Loi 25 et témoins : ce que votre bannière de consentement doit vraiment faire

La Loi 25 en trois dates

La Loi 25, anciennement projet de loi 64, a modernisé par étapes la loi québécoise sur la protection des renseignements personnels dans le secteur privé. Depuis le 22 septembre 2022, chaque entreprise doit avoir une personne responsable de la protection des renseignements personnels et déclarer les incidents de confidentialité qui présentent un risque de préjudice sérieux. Depuis le 22 septembre 2023, la plupart des autres obligations s'appliquent : politique de confidentialité en termes clairs, consentement plus strict, évaluations des facteurs relatifs à la vie privée dans certains cas, et règles sur les technologies de suivi. Depuis le 22 septembre 2024, une personne peut aussi obtenir ses renseignements dans un format technologique structuré et couramment utilisé.

Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 millions de dollars ou 4 %. Ce sont des maximums, pensés pour les cas graves, mais « on ne savait pas » n'est pas une stratégie.

Ce qui compte comme technologie de suivi

La loi vise les technologies qui permettent d'identifier, de localiser ou de profiler une personne. Sur le site d'une PME :

• les outils d'analyse comme Google Analytics ;
• les pixels publicitaires : Meta, Google Ads, LinkedIn, TikTok ;
• l'enregistrement de sessions et les cartes de chaleur ;
• le contenu intégré qui dépose ses propres témoins : YouTube, Google Maps, fils de réseaux sociaux ;
• les widgets de clavardage et certains services antipourriel qui transmettent des données à un tiers.

Ne compte habituellement pas : les témoins nécessaires au fonctionnement du site, comme le panier d'achat, la session de connexion ou le témoin qui mémorise le choix de consentement.

Désactivé par défaut, ça veut dire désactivé

La règle de base : informer les gens de ces technologies et des moyens de les activer, et garder leurs fonctions d'identification, de localisation ou de profilage éteintes d'ici là. L'application exacte aux témoins de navigateur fait débat chez les juristes. La lecture prudente, celle que nous appliquons, c'est le consentement préalable pour tout ce qui n'est pas essentiel.

Une bannière qui fait son travail :

1. Ne charge rien de non essentiel avant le choix du visiteur.
2. Donne le même poids à « Accepter » et à « Refuser » : même taille, même visibilité, même nombre de clics.
3. Explique chaque catégorie en mots simples. « Mesurer les visites pour améliorer le site (Google Analytics) » vaut mieux que « Témoins de performance ».
4. Permet de changer d'idée plus tard, grâce à un lien dans le pied de page.
5. S'affiche en français aux visiteurs québécois, ce qui relève aussi de la Loi 96.
6. Renvoie à votre politique de confidentialité.

Ce qui ne passe pas : « En poursuivant votre navigation, vous acceptez les témoins. » Les cases précochées. Un bouton « Refuser » caché sur un deuxième écran.

Conseil pratique : fenêtre privée, outils de développement ouverts, onglet Réseau filtré sur « google » ou « facebook ». Chargez la page. Si quelque chose apparaît avant que vous cliquiez sur « Accepter », votre bannière est décorative.

Analytique et pixels sans perdre le nord

Vous mesurerez moins de visites, puisque certains refuseront. C'est justement le but. Quelques pistes :

• Remettez chaque outil en question. Un pixel installé pour une campagne il y a trois ans est un risque, pas un actif.
• Avec le mode Consentement de Google, faites attendre les balises. Le mode « avancé » envoie des signaux sans témoins avant le choix, ce qui se défend mal sous une lecture prudente de la loi.
• Envisagez un outil d'analyse sans témoins, à mentionner quand même dans votre politique.
• La plupart des plateformes d'analyse et de publicité traitent les données hors Québec ; avant une telle communication, la loi exige une évaluation des facteurs relatifs à la vie privée. Pour une PME, un court exercice documenté peut suffire, mais il doit exister.

La politique de confidentialité et la personne responsable

Si vous recueillez des renseignements personnels par un moyen technologique, ce que fait tout site avec un formulaire ou un outil d'analyse, vous devez publier une politique de confidentialité en termes simples et clairs. Au minimum, elle indique :

• quels renseignements vous recueillez, et par quels formulaires et outils ;
• pourquoi, et ce que vous en faites ;
• quels tiers les reçoivent, et s'ils sortent du Québec ;
• combien de temps vous les conservez ;
• comment consulter ou rectifier ses renseignements, ou retirer son consentement ;
• le titre et les coordonnées de la personne responsable.

Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, souvent le propriétaire ; la fonction peut être déléguée par écrit. Une adresse courriel dédiée fait l'affaire, à condition que quelqu'un la lise.

Un modèle californien ou français citera les mauvaises lois. Et oui, la politique doit être en français.

Formulaires et conservation des données

Le formulaire de contact est le principal point de collecte d'une PME.

• Ne demandez que le nécessaire. Si vous ne rappelez jamais, le téléphone n'a pas à être obligatoire.
• Dites pourquoi, à côté du formulaire : « Nous utilisons ces renseignements pour répondre à votre demande. Voir notre politique de confidentialité. »
• Séparez le consentement marketing. La case de l'infolettre est décochée au départ, et la Loi canadienne anti-pourriel (LCAP) s'applique en plus.
• Vérifiez où vont les envois. Bien des extensions WordPress conservent chaque entrée indéfiniment, en plus de l'envoyer par courriel. Fixez une durée de conservation et purgez automatiquement.

La Loi 25 exige que les renseignements personnels soient détruits ou anonymisés une fois les fins de leur collecte atteintes, sous réserve des délais prévus par d'autres lois. « On garde tout, au cas où » n'est plus une politique.

Une configuration WordPress légère

Ce que nous mettons en place sur les sites de nos clients :

1. Un inventaire de chaque script et intégration. Ce qui ne sert à personne disparaît.
2. Un seul outil de consentement, bilingue, qui bloque réellement les scripts jusqu'au choix du visiteur, avec des boutons équivalents et sans ralentissement perceptible.
3. Les scripts tiers chargés par cet outil, pas codés en dur dans le thème.
4. YouTube en mode confidentialité avancée ou derrière une image « cliquer pour charger ». Même chose pour les cartes.
5. Les entrées de formulaires supprimées automatiquement après une période définie.
6. Une page de politique de confidentialité et un lien dans le pied de page pour rouvrir les réglages de témoins.
7. Un test en navigation privée après chaque changement touchant le suivi.

Ensuite, mettez-le par écrit : un résumé d'une page vaut plus que n'importe quel badge sur votre bannière.

Ce texte est de l'information générale, pas un avis juridique. La Commission d'accès à l'information (CAI) publie des guides pour les entreprises ; pour votre situation précise, consultez-la ou un avocat.

Vous voulez faire vérifier tout ça ? Notre audit Loi 96 et Loi 25 est offert à prix fixe. Notre forfait d'entretien et d'hébergement, à prix mensuel fixe, garde la configuration fonctionnelle après les mises à jour. Dites-nous ce qui roule sur votre site aujourd'hui et vous pourrez obtenir une soumission à prix fixe.