Gabrielle FortinLes Padres de San Diego ont infligé une quatrième défaite consécutive aux Marlins de Miami ce 24 juillet 2026, l'emportant 4 à 2 grâce à un coup de circuit décisif de Luis Rengifo en huitième manche. La série de défaites de Miami atteint désormais dix matchs consécutifs. Pendant que des dizaines de milliers de Canadiens regardaient la rencontre sur l'application officielle de la MLB, leurs téléphones intelligents transmettaient en continu des données personnelles vers des serveurs américains — souvent à leur insu.
La MLB, championne du monde de la collecte de données
La Ligue majeure de baseball est l'une des organisations sportives les plus avancées au monde en matière d'analytique. Depuis l'introduction du système Statcast en 2015 — perfectionné par la technologie Hawkeye (caméras à haute vitesse et capteurs radar) — chaque aspect du jeu est mesuré avec une précision millimétrique : vitesse de rotation d'un lancer, angle de sortie de la balle, vitesse de sprint d'un joueur. D'après les données publiées par Google Cloud, partenaire technologique officiel de la MLB, un seul match génère aujourd'hui plus de 7 téraoctets de données brutes.
Mais les données de performance des joueurs ne constituent qu'une fraction de ce que la MLB collecte. L'application officielle MLB.com — téléchargée par plus de 40 millions d'utilisateurs en Amérique du Nord, selon les données publiées par la ligue — recueille aussi des informations détaillées sur les fans : localisation GPS en temps réel, historique de navigation dans l'application, préférences de contenu vidéo, habitudes d'achat de billets et données comportementales liées aux publicités visionnées.
Chaque fois qu'un fan canadien ouvre l'application pour suivre la série Padres-Marlins, il contribue à alimenter ce système. Et selon le Commissariat à la protection de la vie privée du Canada, la grande majorité des utilisateurs ne consultent jamais la politique de confidentialité des applications sportives avant de les télécharger.
Ce que la Loi 25 et la LPRPDE imposent concrètement
Pour les résidents canadiens — et pour les entreprises qui opèrent au Canada — cette réalité analytique crée des obligations juridiques que beaucoup ignorent encore.
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (communément appelée Loi 25, pleinement en vigueur depuis septembre 2023) s'applique à toute organisation qui collecte des données de résidents québécois, quelle que soit la localisation géographique de l'entreprise. La MLB, société américaine, doit donc s'y conformer pour ses utilisateurs québécois.
Au niveau fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) s'applique aux organisations des autres provinces canadiennes.
Ces deux lois partagent des exigences clés :
- Consentement explicite et éclairé avant toute collecte de données personnelles, avec possibilité de retrait à tout moment
- Désignation obligatoire d'un responsable de la protection des renseignements personnels au sein de chaque organisation
- Droit à la portabilité : tout résident québécois peut demander à récupérer ses données dans un format structuré et lisible par machine
- Droit à la suppression : les données doivent être détruites sur demande, dans un délai raisonnable
- Analyse d'impact relative à la vie privée (AIVP) obligatoire avant tout déploiement d'un nouveau système de traitement de données à risque élevé
En Québec, les amendes pour non-conformité peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial annuel de l'organisation, selon le montant le plus élevé. Depuis 2024, la Commission d'accès à l'information (CAI) dispose de pouvoirs d'enquête proactive et peut ouvrir des dossiers d'office, sans plainte préalable d'un citoyen.
Ce que les experts en cybersécurité voient dans ce modèle
Pour les professionnels en sécurité informatique qui accompagnent des PME canadiennes, la situation de la MLB illustre un problème systémique : les organisations qui traitent des données comme un avantage compétitif interne ont souvent des angles morts majeurs côté conformité consommateur.
Le problème n'est pas que la MLB collecte des données — c'est que ses pratiques de collecte, parfaitement légales sous le droit américain, entrent parfois en friction avec les exigences plus strictes de la Loi 25 québécoise : absence de version française complète de la politique de confidentialité, paramètres de traçage activés par défaut, difficultés à exercer le droit de suppression en pratique.
Ce fossé entre sophistication analytique et conformité réglementaire est précisément le terrain sur lequel les PME canadiennes commettent les mêmes erreurs — souvent sans le savoir. Si vous collectez des données clients via une application, un outil de CRM ou une plateforme de fidélisation, vous êtes soumis aux mêmes obligations qu'une multinationale. La taille de votre organisation n'allège pas les exigences, même si elle influence le montant des sanctions.
Pour évaluer votre niveau de conformité, vous pouvez consulter un expert en cybersécurité ou en protection des données sur Expert-Zoom, qui peut vous accompagner dans un audit adapté à votre type d'activité et à votre province.
Cas concret : le propriétaire de bar sportif à Montréal
Imaginez un propriétaire de bar sportif à Montréal qui, depuis janvier 2026, utilise une application de gestion de clientèle pour enregistrer les préférences de ses clients réguliers : équipes favorites, types de consommations commandées lors des soirs de matchs MLB, fréquence de visite. L'application collecte également l'adresse courriel et le numéro de téléphone pour envoyer des promotions personnalisées pendant les grandes séries.
Sous la Loi 25, ce propriétaire est soumis aux mêmes obligations que la MLB ou qu'une banque nationale — quelle que soit la taille de son bar.
Si son application de gestion a été déployée sans AIVP préalable et que les clients n'ont pas coché une case distincte (et non pré-cochée) pour consentir explicitement à recevoir des communications marketing, alors le propriétaire s'expose à une sanction administrative de la CAI.
Pour un bar générant 600 000 dollars de chiffre d'affaires annuel :
- Une amende de première infraction peut commencer à 15 000 $, soit 2,5 % du chiffre d'affaires annuel
- En cas d'infraction intentionnelle ou de récidive, elle peut monter à 25 000 000 $ ou 4 % du chiffre d'affaires mondial
À l'inverse, si ce propriétaire fait appel à un expert en cybersécurité pour réaliser un audit de conformité Loi 25 — ce qui prend en général entre 8 et 20 heures selon la complexité des systèmes en place — alors il peut identifier et corriger ses lacunes avant toute enquête de la CAI. Le coût d'un tel audit pour une PME se situe généralement entre 800 $ et 3 000 $, selon le prestataire : un investissement presque toujours inférieur à l'amende minimale applicable.
Ce scénario n'est pas théorique : depuis l'activation des pouvoirs proactifs de la CAI en 2024, plusieurs dossiers ont été ouverts dans les secteurs de la restauration, du commerce de détail et des services aux particuliers — des secteurs où l'adoption d'outils numériques a précédé toute réflexion sur la conformité.
Ce que vous pouvez faire dès aujourd'hui
Pour les fans canadiens de baseball : Vérifiez les paramètres de confidentialité de l'application MLB dans les réglages de votre téléphone. Sous iOS et Android, vous pouvez révoquer les autorisations de localisation, limiter le suivi publicitaire et désactiver les analyses comportementales. Si vous êtes résident québécois, vous avez le droit légal de soumettre une demande de suppression de vos données à l'adresse privacy@mlb.com — un droit garanti par la Loi 25.
Pour les propriétaires d'entreprise : Identifiez tous les outils numériques que vous utilisez et qui collectent des données clients (CRM, applications de fidélisation, formulaires en ligne, outils d'analyse du comportement). Vérifiez si vous avez désigné un responsable de la protection des renseignements personnels — même informellement. Si ces étapes n'ont pas été réalisées, une consultation avec un expert en cybersécurité ou en conformité numérique est recommandée.
Quand appeler un professionnel : Dès que vous collectez des données personnelles de plus de quelques clients de façon systématique, le recours à un expert est justifié — non par excès de prudence, mais parce que les exigences techniques de la Loi 25 (format des AIVP, registre des incidents, délai de notification en cas de bris de confidentialité de 72 heures) sont difficiles à maîtriser sans formation spécialisée.
Les Marlins de Miami ont perdu dix matchs consécutifs malgré l'un des appareils analytiques les plus sophistiqués du baseball professionnel. Leur problème n'est pas le manque de données — c'est de ne pas en tirer les bonnes conclusions au bon moment. Pour votre entreprise, le défi est exactement inverse : vous collectez probablement des données sans savoir précisément comment les protéger ni quelles règles s'y appliquent. Un expert en cybersécurité peut changer cela — avant que la CAI ne le fasse à votre place.
Avertissement : cet article est fourni à titre informatif général. Pour toute situation spécifique liée à la protection des renseignements personnels, consultez un professionnel qualifié en cybersécurité ou en droit de la vie privée.
