Ce que les premières mesures d’application de la Loi 25 par la CAI révèlent aux entreprises

Trois ans après que la Commission d’accès à l’information (CAI) a obtenu de nouveaux outils d’application en vertu de la Loi 25, de nombreux chefs d’entreprise se posent toujours la même question : « Quelqu’un a-t-il réellement été mis à l’amende ? » La réponse honnête est que les archives publiques sont moins fournies que ce que les titres suggèrent. Cependant, le cadre publié par la CAI et ses récentes décisions en disent déjà long sur ses attentes.

Les outils dont dispose désormais la CAI

Depuis le 22/09/2023, la CAI peut imposer des sanctions administratives pécuniaires (SAP) aux entreprises allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé (CAI, principaux changements découlant de la Loi 25). Par ailleurs, des poursuites pénales peuvent entraîner des amendes pour les organisations allant de 15 000 $ jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires mondial, ces montants étant doublés en cas de récidive (CAI, sanctions pour les entreprises).

Lors de notre examen du site web de la CAI et des commentaires des principaux cabinets d’avocats pour cet article, nous n’avons pas trouvé de SAP publiquement rapportée imposée à une entreprise privée en vertu de la Loi 25. Cela peut changer à tout moment, et l’absence de rapports publics n’est pas la preuve qu’aucune n’existe. Considérez le régime de sanctions comme étant actif.

Ce que le cadre des SAP vous indique

La CAI a publié son cadre général d’application des SAP le 23/05/2023 (annonce de la CAI). Quelques points ressortent :

• L’objectif est d’abord la correction. Les buts énoncés sont d’inciter à une action corrective rapide et de décourager les manquements répétés (résumé de McCarthy Tétrault).
• Il existe une étape d’avertissement. Le processus commence par un avis de non-conformité, donnant à l’entreprise l’occasion de répondre et de corriger la situation avant qu’un avis de réclamation n’impose une sanction.
• Le comportement compte. Les facteurs incluent la nature et la gravité du manquement, son caractère répétitif, la sensibilité des renseignements, le nombre de personnes concernées, le risque de préjudice, les mesures correctives prises, la collaboration avec la CAI, la compensation offerte et la capacité de payer.
• Des engagements sont possibles. Une entreprise peut s’engager auprès de la CAI à prendre les mesures nécessaires pour remédier à un manquement ; si l’engagement est accepté et respecté, aucune sanction ne peut être imposée pour ce manquement.
• Il existe des droits de révision et d’appel. Une entreprise peut demander une révision dans les 30 jours, puis contester la décision devant la Cour du Québec.

Ce que montrent les récentes décisions de la CAI

Les inspections et les enquêtes peuvent mener à des ordonnances exécutoires, qui sont souvent plus perturbatrices qu’une amende. Voici trois exemples tirés de décisions publiées et d’analyses de cabinets d’avocats :

Reconnaissance faciale pour l’accès des employés

Fin décembre 2024, la CAI a ordonné à une organisation de cesser d’utiliser la reconnaissance faciale pour contrôler l’accès des employés, dans ce qui a été décrit comme sa première décision publiée depuis les modifications de la Loi 25 (AccessPrivacy).

Reconnaissance faciale dans le commerce de détail

Le 18/02/2025, la CAI a interdit à Metro Inc. de déployer un projet pilote de reconnaissance faciale pour la prévention des pertes tel que proposé, concluant entre autres qu’un consentement manifeste était requis pour utiliser des données biométriques afin de vérifier l’identité (Osler). Une décision ultérieure, rapportée en 2026, a examiné la nécessité du projet en vertu de la loi sur le secteur privé et a imposé deux ans de rapports semestriels sur les faux positifs et les biais algorithmiques (Gowling WLG).

Numéros d’assurance sociale dans les demandes de location

Dans une enquête ouverte en septembre 2024 à la suite de plaintes, la CAI a ordonné à une entreprise de gestion immobilière de cesser de collecter des numéros d’assurance sociale sans nécessité réelle, de caviarder ou de détruire ceux qui sont inutiles dans un délai de 30 jours, et d’adopter des politiques de gouvernance et de publier les coordonnées de son responsable de la protection de la vie privée dans un délai de 90 jours (Gowling WLG).

Leçons pour les entreprises

1. La nécessité est le premier test. Dans chaque cas, la question était de savoir si l’information était réellement nécessaire. Documentez les raisons pour lesquelles vous collectez chaque élément de données.
2. Les bases de la gouvernance sont vérifiées. La publication des coordonnées du responsable de la protection de la vie privée et des politiques de gouvernance faisait partie des ordonnances. Ce sont des éléments peu coûteux à mettre en place.
3. La biométrie présente un risque élevé. Tout projet utilisant les visages, les empreintes digitales ou la voix devrait faire l’objet d’une évaluation des facteurs relatifs à la vie privée et d’un examen juridique avant l’achat.
4. Les preuves comptent. La CAI s’attendait à une justification quantifiée et documentée. Conservez votre analyse, pas seulement votre conclusion.
5. La collaboration est payante. Le cadre des SAP prend explicitement en compte les mesures correctives et la collaboration.

Accel GRC vous aide à tenir les registres, les politiques et les évaluations que la CAI recherche, et KW Consulting peut effectuer un examen de préparation. Consultez notre page sur la Loi 25, nos services de programme de confidentialité et de sécurité et de remédiation, explorez Accel GRC, ou contactez-nous.

Sources

• CAI – Principaux changements de la Loi 25
• CAI – Sanctions pour les entreprises
• CAI – Cadre général d’application des sanctions administratives pécuniaires
• CAI – Sanctions administratives pécuniaires (23-05-2023)
• McCarthy Tétrault – Le cadre général de la CAI sur les SAP
• AccessPrivacy – L’organisme québécois de réglementation de la vie privée publie sa première décision depuis les modifications de la Loi 25
• Osler – L’organisme québécois de réglementation de la vie privée interdit l’utilisation de la reconnaissance faciale par un détaillant
• Gowling WLG – Après la Loi 25 : La CAI renforce sa surveillance de la biométrie et des NAS