Loi 25 : ce que le site web d'une PME doit faire, et ce qu'il fait encore

La Loi 25 est entrée en vigueur par étapes entre septembre 2022 et septembre 2024. Pour la plupart des PME québécoises, elle s’est résumée à un bandeau de témoins ajouté à la hâte en 2023, souvent par une extension installée sans que personne ne vérifie ce qu’elle faisait réellement. Deux ans plus tard, une part considérable de ces sites charge toujours le pixel Meta et Google Analytics dès la première seconde de visite, bandeau affiché ou non. Le bandeau est là. La conformité, pas encore.

Cet essai expose ce que le texte exige précisément du site web d’une entreprise, les écarts que l’on rencontre le plus souvent, et une méthode de vérification que n’importe quel dirigeant peut appliquer lui-même en dix minutes. Il ne constitue pas un avis juridique et ne s’y substitue pas ; il vise à permettre d’évaluer son exposition avec les articles de loi sous les yeux plutôt qu’avec des impressions.

Ce que la loi vise, en une phrase

La Loi 25 — de son nom complet Loi modernisant des dispositions législatives en matière de protection des renseignements personnels — modifie la Loi sur la protection des renseignements personnels dans le secteur privé¹. Celle-ci s’applique à toute entreprise, sans seuil d’effectif ni de chiffre d’affaires. Il n’existe pas d’exemption pour les petites structures.

Le site web entre dans le champ dès qu’il recueille un renseignement personnel. Un formulaire de contact en recueille. Une inscription à l’infolettre en recueille. Et un outil qui capte l’adresse IP et le comportement de navigation des visiteurs pour les suivre d’une visite à l’autre en recueille aussi, même si personne dans l’entreprise ne consulte jamais ces données.

Les cinq obligations qui touchent directement le site

1. Publier le responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise ; la fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés sur le site web de l’entreprise. En vigueur depuis septembre 2022, c’est l’obligation la plus simple du texte, et l’une des plus souvent absentes.

2. Publier une politique de confidentialité en termes simples et clairs. L’entreprise qui recueille des renseignements personnels par un moyen technologique doit rédiger une politique de confidentialité et la diffuser sur son site. Le critère termes simples et clairs n’est pas décoratif : un gabarit juridique générique copié d’un autre site, qui ne décrit ni les outils réellement utilisés ni les fins réellement poursuivies, n’y répond pas.

3. Désactiver par défaut les technologies d’identification, de localisation et de profilage. C’est l’article 8.1 de la loi, et c’est celui qui concerne le plus directement la technique du site. Lorsqu’une entreprise recourt à une technologie permettant d’identifier une personne, de la localiser ou d’effectuer un profilage, elle doit l’en informer au préalable et lui indiquer les moyens offerts pour activer ces fonctions. La Commission d’accès à l’information le résume sans ambiguïté : ces technologies ne peuvent pas être activées par défaut, c’est à la personne de les activer².

Le profilage, au sens de la loi, désigne la collecte et l’utilisation de renseignements personnels afin d’évaluer les intérêts, les préférences ou le comportement d’une personne. Un pixel publicitaire qui construit des audiences de reciblage en fait. Un outil d’enregistrement de sessions aussi.

4. Obtenir un consentement valide. Lorsque le consentement est requis, il doit être manifeste, libre, éclairé, donné à des fins spécifiques et demandé pour chacune de ces fins, en termes simples et clairs. Une case unique J’accepte tout qui couvre indistinctement la mesure d’audience, la publicité et la personnalisation ne répond pas à l’exigence de fins spécifiques.

5. Déclarer les incidents de confidentialité. Un site compromis qui laisse fuiter les demandes reçues par formulaire constitue un incident. S’il présente un risque de préjudice sérieux, l’entreprise doit aviser la Commission et les personnes concernées, et tenir un registre de tous les incidents. C’est ici que la maintenance du site cesse d’être une question technique : une extension non mise à jour devient une obligation de déclaration.

La nuance qui trompe tout le monde

L’article 9.1 de la loi exige que les paramètres de confidentialité d’un produit ou service technologique offert au public assurent, par défaut, le plus haut niveau de confidentialité. Son second alinéa précise que cette règle ne s’applique pas aux paramètres de confidentialité d’un témoin de connexion.

Une lecture pressée en a tiré la conclusion que les témoins échappaient à la Loi 25. C’est une erreur de lecture. L’exclusion de l’article 9.1 vise les réglages de confidentialité propres au témoin ; elle ne neutralise pas l’article 8.1. Un témoin qui sert à profiler le visiteur reste une technologie de profilage, et une technologie de profilage reste désactivée par défaut.

La question n’est pas de savoir si votre site dépose des témoins. Elle est de savoir si l’un d’eux sert à identifier, localiser ou profiler le visiteur avant qu’il ait choisi de l’activer.

En pratique, cela trace une ligne assez nette. Un témoin de session qui maintient un panier ou une connexion n’identifie ni ne profile personne au sens de la loi. Une mesure d’audience agrégée, sans identifiant persistant ni recoupement d’une visite à l’autre, reste en règle générale en deçà de la ligne. Le pixel Meta, les balises publicitaires Google, le reciblage LinkedIn et les outils d’enregistrement de sessions sont au-delà.

Les défauts que l’on rencontre le plus souvent

Les écarts suivants reviennent avec une régularité remarquable sur les sites de PME québécoises. Aucun n’exige une analyse juridique pour être constaté ; tous se voient dans le navigateur.

Le bandeau décoratif. Le bandeau s’affiche, mais les balises sont chargées par le gestionnaire de balises dès l’ouverture de la page, indépendamment du choix du visiteur. Le bandeau informe d’une collecte qui a déjà eu lieu. C’est le défaut le plus répandu et le plus grave, parce qu’il crée l’apparence d’une conformité.

Le refus plus difficile que l’acceptation. Un bouton Accepter proéminent, et un refus relégué derrière un lien Paramètres puis trois écrans de cases à décocher. Un consentement obtenu par l’usure n’est pas libre.

Les cases précochées. Toutes les catégories activées par défaut dans le panneau de préférences. C’est exactement ce que l’article 8.1 proscrit.

Le responsable absent. Ni nom, ni titre, ni moyen de le joindre. La politique de confidentialité renvoie à une adresse générique info@, quand elle existe.

La politique générique. Un texte de six pages manifestement rédigé pour une autre entreprise, qui mentionne des outils absents du site et omet ceux qui y sont.

Les intégrations oubliées. Une vidéo YouTube intégrée, une carte Google, un module de clavardage ou un outil d’avis clients chargent leurs propres scripts et déposent leurs propres témoins. Ils échappent souvent au bandeau parce qu’ils ont été ajoutés après sa configuration.

La communication hors Québec non évaluée. Les données captées par la plupart des outils d’analyse et de publicité sont traitées hors du Québec. Avant de communiquer des renseignements personnels à l’extérieur du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée. Peu de PME savent qu’elles en réalisent une chaque fois qu’elles installent un pixel.

La vérification en dix minutes

Un dirigeant peut établir lui-même, sans aucun outil payant, si son site charge des traceurs par défaut.

1. Ouvrez une fenêtre de navigation privée. Elle ne contient aucun consentement antérieur.
2. Ouvrez les outils de développement (touche F12 sur la plupart des navigateurs), onglet Réseau.
3. Chargez la page d’accueil de votre site sans cliquer sur rien, ni sur le bandeau ni ailleurs.
4. Filtrez les requêtes avec les termes facebook, google-analytics, googletagmanager, doubleclick, clarity, hotjar, linkedin, tiktok.
5. Toute requête qui apparaît à ce stade est partie avant le consentement.
6. Passez à l’onglet Application, rubrique Témoins : la liste montre ce qui a été déposé dès l’arrivée. Des témoins nommés _fbp, _ga ou _gcl_au à ce stade signalent le même problème.
7. Refusez ensuite tout dans le bandeau, rechargez, et recommencez. Si les mêmes requêtes partent encore, le refus n’est pas respecté.

Si les étapes 5 à 7 ne montrent rien, le mécanisme fonctionne. Il reste alors à vérifier les trois obligations qui ne se voient pas dans le réseau : le responsable publié, la politique propre à l’entreprise, et la granularité du consentement par finalité.

Ce que risque réellement une PME

Les plafonds impressionnent et sont réels. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Les amendes pénales peuvent atteindre 25 millions de dollars ou 4 %. La loi prévoit en outre des dommages-intérêts punitifs d’au moins 1 000 dollars en cas d’atteinte intentionnelle ou de faute lourde.

Il serait malhonnête de laisser entendre qu’une PME de l’Outaouais s’expose à une amende à sept chiffres pour un pixel mal configuré. Le risque concret se situe ailleurs : la plainte. Un client mécontent, un concurrent ou un ancien employé qui signale le site déclenche un examen qui ne se limite pas aux témoins. Il porte sur l’ensemble des pratiques — registre des incidents, politique, conservation des données, communication hors Québec. Une entreprise qui découvre à ce moment qu’elle n’a rien documenté doit tout reconstituer sous le regard de la Commission.

Le second risque est commercial. Les donneurs d’ordre, les organismes publics et les grandes entreprises intègrent de plus en plus la conformité de leurs fournisseurs à leurs grilles d’évaluation. Un site qui charge des traceurs avant consentement se remarque en trente secondes par quiconque sait où regarder.

Pourquoi c’est un chantier technique, pas un texte à ajouter

La tentation est de traiter la Loi 25 comme un problème de rédaction : une politique à publier, un bandeau à installer. Les deux premières obligations le sont. La troisième ne l’est pas.

Désactiver réellement les traceurs par défaut exige de savoir ce qui se charge, d’où, et dans quel ordre. Un gestionnaire de balises configuré il y a quatre ans par une agence qui n’est plus là, un thème qui embarque ses propres scripts, trois extensions qui ajoutent chacune un outil d’analyse : c’est l’inventaire qui manque le plus souvent, et c’est un travail d’ingénierie. Le bandeau n’est que l’interface d’un mécanisme qui doit exister en dessous.

Le site que vous lisez en est une illustration. Google Analytics et le pixel Meta n’y sont chargés qu’après un consentement explicite, catégorie par catégorie ; la mesure d’audience qui tourne sans consentement est agrégée, sans témoin ni identifiant persistant. Rien de cela n’est visible pour le visiteur. Tout se vérifie dans l’onglet Réseau, avec la méthode décrite plus haut.

Le Diagnostic Stack couvre ce chantier lorsqu’une entreprise le demande : inventaire complet des scripts et des témoins, écarts par rapport aux articles 8.1 et 14, correction du chargement conditionnel, et liste de ce qui reste à produire côté documentation.

---

Footnotes

1. Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, LQ 2021, c. 25 : canlii.org. Elle modifie la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1). ↩

2. Commission d’accès à l’information du Québec, Principaux changements apportés par la Loi 25 : cai.gouv.qc.ca. Voir aussi les lignes directrices 2023-1 sur les critères de validité du consentement, publiées par la Commission. Cet essai ne constitue pas un avis juridique. ↩