Loi 25 et site Web : témoins, pixels et consentement

La Loi 25 exige que les témoins et outils de suivi qui permettent d'identifier, de localiser ou de profiler un visiteur restent désactivés tant que celui-ci ne les a pas activés, et que l'entreprise l'en informe clairement avant de les utiliser. Pour la plupart des sites Web, cela veut dire que les pixels publicitaires et le remarketing ne doivent pas se déclencher avant le consentement du visiteur québécois.

La Loi 25, autrefois le projet de loi 64, a modifié la Loi sur la protection des renseignements personnels dans le secteur privé. La Commission d'accès à l'information du Québec (CAI) en surveille l'application. Ce guide explique ce qu'elle change pour les témoins, les pixels et Google Tag Manager. Cet article ne constitue pas un avis juridique.

Ce que la Loi 25 change pour le suivi sur un site Web

La Loi 25 touche le suivi sur un site Web par quatre articles de la loi sur le privé. L'article 8.1 vise les technologies capables d'identifier, de localiser ou de profiler une personne. L'article 8.2 oblige à publier une politique de confidentialité. L'article 14 fixe les conditions d'un consentement valable. L'article 17 impose une évaluation avant que des renseignements quittent le Québec. Ensemble, ils couvrent presque toutes les balises qu'une équipe marketing ajoute à un site.

La loi vise toute personne qui exploite une entreprise et recueille, détient, utilise ou communique des renseignements personnels. Une adresse IP, un identifiant de témoin associé au comportement de navigation ou une adresse courriel saisie dans un formulaire peuvent constituer des renseignements personnels. Une PME, un organisme qui exerce une activité commerciale ou une agence qui gère les sites de ses clients est donc concernée dès que son site utilise des outils de mesure ou de publicité.

Article 8.1 : le profilage désactivé par défaut

L'article 8.1 s'applique lorsqu'une entreprise recueille des renseignements personnels au moyen d'une technologie qui comprend des fonctions permettant d'identifier, de localiser ou d'effectuer un profilage de la personne. L'entreprise doit l'informer au préalable du recours à cette technologie et des moyens offerts pour activer ces fonctions. La lecture courante est que ces fonctions doivent être désactivées par défaut et que c'est le visiteur qui les active. Le gouvernement du Québec l'écrit d'ailleurs explicitement pour la règle équivalente qui vise les organismes publics.

Le profilage, au sens de la loi, est la collecte et l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne, notamment ses intérêts, ses préférences, son comportement, sa situation économique ou sa santé. Les pixels de Meta, de TikTok ou de LinkedIn, les audiences de remarketing de Google Ads et les identifiants publicitaires entrent dans cette catégorie. Un témoin qui garde seulement un panier d'achat en mémoire n'en fait en général pas partie.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Article 9.1 et l'exception des témoins de connexion

L'article 9.1 oblige une entreprise qui offre au public un produit ou un service technologique à assurer par défaut le plus haut niveau de confidentialité, sans intervention de la personne. Son deuxième alinéa précise que cette règle ne s'applique pas aux paramètres de confidentialité d'un témoin de connexion. Cette exception ne libère pas les témoins de toute règle : l'article 8.1 continue de s'appliquer au profilage, et les règles de consentement s'appliquent aux utilisations secondaires.

Politique de confidentialité et consentement

La politique de confidentialité exigée par l'article 8.2 doit être rédigée en termes simples et clairs et publiée sur le site Web. Pour le suivi, elle devrait nommer les outils utilisés, ce que chacun recueille et pourquoi, indiquer si des renseignements sont communiqués hors Québec et expliquer comment modifier son choix. Mettez-la à jour chaque fois qu'un nouveau pixel est ajouté.

Le consentement prévu à l'article 14 doit être manifeste, libre, éclairé et donné à des fins spécifiques, et il doit être demandé pour chacune de ces fins en termes simples et clairs. En pratique : un choix distinct par catégorie, comme la mesure d'audience et la publicité, aucune case précochée et un bouton de refus aussi accessible que le bouton d'acceptation. Les lignes directrices de la CAI sur les critères de validité du consentement donnent des exemples détaillés.

• Publicité et remarketing : désactivés jusqu'à l'activation par le visiteur
• Mesure d'audience : annoncée dans la bannière et la politique, fonctions publicitaires désactivées
• Bannière : un choix par finalité, refuser aussi simple qu'accepter
• Politique de confidentialité : outils, fins, communications hors Québec, modification du choix
• Preuve : conserver le choix de chaque visiteur et sa date

→ Configurer correctement le mode de consentement Google v2 : aucun avertissement dans Tag Assistant

Régler Google Tag Manager pour la Loi 25

Dans Google Tag Manager, la Loi 25 se met en œuvre au moyen du mode Consentement de Google et d'un réglage par défaut propre à la région. Définissez pour la région CA-QC un état par défaut où ad_storage, ad_user_data et ad_personalization sont refusés, et réglez analytics_storage selon votre analyse de l'article 8.1. Lorsque le visiteur active la publicité dans la bannière, une mise à jour du consentement accorde ces valeurs et les balises démarrent. Les balises de Meta, de TikTok ou de LinkedIn ont besoin de déclencheurs qui vérifient le même état.

Un cas typique : une boutique de meubles de Laval avait activé le pixel Meta dans les réglages de son thème, hors de Google Tag Manager. La bannière semblait correcte, mais le pixel se chargeait avant tout choix. En déplaçant le pixel dans Google Tag Manager avec un déclencheur lié au consentement, et en désactivant le réglage du thème, le problème a disparu. Vérifiez le résultat dans le mode Aperçu de Google Tag Manager et dans l'onglet Réseau du navigateur, une fois en refusant et une fois en acceptant.

Vérifier ce qui se charge avant le consentement

La vérification gratuite de Trackum, sur trackum.app/check, montre rapidement si des balises de profilage se chargent trop tôt. Elle ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse à la bannière, après un refus et après une acceptation, puis deux pages internes, et liste les balises et les témoins chargés dans chaque cas, sans inscription, en deux minutes environ. Pour corriger, Trackum installe Google Tag Manager, GA4 et le mode Consentement v2 à prix fixe, 150 € une seule fois, testés avec et sans consentement. Prix taxes en sus.