Loi 25 et votre site web : témoins, formulaires, analytics

Un inspecteur qui voudrait vérifier votre conformité à la Loi 25 n'aurait pas besoin de visiter vos bureaux. Votre site web suffit : les témoins qu'il dépose, les formulaires qu'il présente, l'outil d'analyse qu'il charge, la politique qu'il publie ou ne publie pas. Notre résumé des obligations de la Loi 25 pour les PME couvre l'ensemble du régime ; cet article ouvre le capot du site lui-même.

On construit et entretient des sites québécois, et le même constat revient d'un projet à l'autre : la plupart des sites non conformes ne le sont pas par négligence. Ils le sont parce qu'ils ont importé des réflexes européens, une bannière RGPD copiée d'un site français, un formulaire qui demande tout « au cas où », un outil d'analyse installé en 2019 et jamais remis en question. Or la loi québécoise pose des questions différentes, et parfois plus simples.

Faisons le tour du propriétaire, poste par poste : les témoins et la bannière, les formulaires, l'analytique, puis les collecteurs que personne ne voit.

La réponse courte, pour les pressés

Depuis le 22 septembre 2023, un site web québécois doit respecter trois mécanismes de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25. D'abord, l'article 8.1 : si le site recourt à une technologie comprenant des fonctions d'identification, de localisation ou de profilage (témoins publicitaires, plusieurs outils d'analyse d'audience), il faut en informer le visiteur au préalable et lui indiquer comment activer ces fonctions, qui doivent rester désactivées par défaut selon la Commission d'accès à l'information. Ensuite, les formulaires : l'article 5 limite la collecte aux renseignements nécessaires aux fins déterminées avant la collecte, et l'article 8 exige d'informer la personne de ces fins au moment de la collecte. Enfin, l'article 8.2 impose une politique de confidentialité publiée en termes simples et clairs. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial.

Deux articles de loi, dont un seul gouverne vos témoins

La Loi 25 contient une disposition de « confidentialité par défaut », l'article 9.1 : un produit ou service technologique offert au public et doté de paramètres de confidentialité doit garantir, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne. Beaucoup de guides s'arrêtent là et concluent que vos témoins sont couverts. Le texte dit le contraire : son second alinéa exclut expressément « les paramètres de confidentialité d'un témoin de connexion ».

L'article qui gouverne réellement vos témoins, c'est le 8.1. Si votre site recueille des renseignements personnels en recourant à une technologie comprenant des fonctions permettant d'identifier une personne, de la localiser ou d'en effectuer un profilage, vous devez, avant la collecte, l'informer de deux choses : le recours à cette technologie, et les moyens offerts pour activer ces fonctions. La loi définit le profilage largement : la collecte et l'utilisation de renseignements pour évaluer les caractéristiques d'une personne, ses préférences, ses intérêts, son comportement. Un témoin publicitaire qui suit un visiteur d'un site à l'autre coche la case sans effort.

Le mot décisif est « activer ». On n'active pas ce qui est déjà allumé. La Commission d'accès à l'information (CAI) le dit sans détour dans ses lignes directrices aux entreprises : « vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. » Un site québécois conforme charge donc ses fonctions de suivi éteintes, et elles le restent tant que le visiteur ne les allume pas.

Les plafonds de sanction donnent la mesure du sérieux : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial en sanctions administratives (article 90.12), le double au pénal (article 91). Personne n'infligera ces montants à une PME pour un témoin, mais le manquement se constate depuis n'importe quel navigateur.

La bannière conforme n'est pas celle que vous croyez

L'écosystème web a répondu à la Loi 25 en recyclant l'outillage RGPD : la grande bannière, les quarante finalités, les « partenaires légitimes », le bouton « Tout accepter » en couleur vive et le refus enfoui trois écrans plus loin. Cette quincaillerie répond à une logique européenne, le consentement préalable au dépôt de témoins, et elle importe aussi ses vices : sur beaucoup de sites, les traceurs partent avant même que la bannière soit affichée, ce qui contredit à la fois le RGPD et l'article 8.1.

La logique québécoise est une logique d'activation. Les fonctions d'identification, de localisation et de profilage sont éteintes ; votre interface offre au visiteur le moyen de les allumer. Un interrupteur à portée de main plutôt qu'un mur devant le contenu. Et si un consentement est demandé, l'article 14 fixe les exigences : manifeste, libre, éclairé, demandé pour chaque finalité en termes simples et clairs, et présenté distinctement de toute autre information. Une case précochée n'est pas un consentement manifeste ; une bannière qui noie la demande dans le jargon n'est pas un consentement éclairé.

La conclusion pratique surprend souvent nos clients : la meilleure bannière est celle dont vous n'avez pas besoin. Un site qui ne charge aucune fonction de suivi n'a rien à faire activer, donc aucun consentement à demander. La Loi 25 n'exige aucune bannière : la bannière est le symptôme d'un choix d'outillage. Nos exemples de formulaires de consentement montrent à quoi ressemble une demande faite proprement quand elle est réellement nécessaire.

Vos formulaires : ne demander que le nécessaire, et le dire

Les formulaires sont le poste le plus simple à corriger et le plus souvent négligé. Deux règles suffisent.

La première est la minimisation, à l'article 5 : on ne recueille que les renseignements nécessaires aux fins déterminées avant la collecte. L'ordre des mots compte : les fins d'abord, les champs ensuite. Un formulaire de demande de soumission n'a probablement pas besoin d'une date de naissance ; un formulaire de contact n'a pas besoin d'une adresse postale. Chaque champ obligatoire devrait pouvoir répondre à la question « nécessaire à quoi ? ». Le champ qu'on ajoute « au cas où le marketing en voudrait un jour » est précisément celui que la loi interdit.

La seconde est la transparence au moment de la collecte, à l'article 8 : informer la personne des fins, des moyens, de ses droits d'accès et de rectification, de son droit de retirer son consentement, et le cas échéant des tiers destinataires et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec. Concrètement, une phrase claire sous le formulaire et un lien vers la politique de confidentialité font le travail, à condition que la phrase dise la vérité. Et si le formulaire alimente aussi une infolettre, cette finalité-là se demande séparément, case décochée.

L'analytique : GA4 ou la mesure sans témoins

Google Analytics 4 dépose des témoins, _ga et ses variantes, dont la documentation de Google décrit la fonction sans ambiguïté : distinguer les utilisateurs, avec une durée de vie par défaut de deux ans. Distinguer un visiteur et le suivre de visite en visite, c'est le mécanisme même que vise l'article 8.1 : notre lecture, prudente, est qu'un GA4 en configuration standard exige la mécanique d'activation décrite plus haut et une mention claire dans la politique. À l'inverse, les outils d'analyse sans témoins (Fathom, Plausible et compagnie) mesurent l'achalandage en données agrégées, sans témoin ni identification des visiteurs : pas de fonction d'identification ou de profilage à activer, pas de bannière, et des chiffres largement suffisants pour piloter le site d'une PME. C'est ce que nous installons par défaut chez nos clients. Le choix mérite plus qu'un paragraphe, mais l'essentiel tient ici : votre outil d'analyse est un choix de conformité autant qu'un choix technique.

Les collecteurs cachés : pixels, vidéos intégrées, clavardage

Le dernier poste est celui que les propriétaires de sites connaissent le moins, parce qu'il ne se voit pas. Chaque extrait de code tiers collé dans vos pages est un collecteur potentiel.

Le pixel publicitaire en est l'exemple type. Le pixel de Meta, selon la documentation de Meta elle-même, sert à suivre les actions des visiteurs sur votre site, pages vues, ajouts au panier, achats, pour mesurer les publicités et construire des audiences. C'est du profilage au sens de la loi, installé un jour de campagne et souvent oublié depuis. S'il tourne encore sans mécanique d'activation, il tourne à découvert.

Les vidéos intégrées suivent la même logique. Une vidéo YouTube standard charge du code de Google dans votre page. YouTube offre pourtant un mode « confidentialité avancée » (le domaine youtube-nocookie.com) dans lequel, selon Google, le visionnement ne sert pas à personnaliser la navigation ni la publicité du visiteur. Deux minutes pour changer un domaine dans le code d'intégration.

Le module de clavardage, enfin, recueille des conversations entières, souvent avec nom et courriel, traitées sur les serveurs d'un tiers, fréquemment hors Québec. Il n'a rien d'interdit, mais il doit figurer dans votre politique de confidentialité, avec les tiers destinataires et la possibilité d'une communication à l'extérieur du Québec.

L'inventaire de tout cela ne demande aucun outil spécialisé : l'onglet réseau de votre navigateur, page d'accueil chargée, avant tout clic. Ce qui part vers des domaines tiers avant que le visiteur ait touché quoi que ce soit, c'est votre liste de départ.

Par où commencer

La séquence tient en trois gestes. Inventorier : ce que le site charge réellement, formulaire par formulaire, script par script. Élaguer : le pixel d'une campagne finie en 2023 et le témoin d'un outil abandonné ne méritent pas d'être mis en conformité, ils méritent d'être supprimés. Encadrer ce qui reste : fonctions de suivi désactivées par défaut avec un vrai mécanisme d'activation, formulaires minimisés et transparents, politique à jour. Puis garder le réflexe : chaque nouveau module ajouté repose la question. C'est un travail d'entretien continu, la raison pour laquelle nous l'intégrons à nos abonnements web plutôt que d'en faire un chantier ponctuel.

Si vous voulez savoir où votre site se situe aujourd'hui, notre audit vérifie précisément ces postes, témoins déposés, collecteurs tiers, formulaires et politique, et vous dit ce qui presse et ce qui peut attendre.

→ Demandez votre audit

Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions ; il ne constitue pas un avis juridique. Les textes de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.