Les amendes ne sont pas au menu.

Pour les infractions graves, les tribunaux peuvent aller beaucoup plus loin — jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le plus élevé. Les amendes pour les entreprises commencent à 15 000 $ et doublent en cas de récidive.

Le régulateur québécois de la vie privée (la Commission d'accès à l'information) peut imposer des sanctions administratives directement — sans passer par un tribunal — pour la collecte ou l'utilisation de renseignements personnels en violation de la loi, l'omission de déclarer un incident de confidentialité, ou le défaut de protéger les données détenues. Le plafond est de 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le plus élevé.

La Loi 25 donne aux individus un droit d'action privé avec des dommages-intérêts minimaux de 1 000 $ par personne lorsque leurs droits en matière de vie privée sont violés — et les actions collectives multiplient ce montant par chaque client touché.

Depuis la Loi 96, une entreprise qui enfreint la Charte s'expose à des amendes de 3 000 $ à 30 000 $ par infraction — doublées à la deuxième infraction et triplées ensuite. Chaque jour où une violation se poursuit peut compter comme une infraction distincte : un site uniquement en anglais, ce n'est pas une amende, c'est un compteur qui tourne.

Une dizaine d'entreprises ont été mises à l'amende en 2023 seulement, à la suite de plaintes selon lesquelles le contenu de leur site web n'était pas offert en français; des détaillants dont URBN Canada et Waterco ont écopé d'environ 3 000 $ chacun pour du contenu en ligne uniquement en anglais. Les poursuites liées au contenu web remontent à une décennie.

L'OQLF a reçu près de 6 900 plaintes en une seule année (2022-2023), dont plus d'une sur dix visait des sites web. Un seul client mécontent, un concurrent ou un passant qui remplit un formulaire suffit à ouvrir un dossier sur votre entreprise.

En une seule année (2023-2024), la Commission d'accès à l'information a reçu 444 déclarations d'incidents de confidentialité et suivi des centaines de dossiers connexes. Le mécanisme d'application est récent, les enquêtes sont réelles, et la Commission publie ses décisions.

L'OQLF publie chaque année la liste des entreprises condamnées, et les sites web y figurent régulièrement. En 2021 seulement : Le Marché Fooderie et Cible Jeu (1 500 $ chacune, publications commerciales incluant leur site), l'agence immobilière Qiang Zhong Inc. (1 500 $, site uniquement en anglais) et Diebold Nixdorf Canada (1 500 $). Ces montants relevaient de l'ANCIEN régime — la Loi 96 a depuis porté le plancher à 3 000 $ par infraction, par jour.

Le régulateur québécois, conjointement avec ses homologues fédéral et provinciaux, a jugé illégale la collecte massive d'images sans consentement par une entreprise de reconnaissance faciale et lui a ordonné de détruire toute image et tout profil biométrique collectés auprès de Québécois dans un délai de 90 jours.