milliers de dollars jusqu'à de faibles dizaines de milliers. Douloureux, oui. Fatal pour l'entreprise, rarement.

Le chiffre qui devrait vous inquiéter, ce n'est pas l'amende maximale. C'est le coût du processus de déclaration d'une violation, les frais juridiques, et les clients qui partent une fois qu'ils réalisent que vous n'aviez aucune protection de base en place.

Qu'est-ce qui met vraiment une petite entreprise dans le trouble?

Les enquêtes commencent rarement parce que des régulateurs cognent à votre porte. Elles commencent avec une plainte, ou une violation que vous êtes légalement tenu de déclarer.

Voici ce qui a tendance à déclencher une intervention :

• Un client vous demande quelles données vous détenez sur lui et vous êtes incapable de répondre.
• Les renseignements personnels d'un employé fuient dans un incident d'hameçonnage et vous ne le déclarez pas à temps.
• Un ancien client se plaint que vous avez partagé ses données avec un tiers sans l'en informer.
• Vous n'aviez aucune politique de confidentialité quand quelqu'un a demandé à la consulter.

Rien de tout ça n'exige que vous soyez une grande entreprise. Il suffit juste de se faire prendre au dépourvu.

Un responsable de la protection des renseignements personnels ne vous coûte rien d'autre qu'un titre. Ne pas en avoir un, ça, c'est la vraie infraction. La Loi 25 exige que chaque organisation, peu importe sa taille, nomme une personne responsable de la protection des renseignements personnels. Cette personne n'a pas besoin d'être avocate. Ça peut être le propriétaire, le gérant de bureau, n'importe qui qui répond déjà aux questions des clients. L'exigence, c'est que quelqu'un soit nommé et joignable, pas que vous embauchiez un spécialiste.

Combien coûte vraiment la conformité?

Moins que ce que la plupart des propriétaires pensent. La voie coûteuse, c'est d'embaucher un consultant ou un avocat en protection des renseignements personnels pour bâtir un programme complet à partir de zéro, ce qui peut coûter plusieurs milliers de dollars à une petite entreprise. La voie économique, c'est de faire les choses de base vous-même, ce qui ne coûte presque rien, à part du temps.

Les bases : savoir quelles données personnelles vous recueillez, écrire pourquoi vous les recueillez, informer les gens en langage clair, et avoir un plan en cas de fuite. La loi québécoise exige aussi une évaluation des facteurs relatifs à la vie privée avant de lancer tout nouveau projet qui traite des renseignements personnels d'une nouvelle façon. C'est un enjeu bien plus important pour un hôpital qui déploie un nouveau système de dossiers que pour un commerce qui commence à utiliser un outil d'IA canadien pour rédiger des courriels, mais l'exigence s'applique dans les deux cas.

C'est ici qu'une plateforme d'IA canadienne fait ses preuves, indépendamment de la question de conformité. Si vous utilisez déjà un clavardeur américain pour rédiger des politiques ou répondre aux questions de vos clients, ces données sont traitées par une entreprise soumise à la portée juridique américaine. Passer à une plateforme canadienne n'efface pas vos obligations en vertu de la Loi 25 — rien ne fait ça à votre place — mais ça retire une variable de l'équation.

Augure est une option construite autour de ce problème. C'est une entreprise canadienne sans société mère américaine et sans investisseurs américains, et les données des clients sont stockées au Canada, comme l'exigent les règles canadiennes en matière de protection des renseignements personnels. L'inférence de l'IA s'exécute sur une infrastructure canadienne ou avec des partenaires européens vérifiés sous des ententes de non-conservation des données, jamais aux États-Unis, même si le traitement des paiements et l'acheminement des courriels impliquent encore une certaine infrastructure américaine, comme c'est le cas pour presque tous les outils destinés aux petites entreprises. Comme les conversations et les documents des clients ne sont pas traités par des fournisseurs soumis à la juridiction américaine, la portée du CLOUD Act sur ces fournisseurs ne s'étend pas à ce contenu. Augure est gratuit au départ, avec un forfait payant à 20 $ CA par mois si vous avez besoin de plus que la limite quotidienne de messages. Pour une entreprise qui rédige son premier avis de confidentialité, c'est une fraction de ce qu'un consultant facture pour la même première ébauche.

Et la LPRPDE — dois-je m'en inquiéter aussi?

La LPRPDE, la loi fédérale sur la protection des renseignements personnels, s'applique à votre entreprise si vous n'êtes pas au Québec, en Colombie-Britannique ou en Alberta, qui ont chacune leur propre loi sur la vie privée dans le secteur privé. Si vous exercez vos activités dans plusieurs provinces, vous devrez peut-être satisfaire à plus d'une loi à la fois. Ça semble pire que ça l'est en réalité, puisque les exigences fondamentales se chevauchent beaucoup : informer les gens de ce que vous recueillez, obtenir leur consentement, protéger les données, déclarer les violations. Les régulateurs fédéraux ont aussi eu tendance à nommer publiquement les entreprises plutôt qu'à poursuivre des amendes maximales contre de petits exploitants.

Le constat honnête : les lois se chevauchent suffisamment pour que corriger vos pratiques pour l'une corrige la plupart du temps aussi l'autre. Personne ne s'en prend à une entreprise de neuf employés juste pour le plaisir. On s'en prend aux entreprises qui ont ignoré une plainte, qui ont laissé traîner une violation pendant des semaines, ou qui n'ont jamais rien écrit noir sur blanc.

Là où ça devient vraiment incertain, et où même les avocats ne s'entendent pas, c'est jusqu'où s'étendent ces obligations une fois que vous commencez à utiliser des outils d'IA entraînés sur des données de clients, ou des sous-traitants qui manipulent des dossiers depuis l'extérieur du pays. Ce n'est pas vraiment un élément de liste de vérification, mais plutôt une question de jugement, qui mérite une vraie discussion avec quelqu'un qui connaît votre entreprise.

Quoi faire cette semaine

1. Nommez un responsable de la protection des renseignements personnels. Choisissez une personne, même vous-même, et notez son nom comme étant celle qui répond aux questions sur la vie privée. Ça prend dix minutes.
2. Dressez la liste des données personnelles que vous détenez réellement. Noms des clients, courriels, informations de paiement, dossiers des employés. Un tableur fait très bien l'affaire. C'est l'élément le plus souvent vérifié dans toute enquête.
3. Rédigez une page en langage clair expliquant ce que vous recueillez et pourquoi, et mettez-la quelque part où les clients peuvent la trouver. Utilisez un outil d'IA canadien pour la rédiger si l'écriture n'est pas votre fort. Le forfait gratuit d'Augure peut produire une première ébauche en quelques minutes, et vous n'avez plus qu'à la peaufiner.

Commencez sur augureai.ca.

D'où vient cette information : les pénalités administratives pécuniaires de la Loi 25 sont fixées à un maximum de 25 millions de dollars CA ou 4 % du chiffre d'affaires mondial.