ANALYSE

Code de la route : les règles étaient déjà en vigueur. Ce qui a changé, c'est le ton.

Publié le 2026-10-02 par Marketingz, Laval.

Plusieurs organismes de réglementation ont fait parler d'eux cet été. L'organisme canadien qui encadre le pourriel a dit s'attendre à une meilleure conformité. La Federal Trade Commission (FTC) des États-Unis a réglé des accusations contre une entreprise de marketing au sujet d'un service d'IA. Une autorité néerlandaise a imposé à Uber une amende de 825 millions € pour des suspensions automatisées de chauffeurs. Mises ensemble, ces nouvelles ont l'air d'une offensive contre le marketing.

La thèse de ce numéro est plus étroite : pour une entreprise de Laval, les règles canadiennes et québécoises qui s'appliquent à elle aujourd'hui étaient déjà en vigueur avant toutes ces nouvelles, et les rapports d'application consultés ici ne montrent pas de sanctions qui tombent sur les petits annonceurs. Les règles européennes font exception : certaines sont entrées en vigueur cet été, mais elles ne visent une entreprise de Laval que dans des cas précis. Ce qui a changé, c'est la position affichée par les organismes de réglementation. C'est une raison de régler les bases maintenant, pendant que ça coûte peu. Ce n'est pas une preuve que des amendes s'en viennent. Chaque chiffre renvoie à sa source, à côté de l'affirmation. Les sources sont citées telles qu'elles étaient le 2 octobre 2026. Là où les preuves sont minces, ce numéro le dit.

En bref

• La Loi canadienne anti-pourriel (LCAP) s'applique à tout courriel ou texto commercial qu'envoie une entreprise de Laval. Ses règles sur le consentement et l'identification de l'expéditeur sont déjà dans la loi (CASL s. 6). L'organisme de réglementation parle maintenant d'une « attente accrue » en matière de conformité (emailexpert, 26 août 2026), mais ses six derniers mois rapportés comptent 11 lettres d'avertissement ou d'information et aucune nouvelle sanction pécuniaire annoncée.
• La loi québécoise sur la protection des renseignements personnels dans le secteur privé oblige déjà une entreprise à publier qui est responsable des renseignements personnels, et à informer les gens quand une décision les concernant a été prise uniquement par un logiciel (CAI, Principaux changements apportés par la Loi 25).
• Le dossier de la FTC s'est réglé par une entente; une entente n'est pas une conclusion d'un tribunal. Le Canada a sa propre règle contre les indications fausses ou trompeuses faites pour promouvoir une entreprise (Competition Act s. 52(1)).
• Le règlement européen sur l'IA et le RGPD ne visent une entreprise de Laval que dans des cas précis : quand les résultats de son IA sont utilisés dans l'Union européenne, ou quand elle offre des biens ou des services à des personnes dans l'UE ou suit leur comportement là-bas.

L'application de la LCAP se durcit-elle, ou seulement le discours?

D'après ce qui a été publié jusqu'ici, le discours. Les six derniers mois comptent 11 lettres d'avertissement ou d'information et aucune nouvelle sanction pécuniaire annoncée.

Du 1er octobre 2025 au 31 mars 2026, le Centre de notification des pourriels du Canada a reçu 189 908 signalements, soit une moyenne de 7 304 par semaine. Pendant ces six mois, le CRTC a émis « 11 lettres d'avertissement ou d'information, 96 avis de communication et deux demandes de préservation », et le rapport « n'annonce aucune nouvelle sanction pécuniaire pour la période » (emailexpert, 26 août 2026). Le même résumé rapporte la déclaration du CRTC selon laquelle il existe « une "attente accrue" que les entreprises se conforment ». La page du CRTC pour cette période (CRTC, Enforcing CASL, period ending 31 March 2026) n'a pas pu être consultée pour ce numéro; ces chiffres sont donc présentés tels qu'emailexpert les rapporte.

Parmi les plaintes déposées au moyen du formulaire détaillé, 93 % invoquent l'absence de consentement et 48 % un expéditeur impossible à identifier. Ce sont justement les deux choses que la LCAP exige de chaque message commercial : le destinataire a donné son consentement, exprès ou tacite, et le message indique qui l'envoie, comment le joindre et comment se désabonner (CASL s. 6). Le consentement tacite ne couvre que quelques cas précis, comme une relation d'affaires en cours, ou une adresse que la personne a publiée bien en vue sans mention refusant les messages non sollicités, quand le message est pertinent pour sa fonction (CASL s. 10(9)). La loi s'applique quand un système informatique situé au Canada sert à envoyer le message ou à y accéder (s. 12(1)); elle couvre donc les courriels et les textos commerciaux qu'envoie une entreprise de Laval. Pour une petite entreprise, le graphique montre sur quoi une plainte risque le plus de porter. Une trace datée de la façon dont chaque contact a accepté d'avoir de vos nouvelles, plus le nom de votre entreprise, un moyen de vous joindre et un lien de désabonnement qui fonctionne dans chaque message, règlent les deux motifs les plus souvent invoqués.

Le dernier rapport, tel que résumé par emailexpert, ne fait état d'aucune sanction contre une petite entreprise pour du marketing par courriel. C'est ce que montre ce rapport, pas une preuve qu'aucun cas du genre n'existe. Le plafond reste de 10 millions $ par violation pour une entreprise et de 1 million $ pour un particulier (CASL s. 20(4)). Ce que ce rapport ne peut pas vous dire, c'est si l'« attente accrue » se traduira par des sanctions contre les expéditeurs ordinaires. Le prochain rapport du CRTC en montrera davantage.

Qu'est-ce que la loi québécoise sur la protection des renseignements personnels exige déjà d'une entreprise de Laval?

Trois choses comptent le plus : publier qui est responsable des renseignements personnels, informer les gens quand un logiciel a pris seul une décision à leur sujet et leur permettre de demander qu'une personne la révise, et respecter les règles de consentement en vigueur depuis septembre 2023. La Loi 25 du Québec a modifié la loi provinciale sur la protection des renseignements personnels dans le secteur privé : certains changements s'appliquent depuis septembre 2022, d'autres depuis septembre 2023, et le droit à la portabilité des données depuis le 22 septembre 2024 (CAI, Principaux changements apportés par la Loi 25). Une entreprise qui exerce ses activités à Laval est visée.

En détail, selon la Commission d'accès à l'information (CAI), l'organisme québécois de surveillance en matière de renseignements personnels :

• Une personne responsable désignée. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, habituellement le propriétaire. Le rôle peut être délégué par écrit, en tout ou en partie, et le titre et les coordonnées de cette personne doivent être publiés sur le site Web de l'entreprise (CAI, Responsable de la protection des renseignements personnels).
• Avis de décision automatisée. Quand une décision concernant une personne est fondée exclusivement sur un traitement automatisé de ses renseignements personnels, l'entreprise doit l'en informer, au plus tard au moment où elle lui fait part de la décision. Elle doit aussi lui donner l'occasion de présenter ses observations à un membre du personnel qui peut réviser la décision (CAI, Principaux changements apportés par la Loi 25).
• Consentement. De nouvelles règles sur le consentement à la collecte, à l'utilisation et à la communication des renseignements personnels s'appliquent depuis septembre 2023 (même page de la CAI).

Les sanctions sont précisées par la CAI. Les sanctions administratives pécuniaires peuvent atteindre 10 millions $ ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Ne pas informer une personne d'une décision exclusivement automatisée, ou de son droit de la faire réviser, figure parmi les manquements qui peuvent en entraîner une. Les amendes pénales pour une entreprise vont de 15 000 $ jusqu'à 25 millions $ ou 4 % du chiffre d'affaires mondial de l'année précédente, selon le montant le plus élevé, et doublent en cas de récidive (CAI, Sanctions). Les sources consultées pour ce numéro ne disent pas à quelle fréquence la CAI a utilisé ces pouvoirs, ni contre des entreprises de quelle taille. Cette lacune est réelle, et rien ici ne doit être lu comme voulant dire que de petites entreprises reçoivent des amendes.

Le point pratique pour une entreprise de Laval est plus étroit que les montants des sanctions. Si un logiciel décide seul de quelque chose au sujet d'une personne, comme refuser une demande, fermer un compte ou signaler un paiement, la loi québécoise vous oblige déjà à l'en informer et à lui permettre de joindre une personne qui peut réviser la décision. La CAI place la responsabilité des renseignements personnels sur l'entreprise qui les détient (CAI, Principaux changements apportés par la Loi 25), peu importe l'outil qui prend la décision.

Une entreprise peut-elle avoir des ennuis à cause de ce qu'elle dit sur l'IA?

Aux États-Unis, une entreprise de marketing vient de payer pour régler des accusations portant sur ce qu'elle disait qu'un service d'IA pouvait faire. Au Canada, la règle générale contre les indications trompeuses couvre déjà ce cas.

Le 27 août 2026, la FTC a approuvé de façon définitive, par un vote de 2 contre 0, des ententes de consentement avec CMG Media Corporation, qui fait affaire sous le nom de Cox Media Group, et deux autres entreprises. La FTC reprochait aux entreprises d'avoir « trompé leurs clients en prétendant faussement offrir un service propulsé par l'IA capable de cibler des publicités locales à partir de conversations captées par les appareils intelligents des consommateurs ». Cox Media Group doit payer 880 000 $, et MindSift LLC et 1010 Digital Works LLC, 25 000 $ chacune. L'argent servira à dédommager les clients de CMG touchés (FTC, 27 août 2026). Il s'agit de règlements d'accusations. Le communiqué décrit ce que la FTC alléguait, pas une conclusion d'un tribunal selon laquelle les allégations sont fondées.

La FTC applique la loi américaine, et les sources consultées ici ne permettent pas de dire si, ou comment, elle pourrait viser une entreprise du Québec. Les règles canadiennes sont plus proches. En vertu de la Loi sur la concurrence, nul ne peut, pour promouvoir un produit ou un intérêt commercial quelconque, donner sciemment ou sans se soucier des conséquences des indications au public qui sont fausses ou trompeuses sur un point important (Competition Act s. 52(1)). La Loi traite aussi les indications trompeuses comme un comportement susceptible d'examen en matière civile, où l'intention n'a pas à être démontrée (s. 74.01). Le commissaire de la concurrence est chargé de l'administration et de l'application de la Loi (s. 7(1)). Rien dans cet article ne vise précisément l'IA. Il s'applique à Laval aujourd'hui aux affirmations qu'une entreprise fait au public, y compris celles sur ce qu'un outil d'IA fait pour ses clients. La bonne habitude, qui ne coûte rien : ne reprenez pas dans votre propre marketing ce qu'un fournisseur affirme sur les capacités de son outil sans l'avoir vérifié. Il s'agit d'un seul dossier américain, et il ne montre aucune tendance, dans un sens ou dans l'autre.

Le règlement européen sur l'IA et l'amende d'Uber visent-ils une entreprise de Laval?

Seulement dans des cas précis, que chaque loi définit.

Le règlement européen sur l'IA. Ses règles de transparence, à l'article 50, s'appliquent depuis le 2 août 2026. L'omnibus numérique de l'UE, en vigueur depuis le 27 juillet 2026, a repoussé les échéances pour les systèmes à haut risque au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour l'IA intégrée à des produits réglementés comme les machines, les jouets et les ascenseurs. Les systèmes génératifs déjà sur le marché ont jusqu'au 2 décembre 2026 pour marquer leurs contenus synthétiques dans un format lisible par machine (euaiact.com, implementation timeline, consulté le 2 octobre 2026). Le règlement vise les fournisseurs et les déployeurs situés hors de l'UE quand les résultats produits par leur système d'IA sont utilisés dans l'Union (article 2(1)(c)). Pour une entreprise qui utilise des outils d'IA (un « déployeur »), l'article 50 exige de divulguer qu'une image, un contenu audio ou une vidéo hypertruqués ont été générés ou manipulés artificiellement. Il exige aussi de divulguer un texte généré par l'IA publié dans le but d'informer le public sur des questions d'intérêt public, à moins qu'une personne l'ait révisé et que quelqu'un en assume la responsabilité éditoriale (article 50(4)). Dire aux gens qu'ils interagissent avec un système d'IA, et marquer les contenus dans un format lisible par machine, sont des obligations des fournisseurs, les entreprises qui conçoivent les outils (article 50(1) et (2), même lien). Une entreprise de Laval dont les résultats d'IA ne sont pas utilisés dans l'UE n'est pas visée. Une entreprise dont les résultats d'IA y sont utilisés l'est.

L'amende d'Uber. L'autorité néerlandaise de protection des données a imposé à Uber une amende de 825 millions €, soit environ 966 millions $ US. L'autorité a conclu qu'Uber avait « commis des infractions graves » en désactivant des comptes de chauffeurs au moyen de processus automatisés, sans avertissement suffisant ni supervision humaine suffisante. Uber conteste ces conclusions, affirme qu'aucune désactivation permanente n'a lieu sans examen humain, et portera la décision en appel. TechCrunch la décrit comme la deuxième sanction en importance imposée en vertu du RGPD (TechCrunch, 23 août 2026). C'est une décision portée en appel, pas un résultat final.

Le RGPD ne vise une entreprise située hors de l'UE que lorsqu'elle traite les données personnelles de personnes se trouvant dans l'UE dans le cadre d'une offre de biens ou de services à ces personnes, ou du suivi de leur comportement là-bas (GDPR Article 3(2)). Pour toute entreprise de Laval, la règle sur les décisions automatisées qui s'applique dans tous les cas est celle du Québec, décrite plus haut. Elle est plus étroite que celle du RGPD. La CAI décrit une obligation d'informer et d'offrir une révision, alors que le RGPD donne le droit de ne pas faire l'objet d'une telle décision du tout, sauf exceptions (GDPR Article 22). Le dossier d'Uber montre une autorité européenne qui agit contre des décisions automatisées qu'elle a jugées dépourvues d'une supervision humaine suffisante. Les sources consultées ici ne disent pas si la CAI agira de la même façon au Québec.

À surveiller

• Le prochain rapport du CRTC sur la LCAP, qui couvrira d'avril à septembre 2026, montrera si l'« attente accrue » a mené à des sanctions, et contre qui.
• Toute décision publiée de la CAI imposant une sanction pécuniaire en vertu de la loi sur le secteur privé, qui montrerait comment les plafonds de 2 % et de 10 millions $ s'appliquent en pratique.
• L'appel d'Uber contre la décision néerlandaise.
• L'échéance du 2 décembre 2026 pour le marquage en vertu du règlement européen sur l'IA, et la question de savoir si les dates de décembre 2027 et d'août 2028 pour le haut risque tiendront, après avoir déjà été repoussées une fois.

Des questions, ou une correction : marketingz@campaigncrush.org ou (438) 813-2465.