Vous exploitez une entreprise et vous recueillez des renseignements personnels sur vos clients ou vos employés ? Trois ans après notre dernier article, voici l’essentiel de ce qui a changé.

1. Tout est en vigueur. Il n’y a plus d’échéance.

Les trois vagues sont derrière nous : les incidents de confidentialité et le responsable de la protection des renseignements personnels (2022), la politique de confidentialité, le consentement, les EFVP et le régime de sanctions (2023), et enfin la portabilité (2024). Une entreprise qui n’a pas fait le travail n’est plus en retard sur un échéancier : elle est non conforme.

2. Le droit à la portabilité

Depuis le 22 septembre 2024, sur demande, vous devez remettre à une personne les renseignements informatisés qu’elle vous a fournis — ou les transmettre à un tiers autorisé par la loi à les recueillir — dans un « format technologique structuré et couramment utilisé » (CSV, XML, JSON). Ne sont visés ni le papier, ni les renseignements obtenus de tiers, ni ceux que vous avez créés ou inférés. Le délai est de 30 jours et le silence vaut refus.

En pratique, la question est simple : vos logiciels (relation client, paie, infolettre, boutique en ligne) permettent-ils cette exportation ? C’est une capacité à exiger par contrat de vos fournisseurs, au moment du renouvellement — pas au moment de la demande.

3. Comment la CAI agit réellement

Beaucoup ont agité le spectre des amendes de 25 M$. Dans les faits, la CAI n’a rendu publique aucune sanction pécuniaire contre une entreprise nommée. Elle procède par ordonnances — cesser l’utilisation de la reconnaissance faciale et détruire les données (2024), interdire la mise en service d’un système biométrique en magasin (2025), réduire une vidéosurveillance jugée excessive (2025) — et par enquêtes conjointes avec les autres autorités canadiennes (TikTok en 2025, un fournisseur d’IA générative en 2026).

La leçon : une ordonnance de cesser et de détruire, c’est un projet technologique mort et un investissement perdu. C’est souvent plus coûteux qu’une amende. Et l’entreprise qui prend un engagement accepté par la CAI et qui le respecte échappe à la sanction administrative pécuniaire : c’est votre meilleur levier si un manquement est constaté.

À surveiller : en 2024-2025, la CAI a reçu 514 avis d’incidents de confidentialité, dont 80 % provenaient du secteur privé. Les causes ne sont pas que technologiques — après les cyberattaques viennent l’erreur humaine, la consultation non autorisée et la communication accidentelle.

4. Le vrai risque financier : l’action collective

C’est le changement le plus important, et il ne vient pas du régulateur. L’article 93.1 prévoit des dommages-intérêts punitifs d’au moins 1 000 $ lorsqu’une atteinte illicite cause un préjudice et qu’elle est intentionnelle ou résulte d’une faute lourde. Multiplié par le nombre de personnes touchées, ce plancher change tout.

5. Deux outils gratuits que vous devriez utiliser

Le 30 janvier 2026, la CAI a publié un guide explicatif et une liste de contrôle sur la prévention des incidents de confidentialité, destinés spécifiquement aux entreprises. C’est le meilleur point de départ opérationnel gratuit qui existe actuellement.

Et le portrait des incidents déclarés en 2024-2025 confirme que la prévention n’est pas qu’une affaire de pare-feu : après les cyberattaques viennent l’erreur humaine, le rançongiciel , la consultation non autorisée  et la communication accidentelle. Autrement dit, la formation du personnel, la gestion des accès et les règles de conservation pèsent aussi lourd que les mesures techniques. La responsabilité est organisationnelle, pas seulement informatique.

8. Votre autodiagnostic 2026

• Un responsable de la protection des renseignements personnels est désigné, et son titre et ses coordonnées sont publiés sur votre site.
• Votre politique de confidentialité est publiée, à jour et rédigée en termes simples et clairs.
• Vos politiques et pratiques de gouvernance sont documentées et accessibles au public.
• Vous tenez un registre des incidents de confidentialité et vous savez qui joint qui dès les premières heures (la loi n’impose pas de délai chiffré : l’avis doit être donné avec diligence).
• Vous avez réalisé une EFVP avant toute communication de renseignements hors Québec, et vos clients en sont informés.
• Vos contrats avec vos fournisseurs (hébergement, infonuagique, paie, marketing) contiennent des clauses de protection des renseignements personnels et d’exportation des données.
• Vous pouvez répondre à une demande de portabilité en 30 jours, dans un format structuré et couramment utilisé.
• Si vous offrez au public un produit ou un service technologique doté de paramètres de confidentialité, ceux-ci assurent par défaut le plus haut niveau de confidentialité (cette obligation ne vise pas les témoins de connexion).
• Vous détruisez ou anonymisez les renseignements lorsque les fins sont accomplies, sous réserve de vos obligations de conservation.
• Vos pratiques de prospection ne reposent pas sur des listes achetées ou moissonnées sans consentement.
• Votre police d’assurance comporte un avenant en matière de cyberrisques (voir notre article sur la cybercriminalité).

En conclusion

En 2023, la question était « serez-vous prêt à temps ? ». En 2026, elle est devenue « pouvez-vous démontrer que vous l’êtes ? ». La conformité ne se prouve pas par de bonnes intentions, mais par des documents datés : politiques, registres, EFVP, contrats, formations.

Nous offrons la rédaction de politiques de confidentialité, la révision de vos contrats de service, l’accompagnement en cas d’incident et la mise en place de vos politiques internes.

Contactez-nous : c’est avec plaisir que nous simplifierons l’intégration de ces obligations au sein de votre entreprise.

Sylvie Bougie, avocate