Conformité des sites web à la Loi 25
La Loi 25 est la loi québécoise sur la vie privée. De son nom officiel « Loi modernisant des dispositions législatives en matière de protection des renseignements personnels », elle est entrée en vigueur en trois étapes entre septembre 2022 et septembre 2024, et la Commission d’accès à l’information (CAI) veille à son application. C’est une loi provinciale, et non fédérale : une équipe qui a couvert le Canada avec la LPRPDE n’a pas couvert le Québec, où le consentement doit être manifeste, libre et éclairé, demandé finalité par finalité, et où les technologies de pistage doivent être désactivées par défaut.
- Québec, règles de consentement en vigueur depuis 2023
- Opt-in, finalité par finalité
- Confidentialité par défaut, inscrite dans la loi
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exige la Loi 25
Quelques obligations visent spécifiquement un site web. Le reste de la loi porte sur la gouvernance des renseignements personnels dans l’ensemble de l’organisation.
- Un consentement manifeste, libre et éclairé, demandé finalité par finalité
- Une demande de consentement distincte des autres conditions, en termes simples
- Des fonctions de profilage ou de localisation désactivées par défaut
- Un responsable de la protection des renseignements personnels joignable depuis le site
- Des incidents de confidentialité consignés, et déclarés en cas de risque
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Demande à la québécoise, finalité par finalité
La bannière demande le consentement pour chaque finalité séparément, dans les langues que vous avez activées, et une balise que vous avez rattachée à cette finalité attend que le consentement soit donné. Regrouper mesure d’audience et publicité derrière un seul bouton « Accepter », c’est précisément ce que la Loi 25 exclut, et c’est le fonctionnement par défaut de la plupart des outils de consentement.
- Par finalité
- En termes simples
- Bloque jusqu’au consentement
Désactive par défaut
Une fois que vous les avez marqués comme tels, les scripts capables de profiler ou de localiser un visiteur restent inactifs jusqu’au consentement : c’est l’état initial qu’implique l’article 8.1. Les valeurs par défaut suivent la région du visiteur, si bien qu’un visiteur québécois bénéficie du point de départ le plus strict sans que votre équipe ait à maintenir une seconde configuration.
- Refus par défaut
- Par région du visiteur
- Une seule configuration
Conserve une preuve que vous pouvez produire
Chaque choix est conservé avec un horodatage, en regard du texte affiché à l’écran, et le retrait du consentement reste accessible en un clic depuis chaque page. Démontrer un consentement valable, c’est montrer ce que le visiteur a réellement vu et accepté, et non ce qu’indiquent vos paramètres aujourd’hui.
- Horodaté
- Texte versionné
- Retrait possible partout
Là où les sites se trompent sur le Québec
Quatre présupposés hérités d’autres lois sur la vie privée expliquent l’essentiel de ce que révèle une première analyse d’un site destiné au Québec.
Le Canada est traité comme un tout
Une approche calquée sur la LPRPDE s’appuie sur le consentement implicite pour les finalités courantes, ce que la Loi 25 n’étend pas au pistage. Un site peut être en règle pour le reste du Canada et en défaut au Québec lors du même chargement de page, car la règle la plus stricte est la règle provinciale.
Un seul « Accepter » couvre toutes les finalités
En vertu de la Loi 25, le consentement se donne finalité par finalité, et un bouton unique qui active à la fois la mesure d’audience, la publicité et la personnalisation n’est pas spécifique au sens où l’exige la loi. La solution n’est pas d’ajouter du texte, mais de proposer des choix distincts.
La bannière s’affiche, mais rien n’est mis en attente
Les balises se déclenchent lors du chargement même qui affiche la bannière : on pose au visiteur une question dont la réponse est déjà ignorée. La règle de désactivation par défaut de la Loi 25 en fait un manquement explicite plutôt qu’implicite.
Le consentement était noyé dans les conditions
Une ligne sur les cookies au milieu de l’acceptation des conditions générales d’utilisation n’est pas une demande faite séparément et en termes clairs. La Loi 25 prévoit expressément l’un et l’autre : un consentement recueilli de cette façon ne compte donc pas, même si le visiteur a cliqué.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur la Loi 25
La Loi 25 s’applique-t-elle à une entreprise située hors du Québec ?
Oui, si elle recueille, détient ou utilise des renseignements personnels sur des personnes au Québec dans le cadre de ses activités. Le lieu d’établissement de l’entreprise n’est pas déterminant. C’est le fait d’exercer des activités qui touchent des résidents du Québec, y compris l’exploitation d’un site web qu’ils utilisent, qui vous y soumet.
La Loi 25 est-elle identique à la LPRPDE canadienne ?
Non. La LPRPDE est la loi fédérale, la Loi 25 est celle du Québec, et cette dernière est plus stricte en matière de consentement, de paramètres par défaut et de sanctions. Une entreprise active dans tout le Canada doit respecter les deux, et respecter la LPRPDE ne signifie pas respecter la Loi 25.
Ai-je besoin d’une bannière de cookies pour la Loi 25 ?
En pratique, oui, pour tout ce qui n’est pas strictement nécessaire. Le consentement doit être obtenu avant tout pistage non essentiel, demandé pour chaque finalité et séparé de vos autres conditions : c’est ce que fait une bannière correctement configurée, et ce que ne fait pas une case à cocher dans les conditions.
Que change la règle de désactivation par défaut de la Loi 25 pour mes balises ?
L’article 8.1 prévoit que quiconque recueille des renseignements personnels au moyen d’une technologie dotée de fonctions permettant d’identifier, de localiser ou de profiler une personne doit au préalable l’informer du recours à cette technologie et des moyens offerts pour activer ces fonctions. Ces fonctions sont donc désactivées par défaut. Pour un site web, cela signifie que les scripts de pistage démarrent bloqués et ne sont activés que par un choix de consentement, et non l’inverse.
Quelles sont les sanctions prévues par la Loi 25 ?
Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions de dollars ou 4 %, le montant le plus élevé étant retenu. La Loi 25 a aussi créé un droit d’action privé : les particuliers peuvent réclamer directement des dommages-intérêts.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.