Un inspecteur qui voudrait vérifier votre conformité à la Loi 25 n'aurait pas besoin de visiter vos bureaux. Votre site web suffit : les témoins qu'il dépose, le pixel Facebook qu'il déclenche, les formulaires qu'il présente, l'outil d'analyse qu'il charge, la politique qu'il publie ou ne publie pas. Notre résumé des obligations de la Loi 25 pour les PME couvre l'ensemble du régime; cet article ouvre le capot du site lui-même.
On construit et entretient des sites québécois, et le même constat revient d'un projet à l'autre : la plupart des sites non conformes ne le sont pas par négligence. Ils le sont parce qu'ils ont importé des réflexes européens, une bannière RGPD copiée d'un site français, un formulaire qui demande tout « au cas où », un outil d'analyse installé en 2019 et jamais remis en question. Or la loi québécoise pose des questions différentes, et parfois plus simples.
Faisons le tour du propriétaire, poste par poste : les témoins et la bannière, les formulaires, l'analytique, puis les collecteurs que personne ne voit, pixel Meta en tête.
La réponse courte, pour les pressés
Depuis le 22 septembre 2023, un site web québécois doit respecter trois mécanismes de la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25. D'abord, l'article 8.1 : si le site recourt à une technologie comprenant des fonctions d'identification, de localisation ou de profilage (témoins publicitaires, plusieurs outils d'analyse d'audience), il faut en informer le visiteur au préalable et lui indiquer comment activer ces fonctions, qui doivent rester désactivées par défaut selon la Commission d'accès à l'information. Ensuite, les formulaires : l'article 5 limite la collecte aux renseignements nécessaires aux fins déterminées avant la collecte, et l'article 8 exige d'informer la personne de ces fins au moment de la collecte. Enfin, l'article 8.2 impose une politique de confidentialité publiée en termes simples et clairs. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial.
Deux articles de loi, dont un seul gouverne vos témoins
La Loi 25 contient une disposition de « confidentialité par défaut », l'article 9.1 : un produit ou service technologique offert au public et doté de paramètres de confidentialité doit garantir, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne. Beaucoup de guides s'arrêtent là et concluent que vos témoins sont couverts. Le texte dit le contraire : son second alinéa exclut expressément « les paramètres de confidentialité d'un témoin de connexion ».
L'article qui gouverne réellement vos témoins, c'est le 8.1. Si votre site recueille des renseignements personnels en recourant à une technologie comprenant des fonctions permettant d'identifier une personne, de la localiser ou d'en effectuer un profilage, vous devez, avant la collecte, l'informer de deux choses : le recours à cette technologie, et les moyens offerts pour activer ces fonctions. La loi définit le profilage largement : la collecte et l'utilisation de renseignements pour évaluer les caractéristiques d'une personne, ses préférences, ses intérêts, son comportement. Un témoin publicitaire qui suit un visiteur d'un site à l'autre coche la case sans effort.
Le mot décisif est « activer ». On n'active pas ce qui est déjà allumé. La Commission d'accès à l'information (CAI) le dit sans détour dans ses lignes directrices aux entreprises : « vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. » Un site québécois conforme charge donc ses fonctions de suivi éteintes, et elles le restent tant que le visiteur ne les allume pas.
Les plafonds de sanction donnent la mesure du sérieux : jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial en sanctions administratives (article 90.12), le double au pénal (article 91). Personne n'infligera ces montants à une PME pour un témoin, mais le manquement se constate depuis n'importe quel navigateur.
La bannière conforme n'est pas celle que vous croyez
L'écosystème web a répondu à la Loi 25 en recyclant l'outillage RGPD : la grande bannière, les quarante finalités, les « partenaires légitimes », le bouton « Tout accepter » en couleur vive et le refus enfoui trois écrans plus loin. Cette quincaillerie répond à une logique européenne, le consentement préalable au dépôt de témoins, et elle importe aussi ses vices : sur beaucoup de sites, les traceurs partent avant même que la bannière soit affichée, ce qui contredit à la fois le RGPD et l'article 8.1.
La logique québécoise est une logique d'activation. Les fonctions d'identification, de localisation et de profilage sont éteintes; votre interface offre au visiteur le moyen de les allumer. Un interrupteur à portée de main plutôt qu'un mur devant le contenu. Et si un consentement est demandé, l'article 14 fixe les exigences : manifeste, libre, éclairé, demandé pour chaque finalité en termes simples et clairs, et présenté distinctement de toute autre information. Une case précochée n'est pas un consentement manifeste; une bannière qui noie la demande dans le jargon n'est pas un consentement éclairé.
La conclusion pratique surprend souvent nos clients : la meilleure bannière est celle dont vous n'avez pas besoin. Un site qui ne charge aucune fonction de suivi n'a rien à faire activer, donc aucun consentement à demander. La Loi 25 n'exige aucune bannière : la bannière est le symptôme d'un choix d'outillage. Nos exemples de formulaires de consentement montrent à quoi ressemble une demande faite proprement quand elle est réellement nécessaire.
Vos formulaires : ne demander que le nécessaire, et le dire
Les formulaires sont le poste le plus simple à corriger et le plus souvent négligé. Deux règles suffisent.
La première est la minimisation, à l'article 5 : on ne recueille que les renseignements nécessaires aux fins déterminées avant la collecte. L'ordre des mots compte : les fins d'abord, les champs ensuite. Un formulaire de demande de soumission n'a probablement pas besoin d'une date de naissance; un formulaire de contact n'a pas besoin d'une adresse postale. Chaque champ obligatoire devrait pouvoir répondre à la question « nécessaire à quoi? ». Le champ qu'on ajoute « au cas où le marketing en voudrait un jour » est précisément celui que la loi interdit.
La seconde est la transparence au moment de la collecte, à l'article 8 : informer la personne des fins, des moyens, de ses droits d'accès et de rectification, de son droit de retirer son consentement, et le cas échéant des tiers destinataires et de la possibilité que les renseignements soient communiqués à l'extérieur du Québec. Concrètement, une phrase claire sous le formulaire et un lien vers la politique de confidentialité font le travail, à condition que la phrase dise la vérité. Et si le formulaire alimente aussi une infolettre, cette finalité-là se demande séparément, case décochée.
L'analytique : GA4 ou la mesure sans témoins
Google Analytics 4 dépose des témoins, _ga et ses variantes, dont la documentation de Google décrit la fonction sans ambiguïté : distinguer les utilisateurs, avec une durée de vie par défaut de deux ans. Distinguer un visiteur et le suivre de visite en visite, c'est le mécanisme même que vise l'article 8.1 : notre lecture, prudente, est qu'un GA4 en configuration standard exige la mécanique d'activation décrite plus haut et une mention claire dans la politique. À l'inverse, les outils d'analyse sans témoins (Fathom, Plausible et compagnie) mesurent l'achalandage en données agrégées, sans témoin ni identification des visiteurs : pas de fonction d'identification ou de profilage à activer, pas de bannière, et des chiffres largement suffisants pour piloter le site d'une PME. C'est ce que nous installons par défaut chez nos clients. Le choix mérite plus qu'un paragraphe, mais l'essentiel tient ici : votre outil d'analyse est un choix de conformité autant qu'un choix technique.
Les collecteurs cachés : pixels, vidéos intégrées, clavardage
Le dernier poste est celui que les propriétaires de sites connaissent le moins, parce qu'il ne se voit pas. Chaque extrait de code tiers collé dans vos pages est un collecteur potentiel.
Le pixel publicitaire en est l'exemple type. Le pixel de Meta, selon la documentation de Meta elle-même, sert à suivre les actions des visiteurs sur votre site, pages vues, ajouts au panier, achats, pour mesurer les publicités et construire des audiences. C'est du profilage au sens de la loi, installé un jour de campagne et souvent oublié depuis. S'il tourne encore sans mécanique d'activation, il tourne à découvert.
Les vidéos intégrées suivent la même logique. Une vidéo YouTube standard charge du code de Google dans votre page. YouTube offre pourtant un mode « confidentialité avancée » (le domaine youtube-nocookie.com) dans lequel, selon Google, le visionnement ne sert pas à personnaliser la navigation ni la publicité du visiteur. Deux minutes pour changer un domaine dans le code d'intégration.
Le module de clavardage, enfin, recueille des conversations entières, souvent avec nom et courriel, traitées sur les serveurs d'un tiers, fréquemment hors Québec. Il n'a rien d'interdit, mais il doit figurer dans votre politique de confidentialité, avec les tiers destinataires et la possibilité d'une communication à l'extérieur du Québec.
L'inventaire de tout cela ne demande aucun outil spécialisé : l'onglet réseau de votre navigateur, page d'accueil chargée, avant tout clic. Ce qui part vers des domaines tiers avant que le visiteur ait touché quoi que ce soit, c'est votre liste de départ.
Pixel Meta (Facebook) et Google Ads : éteints par défaut, pour de vrai
Le pixel Meta, qu'on appelle encore pixel Facebook, mérite qu'on s'y arrête. C'est souvent le seul collecteur installé volontairement, et les mécanismes de consentement de Meta et de Google ne font pas tous ce que leur nom laisse croire. Le pixel transmet à Meta les gestes du visiteur pour mesurer les publicités et bâtir des audiences : c'est une technologie de profilage au sens de l'article 8.1, donc une fonction que le visiteur doit activer lui-même.
« Désactivé par défaut » a ici un sens technique précis : le script ne se charge pas avant le clic d'activation. Meta documente pourtant une autre approche, la commande fbq('consent', 'revoke'), qui suspend l'envoi des événements jusqu'à un grant. Le pixel est alors chargé, puis prié de se taire. Mais pour se charger, le navigateur a déjà téléchargé le script depuis les serveurs de Meta, qui ont vu passer l'adresse IP du visiteur et le site d'où venait la requête. Notre lecture, prudente : le code de base du pixel n'a rien à faire dans la page tant que le visiteur n'a rien activé.
Côté Google Ads et GA4, l'outil s'appelle le mode Consentement (Consent Mode v2), en deux versions. La version de base bloque les balises jusqu'à ce que le visiteur réponde à la bannière, et selon Google aucune donnée ne part avant, pas même l'état du consentement. La version avancée charge les balises dès l'ouverture de la page; tant que le consentement est refusé, elles envoient à Google des signaux sans témoins : état du consentement, événements clés, horodatage, navigateur, page de provenance, et l'indication qu'un clic publicitaire a mené au site. Google s'en sert pour modéliser les conversions qu'il ne voit pas. Selon nous, avec une logique d'activation, seule la version de base respecte la consigne.
Reste l'API Conversions de Meta, qui envoie les événements depuis votre serveur plutôt que depuis le navigateur. Seule la route change : Meta traite ces événements comme ceux du pixel, avec courriel et téléphone hachés, adresse IP et navigateur, pour les apparier aux comptes de ses utilisateurs. L'activation par le visiteur reste la condition d'envoi.
Par où commencer
La séquence tient en trois gestes. Inventorier : ce que le site charge réellement, formulaire par formulaire, script par script. Élaguer : le pixel d'une campagne finie en 2023 et le témoin d'un outil abandonné ne méritent pas d'être mis en conformité, ils méritent d'être supprimés. Encadrer ce qui reste : fonctions de suivi désactivées par défaut avec un vrai mécanisme d'activation, formulaires minimisés et transparents, politique à jour. Puis garder le réflexe : chaque nouveau module ajouté repose la question. C'est un travail d'entretien continu, la raison pour laquelle nous l'intégrons à nos abonnements web plutôt que d'en faire un chantier ponctuel.
Si vous voulez savoir où votre site se situe aujourd'hui, notre audit vérifie précisément ces postes, témoins déposés, collecteurs tiers, formulaires et politique, et vous dit ce qui presse et ce qui peut attendre.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Les textes de la Loi sur la protection des renseignements personnels dans le secteur privé et les positions de la Commission d'accès à l'information font foi : pour une situation particulière, consultez un juriste.
Écrit parXavier Peich