Loi 25 du Québec : bannière de témoins (cookies) et exigences de consentement
Depuis le 22 septembre 2023, la Loi 25 exige que les fonctions d’une technologie permettant d’identifier, de localiser ou de profiler un visiteur soient désactivées par défaut jusqu’à ce que celui-ci choisisse de les activer.
Cela vise de nombreux témoins et autres technologies de suivi utilisés pour l’analyse, la publicité, la personnalisation et le profilage.
Les cases précochées et les bannières du type « en poursuivant votre navigation, vous acceptez » ne suffisent pas.
Cette page explique ce qu’une bannière de témoins conforme à la Loi 25 doit faire, à qui la Loi s’applique, quelles sanctions peuvent s’appliquer en cas de non-conformité et comment CookieHub gère les visiteurs québécois.
Ce que la Loi 25 dit des témoins
La Loi 25, anciennement le projet de loi 64, a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé du Québec.
Ses différentes dispositions sont entrées en vigueur progressivement entre septembre 2022 et septembre 2024, et leur application relève de la Commission d’accès à l’information du Québec (CAI).
La disposition particulièrement importante pour les témoins est l’article 8.1, en vigueur depuis le 22 septembre 2023.
Lorsqu’une organisation recueille des renseignements personnels au moyen d’une technologie comprenant des fonctions permettant d’identifier, de localiser ou de profiler une personne, elle doit l’en informer.
Selon les lignes directrices de la CAI, ces fonctions doivent également être désactivées par défaut. La personne doit donc poser un geste pour les activer.
Le Québec n’utilise pas exactement le même critère que l’Europe, où l’on distingue généralement les technologies « strictement nécessaires » des technologies non essentielles.
Sous la Loi 25, ce qui compte avant tout est ce que fait la technologie.
Les témoins et technologies semblables qui permettent d’identifier, de localiser ou de profiler un visiteur ne doivent pas avoir ces fonctions activées par défaut.
En pratique, de nombreux outils d’analyse, de publicité, de personnalisation et de suivi comportemental doivent donc rester inactifs jusqu’à ce que le visiteur fasse un choix.
À l’inverse, un témoin utilisé uniquement pour maintenir un panier d’achat ou une session de connexion, sans fonction d’identification, de localisation ou de profilage au sens de l’article 8.1, n’est pas soumis à cette exigence d’activation.
Ce qu’une bannière de témoins conforme à la Loi 25 doit faire
Une bannière configurée uniquement pour répondre aux exigences générales canadiennes en matière de vie privée peut ne pas suffire au Québec.
Une bannière conforme à la Loi 25 devrait notamment :
Garder les fonctions d’identification, de localisation et de profilage désactivées jusqu’à ce que le visiteur les active :
les technologies concernées ne doivent pas s’activer avant que le visiteur ait posé un geste affirmatif. Une bannière qui se contente d’informer l’utilisateur sans contrôler les technologies de suivi ne suffit pas.
Expliquer clairement les finalités :
le visiteur doit comprendre pourquoi ses renseignements sont recueillis et utilisés. Il devrait également pouvoir obtenir facilement plus d’information sur les technologies utilisées, les tiers concernés et les pratiques en matière de données.
Permettre un choix pour des finalités précises :
le consentement doit être demandé à des fins précises et clairement définies. Lorsque différentes finalités exigent un consentement, le visiteur devrait pouvoir faire les choix appropriés plutôt que d’être obligé d’accepter l’ensemble du suivi.
Ne jamais présumer du consentement :
aucune case précochée, aucun consentement par simple défilement et aucune formule du type « en continuant à utiliser ce site, vous acceptez ». L’absence d’action ne constitue pas un consentement valide.
Permettre le retrait du consentement :
le visiteur doit pouvoir modifier son choix par la suite. Le site devrait offrir un moyen facilement accessible de rouvrir les paramètres de consentement.
Conserver une preuve du consentement :
l’organisation doit pouvoir démontrer qu’un consentement valide a été obtenu. La Loi n’impose pas une méthode technique particulière, mais un journal des consentements enregistrant le choix, le moment et le contexte constitue un moyen pratique de le documenter.
Offrir l’interface en français :
indépendamment des exigences de la Loi 25, les règles linguistiques applicables au Québec exigent généralement que le contenu commercial destiné aux consommateurs québécois soit disponible en français. L’interface de consentement devrait donc également être offerte en français.
Qui doit se conformer à la Loi 25 ?
La Loi 25 s’applique largement aux entreprises du secteur privé qui exercent des activités au Québec.
Une entreprise établie à l’extérieur du Québec peut également être visée lorsque ses activités présentent un lien suffisant avec le Québec, notamment lorsqu’elle offre activement des produits ou services à des personnes au Québec ou recueille leurs renseignements personnels.
Cela peut notamment inclure :
les entreprises qui exploitent une entreprise au Québec, quelle que soit leur taille;
les entreprises établies ailleurs au Canada ou à l’étranger qui servent activement une clientèle québécoise ou recueillent des renseignements personnels auprès de personnes au Québec;
les organismes sans but lucratif, les cabinets professionnels et les fournisseurs de services lorsqu’ils sont assujettis à la Loi.
Il n’existe pas d’exemption générale pour les petites entreprises ni de seuil de chiffre d’affaires une fois que la Loi s’applique.
Les droits des personnes en vertu de la Loi 25
La Loi 25 accorde aux personnes au Québec plusieurs droits concernant leurs renseignements personnels.
La bannière de témoins ne couvre pas l’ensemble de ces droits, mais elle constitue souvent le premier point de contact entre le visiteur et les pratiques de protection des renseignements personnels du site.
Parmi les principaux droits :
Droit d’être informé
Savoir quels renseignements sont recueillis, pourquoi ils le sont et, selon les circonstances, auprès de qui ils sont communiqués.
Droit d’accès
Demander l’accès aux renseignements personnels qu’une organisation détient à son sujet.
Droit de rectification
Demander la correction de renseignements inexacts, incomplets ou équivoques.
Droit de retirer son consentement
Revenir sur un consentement donné précédemment, sous réserve des règles applicables.
Droit à la cessation de diffusion ou à la désindexation
Dans certaines circonstances, demander qu’une organisation cesse de diffuser des renseignements personnels ou désindexe un hyperlien donnant accès à ceux-ci.
Droit à la portabilité
Depuis septembre 2024, demander certains renseignements personnels informatisés dans un format technologique structuré et couramment utilisé, sous réserve des exceptions prévues par la Loi.
Droit d’être informé d’une décision automatisée
Être avisé lorsqu’une décision repose exclusivement sur un traitement automatisé de renseignements personnels et obtenir certaines informations sur ce traitement.
Droit d’être avisé de certains incidents de confidentialité
Lorsqu’un incident présente un risque qu’un préjudice sérieux soit causé, les personnes concernées doivent être avisées conformément aux règles applicables.
Le consentement aux témoins est-il obligatoire dans le reste du Canada ?
Hors Québec, les exigences canadiennes en matière de vie privée varient selon la province, l’organisation et la nature du traitement.
La LPRPDE fédérale ainsi que les lois du secteur privé de l’Alberta et de la Colombie-Britannique peuvent permettre le consentement implicite dans des circonstances appropriées, selon des facteurs comme la sensibilité des renseignements et les attentes raisonnables de la personne.
Le Québec adopte une approche plus précise pour les technologies visées par l’article 8.1 : leurs fonctions d’identification, de localisation et de profilage doivent être désactivées par défaut.
Cette différence peut rendre une bannière unique pour tout le Canada moins précise.
Une configuration fondée uniquement sur l’opt-out peut être insuffisante au Québec lorsqu’une technologie identifie, localise ou profile les visiteurs.
À l’inverse, une configuration d’opt-in stricte appliquée partout au Canada peut demander un consentement explicite dans des situations où les règles applicables permettraient une approche différente.
Une plateforme de gestion du consentement peut donc adapter le comportement de la bannière selon la région du visiteur.
Sanctions en cas de non-conformité à la Loi 25
La Loi 25 a considérablement renforcé les pouvoirs de sanction de la Commission d’accès à l’information.
Selon la nature de l’infraction, les conséquences peuvent notamment comprendre :
Sanctions administratives pécuniaires : jusqu’à 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial de l’exercice financier précédent, selon le montant le plus élevé.
Amendes pénales : jusqu’à 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial pour certaines infractions, avec des montants pouvant être augmentés en cas de récidive.
Recours privés : lorsqu’une atteinte illicite à un droit protégé par la Loi cause un préjudice et résulte d’une faute intentionnelle ou lourde, des dommages-intérêts punitifs d’au moins 1 000 $ peuvent s’appliquer.
Les décisions et ordonnances de la CAI peuvent également être rendues publiques.
Comment rendre votre site web conforme à la Loi 25
Pour les témoins et autres technologies de suivi, le processus peut être résumé en quelques étapes :
Analyser :
repérer les témoins, traceurs et technologies réellement utilisés sur votre site, y compris ceux ajoutés par des scripts tiers, des gestionnaires de balises et des contenus intégrés.
Catégoriser :
déterminer la finalité de chaque technologie et identifier celles qui permettent d’identifier, de localiser ou de profiler les visiteurs.
Bloquer jusqu’au consentement :
s’assurer que les fonctions concernées demeurent désactivées jusqu’à ce que le visiteur les active.
Demander le consentement correctement :
afficher une bannière claire, en français, permettant au visiteur de comprendre ses choix et de les modifier.
Documenter :
conserver une preuve des consentements, tenir à jour les informations sur les témoins et les finalités, et publier une politique de confidentialité appropriée.
Désigner un responsable :
l’entreprise doit identifier la personne responsable de la protection des renseignements personnels conformément à la Loi.
Comment CookieHub gère les visiteurs québécois
CookieHub est une plateforme de gestion du consentement utilisée sur des dizaines de milliers de sites web.
Elle permet d’appliquer un comportement de consentement adapté aux visiteurs du Québec et du Canada.
Consentement préalable pour le Canada
CookieHub détecte la région du visiteur et applique le comportement de consentement configuré pour celle-ci. Par défaut, les nouveaux domaines utilisent le consentement préalable (opt-in) pour tous les visiteurs, y compris ceux du Québec, de sorte que les technologies concernées restent désactivées jusqu’à ce que le visiteur fasse son choix. Des paramètres propres à certaines régions peuvent s’y ajouter, par exemple le groupe « opt-in recommandé » qui inclut le Canada.
Choix par catégorie et retrait facile
Les visiteurs peuvent accepter ou refuser différentes catégories de témoins. Les catégories ne sont pas activées par défaut lorsque le consentement préalable est requis, et l’utilisateur peut rouvrir ses préférences par la suite.
Français et anglais automatiquement
CookieHub prend en charge de nombreuses langues, dont le français et l’anglais, et peut adapter la langue de la bannière au navigateur du visiteur. Les textes peuvent également être personnalisés.
Preuve et suivi des témoins
Les choix des visiteurs peuvent être consignés afin de fournir une preuve du consentement et de son retrait. Le scanner CookieHub aide à détecter les témoins utilisés sur le site et à maintenir la déclaration de témoins à jour lorsque le site évolue.
Conformez-vous à la Loi 25 plus facilement
Ajoutez CookieHub à votre site, analysez les technologies utilisées et configurez une bannière adaptée aux visiteurs québécois.
CookieHub peut empêcher les technologies concernées de s’activer avant le consentement, enregistrer les choix des visiteurs et maintenir votre déclaration de témoins à jour.
Gratuit pour les petits sites, sans carte de crédit.
Questions fréquentes sur la Loi 25 et les témoins
Si votre site utilise une technologie comprenant des fonctions permettant d’identifier, de localiser ou de profiler un visiteur, vous devez tenir compte des exigences de l’article 8.1.
Cela peut notamment concerner des outils d’analyse, des pixels publicitaires, des cartes de chaleur, des contenus intégrés et d’autres technologies de suivi.
Si un témoin ne comprend aucune fonction d’identification, de localisation ou de profilage au sens de l’article 8.1, l’exigence particulière de désactivation par défaut ne s’applique pas nécessairement à cette technologie.
D’autres obligations de transparence ou de consentement peuvent néanmoins s’appliquer lorsqu’il y a collecte de renseignements personnels.
Les configurations standards de Google Analytics utilisant des identifiants et des témoins peuvent comporter des fonctions permettant de reconnaître un visiteur d’une visite ou d’une page à l’autre.
Ces fonctions doivent être évaluées au regard de l’article 8.1 et, lorsqu’elles permettent d’identifier, de localiser ou de profiler une personne, elles doivent être désactivées par défaut jusqu’à ce que le visiteur les active.
Les méthodes de mesure ne reposant pas sur ces fonctions doivent être évaluées séparément.
Non.
La Loi 25 et le RGPD sont deux régimes juridiques différents.
Pour de nombreuses technologies de suivi, leur résultat pratique peut toutefois être semblable : certains mécanismes d’identification et de profilage ne doivent pas être activés automatiquement, et un consentement valide doit être clair, libre et donné pour des finalités précises.
Une bannière réellement conforme aux exigences européennes constitue donc souvent un bon point de départ pour le Québec, mais elle ne couvre pas automatiquement toutes les obligations de la Loi 25.
La Loi 25 prévoit notamment ses propres règles concernant le responsable de la protection des renseignements personnels, les évaluations des facteurs relatifs à la vie privée et certaines communications de renseignements personnels à l’extérieur du Québec.
Elle peut s’appliquer.
Une entreprise située ailleurs peut être assujettie à la Loi lorsqu’elle exploite une entreprise au Québec ou lorsque ses activités présentent un lien suffisant avec le Québec.
Une entreprise qui commercialise activement ses services auprès de personnes au Québec ou recueille leurs renseignements personnels devrait donc examiner sérieusement son assujettissement plutôt que supposer que sa localisation à l’extérieur de la province suffit à l’exclure.
Un renseignement personnel est un renseignement qui concerne une personne physique et permet de l’identifier directement ou indirectement.
Selon leur utilisation et leur contexte, cela peut notamment comprendre des adresses IP, des identifiants d’appareil, des identifiants associés à des témoins et certaines données comportementales.
Un renseignement personnel est considéré comme sensible lorsque, en raison de sa nature ou du contexte de son utilisation ou de sa communication, il suscite un degré élevé d’attente raisonnable en matière de vie privée.
Cela peut notamment inclure certaines données médicales, biométriques, génétiques ou financières ainsi que d’autres renseignements particulièrement intimes.
Le consentement requis pour l’utilisation d’un renseignement personnel sensible doit être manifeste.
La Commission d’accès à l’information du Québec (CAI).
Elle peut enquêter sur les pratiques des organisations, rendre des ordonnances et imposer des sanctions administratives dans les situations prévues par la Loi.
Les organismes publics québécois sont régis principalement par un autre régime législatif que celui applicable aux entreprises du secteur privé.
Certaines activités ou catégories de renseignements peuvent également faire l’objet d’exclusions ou de règles particulières.
Il n’existe toutefois pas d’exemption générale pour les petites entreprises simplement en raison de leur taille.
La Commission d’accès à l’information publie le texte de la Loi, des lignes directrices sur le consentement ainsi que des informations sur les témoins et autres technologies de suivi.
Ces ressources sont disponibles sur le site de la CAI.
Dernière mise à jour:
Avis de non-responsabilité: Les informations fournies sur cette page sont fournies à titre indicatif uniquement et ne constituent pas un avis juridique ou réglementaire. La réglementation relative à la confidentialité des données est complexe et sujette à de fréquentes mises à jour, interprétations et variations juridictionnelles. Bien que nous mettions tout en œuvre pour maintenir ce document exact et à jour, nous ne pouvons garantir son exhaustivité ni son applicabilité à votre situation particulière. Pour toute question relative à la conformité ou aux obligations légales, veuillez consulter des juristes qualifiés ou les autorités réglementaires compétentes.
