LPRPDE et suivi en ligne : témoins, pixels et consentement

La LPRPDE permet aux sites Web canadiens d'utiliser un consentement par option de retrait pour certaines publicités ciblées, mais seulement si les visiteurs sont informés clairement au moment de la collecte, peuvent refuser facilement et si les renseignements ne sont pas sensibles. La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est la loi fédérale qui encadre le secteur privé au Canada.

Ce guide explique ce que la LPRPDE signifie pour les témoins, les pixels et la mesure d'audience, ce que le Commissariat à la protection de la vie privée du Canada attend en matière de publicité comportementale en ligne, et comment régler Google Tag Manager en conséquence. Cet article ne constitue pas un avis juridique.

À qui s'applique la LPRPDE?

La LPRPDE s'applique aux organisations du secteur privé qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités commerciales. Le Québec, l'Alberta et la Colombie-Britannique ont leurs propres lois jugées essentiellement similaires, qui s'appliquent en général aux activités menées dans ces provinces. La LPRPDE vise toutefois les renseignements qui traversent les frontières, ce qui est fréquent pour un site qui utilise des outils américains de mesure et de publicité.

Pour le suivi, la notion de renseignements personnels est large. Le Commissariat considère que les renseignements recueillis pour la publicité comportementale en ligne, comme un identifiant de témoin associé à l'historique de navigation, seront généralement des renseignements personnels. La plupart des balises marketing entrent donc dans le champ de la loi.

Qu'est-ce qu'un consentement valable selon la LPRPDE?

Un consentement valable, selon la LPRPDE, suppose que la personne comprend à quoi elle consent au moment où ses renseignements sont recueillis. Les lignes directrices du Commissariat pour l'obtention d'un consentement valable demandent de mettre en évidence les éléments clés : les renseignements recueillis, les fins, les parties avec qui ils sont communiqués et les risques de préjudice. Les cacher dans une longue politique ne suffit pas.

La forme du consentement dépend de la sensibilité des renseignements et des attentes raisonnables de la personne. Un consentement implicite peut convenir pour des renseignements non sensibles utilisés d'une manière attendue. Un consentement explicite est en général nécessaire lorsque les renseignements sont sensibles, lorsque l'utilisation dépasse les attentes raisonnables ou lorsqu'il existe un risque réel de préjudice grave.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Quand l'option de retrait suffit-elle pour la publicité ciblée?

La position du Commissariat sur la publicité comportementale en ligne admet l'option de retrait comme forme raisonnable de consentement lorsque toutes les conditions suivantes sont réunies. S'il en manque une seule, un site ne devrait pas se fier à l'option de retrait pour ses pixels publicitaires et son remarketing.

• Les visiteurs sont informés des fins de façon claire et visible, pas seulement dans la politique de confidentialité
• L'information est donnée au moment de la collecte ou avant, avec les parties concernées
• Le visiteur peut se retirer facilement, idéalement au moment de la collecte ou avant
• Le retrait prend effet immédiatement et de façon durable
• La collecte se limite autant que possible aux renseignements non sensibles
• Les renseignements sont détruits ou dépersonnalisés dès que possible

Le Commissariat ajoute qu'il faut éviter de suivre les enfants et de faire du suivi sur les sites destinés aux enfants, et ne pas utiliser de techniques que le visiteur ne peut pas refuser, comme l'empreinte numérique de l'appareil ou les témoins qui se recréent après leur suppression.

Régler Google Tag Manager selon la LPRPDE

Dans Google Tag Manager, la LPRPDE se met en pratique avec le mode Consentement de Google et une option de retrait qui fonctionne vraiment. Pour les visiteurs du Canada hors Québec, un réglage courant accorde la mesure d'audience et la publicité par défaut, affiche un avis visible avec un moyen simple de refuser la publicité, puis met ad_storage, ad_user_data et ad_personalization à l'état refusé dès que le visiteur se retire. Pour le Québec, prévoyez un état par défaut distinct pour la région CA-QC, publicité refusée, puisque la Loi 25 est plus stricte.

Le retrait doit durer. Enregistrez le choix dans un témoin interne ou dans le stockage local et lisez-le sur chaque page avant le déclenchement des balises. Les balises de Meta, de TikTok et de LinkedIn ont besoin de déclencheurs qui vérifient le même état. Un cas typique : une entreprise de logiciels d'Ottawa affichait un avis avec un lien de retrait qui ouvrait seulement la politique de confidentialité. Le visiteur pouvait lire comment se retirer, mais aucune balise ne changeait de comportement.

→ Configurer correctement le mode de consentement Google v2 : aucun avertissement dans Tag Assistant

Responsabilité et politique de confidentialité

Le premier principe de la LPRPDE est la responsabilité : l'organisation reste responsable des renseignements qu'elle confie à des fournisseurs, y compris les plateformes de mesure et de publicité. Un inventaire des balises, revu chaque fois qu'une extension ou un pixel est ajouté, permet de savoir ce qui circule. La politique de confidentialité doit correspondre à cet inventaire, mentionner que certains fournisseurs traitent les données hors du Canada et expliquer comment se retirer.

Si un visiteur porte plainte, le Commissariat examinera surtout trois choses : l'information donnée au moment de la collecte, le fonctionnement réel du retrait et la cohérence entre la politique et les balises chargées. Une politique soignée, un retrait testé et un inventaire daté sont les meilleures pièces à présenter.

Voir ce que votre site charge aujourd'hui

La vérification gratuite de Trackum, sur trackum.app/check, ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse à la bannière, après un refus et après une acceptation, puis deux pages internes, et montre les balises et les témoins chargés dans chaque cas, sans inscription. Pour une installation propre, Trackum met en place Google Tag Manager, GA4 et le mode Consentement v2 à prix fixe, 150 € une seule fois, testés avec et sans consentement et en ligne en un jour ouvrable. Prix taxes en sus.