Depuis septembre 2024, les sanctions sont en vigueur. Vérifiez gratuitement votre conformité en 3 minutes — avant que la CAI ne le fasse pour vous.
Vérifier ma conformité — gratuitCe que la Commission d'accès à l'information (CAI) vérifie lors d'une inspection.
Une personne responsable de la protection des renseignements personnels, avec coordonnées publiées. Par défaut : la plus haute autorité.
Politique en langage simple et clair, à jour, accessible. Elle encadre conservation, destruction, rôles et plaintes.
Tous les incidents de confidentialité consignés, conservés 5 ans minimum, avec le détail prescrit par règlement.
Avis avec diligence à la CAI et aux personnes concernées en cas de risque de préjudice sérieux.
Manifeste, libre et éclairé. Explicite pour les données sensibles. Finalités claires avant la collecte.
Accès, rectification, suppression et désindexation : traités dans un délai de 30 jours.
Évaluation des facteurs relatifs à la vie privée pour tout projet à risque : nouveau système, biométrie, transfert hors Québec.
| Sanction | Maximum légal | Appliquée par |
|---|---|---|
| Sanction administrative pécuniaire | 10 M$ ou 2 % du CA mondial | La CAI directement |
| Amende pénale | 25 M$ ou 4 % du CA mondial | Les tribunaux |
En pratique, les sanctions pour PME sont proportionnelles (quelques milliers à dizaines de milliers de dollars), mais une simple plainte suffit à ouvrir un dossier. La bonne foi et une mise en conformité rapide réduisent les montants.
Le questionnaire est gratuit. Le Kit Conformité va plus loin.
paiement unique
Oui. Toute personne qui exploite une entreprise au Québec est visée, peu importe sa taille. Il n'y a pas de seuil d'employés ni de chiffre d'affaires.
Tout accès, utilisation ou communication non autorisés d'un renseignement personnel, ou sa perte. Tous les incidents doivent être consignés au registre — même sans risque de préjudice sérieux.
Description des renseignements visés, circonstances, dates (incident et prise de connaissance), nombre de personnes, analyse du risque de préjudice sérieux, dates d'avis, mesures prises. Conservation minimale : 5 ans.
La loi s'applique quand même dès que vous détenez des renseignements personnels (clients, employés, fournisseurs). Les coordonnées du responsable doivent alors être accessibles « par tout autre moyen approprié ».