À retenir
- Sur 10 mesures publiées de la CAI et du Commissariat, cinq visent des caméras ou des visages et trois visent les données d’entraînement de l’IA. Aucune ne concerne les bannières de témoins ni les politiques de confidentialité sur papier.
- La CAI a eu recours trois fois à des ordonnances exécutoires, toutes contre la surveillance physique : la reconnaissance faciale en épicerie, la reconnaissance faciale au travail et les caméras de bord qui filmaient les cabines de camions. Le motif, c’est le corps, pas le navigateur.
- Aucune sanction pécuniaire ne figure dans les 10 dossiers. L’arme privilégiée est la décision publiée ou l’ordonnance corrective, ce qui signifie que le risque réputationnel arrive bien avant toute amende.
Compter ce que les organismes ont vraiment fait
Mon site suit les mesures d’application publiées par la CAI du Québec et le Commissariat fédéral. Le compteur : 10 dossiers, cinq chacun ; trois ordonnances exécutoires, toutes de la CAI ; sept décisions d’enquête ; de septembre 2024 à juin 2026.
Classées selon ce que le régulateur a vraiment visé, le résultat devrait changer la façon dont vous dépensez votre budget de conformité.
| Cible | Dossiers | Part des 10 |
|---|---|---|
| Caméras et visages (reconnaissance faciale, vidéo en cabine) | 3 | 30 % |
| Données d’entraînement de l’IA (ChatGPT, TikTok, Grok) | 3 | 30 % |
| Conservation excessive (données de fidélité, portables revendus) | 2 | 20 % |
| Droits individuels (déréférencement, consentement photo) | 2 | 20 % |
| Bannières de témoins, flux de consentement, politiques papier | 0 | 0 % |
Personne n’a été condamné à une amende : chaque champ de pénalité du suivi affiche zéro. La Loi 25 donne à la CAI le pouvoir d’imposer des sanctions administratives pécuniaires. Elle ne s’en est pas servie une seule fois dans le dossier publié. La morsure, c’est l’ordonnance et la publication.
Le dossier des caméras
Les trois ordonnances de la CAI se lisent comme un guide de terrain de la surveillance physique qui a mal tourné.
Metro inc., février 2025. L’épicier prévoyait un projet pilote de reconnaissance faciale dans ses bannières Metro, Super C et Jean Coutu pour repérer d’anciens voleurs, ce qui exigeait une banque de caractéristiques biométriques. La CAI a interdit la mise en service de la banque : vérifier l’identité par la biométrie exige un consentement exprès, jamais obtenu des clients.
Société Imprimeries Transcontinental, septembre 2024. Une imprimerie utilisait la reconnaissance faciale pour l’accès des employés, un système né à l’époque du dépistage de la température pendant la COVID et conservé après. La CAI lui a ordonné de cesser de recueillir les données biométriques faciales de ses employés, de cesser d’utiliser le système et de détruire les gabarits dans un délai de 90 jours.
Crane Supply, mai 2025. Des camions de livraison équipés de caméras de bord filmant l’intérieur de la cabine, en enregistrement continu sur des périodes de 14 jours. La CAI a ordonné de limiter la collecte à quelques secondes autour des incidents, d’arrêter l’enregistrement après l’arrêt du moteur, de détruire les images excédentaires et de restreindre l’accès.
Trois ordonnances, une leçon : pointez une caméra vers des personnes et votre justification doit tenir. La CAI n’attend pas la fin d’un cycle de plaintes.
Le dossier de l’IA
Les trois dossiers d’IA sont arrivés sous forme d’enquêtes conjointes ou initiées par le commissaire, et ils tournent tous autour de la même question : aviez-vous un fondement licite pour les renseignements personnels injectés dans le modèle?
Les conclusions conjointes sur OpenAI ont établi que la collecte initiale des données d’entraînement de ChatGPT était excessive et non conforme à la Loi sur le secteur privé du Québec, avec quatre recommandations. L’enquête conjointe de septembre 2025 sur TikTok a examiné les pratiques visant les données des mineurs. L’enquête du Commissariat de juin 2026 sur Grok de xAI a été jugée fondée et non résolue : aucun consentement valide pour l’utilisation de renseignements personnels dans la génération d’hypertrucages sexuellement explicites, une fin qu’une personne raisonnable jugerait inappropriée.
Remarquez ce qui manque. Aucun de ces dossiers ne conteste qu’on construise de l’IA. Ils contestent le pipeline de données en dessous : collecte sans consentement, finalités indéfendables, aucun moyen réel de retirer ses données. Si vous déployez des fonctions d’IA, vos données d’entraînement et d’entrée sont la surface d’application, pas la fiche du modèle.
Le dossier de la conservation
Les deux dossiers de conservation sont les plus discrets, et ceux que la plupart des organisations devraient craindre le plus.
Loblaw a conservé l’historique d’achat des membres PC Optimum après la suppression de leur compte, soutenant que le retrait des identifiants directs rendait les données anonymes. Le Commissariat a jugé la suppression déraisonnablement lente et l’anonymisation non démontrée. Staples a revendu des portables retournés dans son programme Boîte ouverte sans effacer adéquatement les données des clients précédents, avec des procédures et une formation jugées insuffisantes.
Les vieilles données conservées « au cas où » sont le multiplicateur classique des atteintes. Ces deux décisions disent ce que disent les dossiers de caméras : ce qu’on examine, c’est l’empreinte physique et opérationnelle de vos pratiques de données. Votre calendrier de conservation est le document qui décidera si un dossier de 2019 refait surface dans un incident de 2026.
Les deux cas particuliers à retenir
Google s’est vu recommander de déréférencer des articles vieux de dix ans sur une accusation criminelle suspendue d’un plaignant dans les recherches par nom, une conclusion non acceptée par l’entreprise. Une piscine qui faisait des photos promotionnelles d’enfants une condition des cours a été jugée avoir lié le consentement au service de façon illicite. Les deux rappellent que les dossiers de droits individuels aboutissent encore, et que « tout le monde le fait » n’a jamais été une défense.
La question à laquelle personne ne peut répondre encore
Dix dossiers, zéro amende, trois ordonnances contre des caméras. Le motif est lisible. Ce qui ne l’est pas, c’est de savoir si le pouvoir de sanction pécuniaire de la CAI restera théorique pour toujours, et si les enquêtes conjointes sur l’IA produiront quelque chose qu’une entreprise doit respecter plutôt que négocier. Le Québec a écrit le plus gros bâton du droit canadien de la protection des renseignements personnels. Deux ans après la pleine entrée en vigueur, il a tout brandi sauf ce bâton-là.
Mesure concrète : Sortez cette semaine vos trois collectes de données physiques ou opérationnelles les plus risquées : caméras, biométrie, bases de fidélité ou de conservation, toute fonction d’IA qui touche des renseignements personnels. Pour chacune, notez le fondement du consentement, l’horloge de conservation et la preuve de destruction. S’il manque une réponse, vous savez quel dossier le régulateur ouvrirait en premier.