Loi 25 témoins de connexion et consentement : guide pratique pour votre site Web

Votre site Web dépose des témoins de connexion (cookies) dès qu’un visiteur arrive sur la page d’accueil? Vous utilisez Google Analytics, un pixel publicitaire ou un formulaire de contact? Alors la Loi 25, qui a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé, vous concerne directement.

Cette page résume ce que la Commission d’accès à l’information (CAI) et le gouvernement du Québec disent des témoins, de la politique de confidentialité et du responsable de la protection des renseignements personnels. Elle est rédigée par Référenceur, une agence de marketing numérique francophone installée en Belgique et au Luxembourg, sans bureau au Québec. Nous configurons des sites et des outils de mesure; nous ne sommes pas des avocats, et ceci n’est pas un avis juridique.

Trois dates qui ont changé les règles du jeu

Le gouvernement du Québec présente la Loi 25 comme une réforme déployée sur trois ans à partir du 22 septembre 2022. Dans un communiqué du 22 septembre 2023, il annonçait l’entrée en vigueur de la majorité des dispositions ce jour-là : règles de gouvernance à adopter et à publier, consentement présenté séparément de toute autre information, consentement parental pour les jeunes de moins de 14 ans et nouvelles sanctions. La CAI précise enfin que le droit à la portabilité des données s’applique depuis le 22 septembre 2024.

Autrement dit, en novembre 2026, il n’y a plus de période de transition : toutes les obligations visant les entreprises sont en vigueur.

Témoins de connexion : ce qui doit rester désactivé par défaut

C’est le point qui suscite le plus de confusion, et il mérite des explications précises.

D’un côté, la loi exige que les paramètres de confidentialité d’un produit ou d’un service technologique offert au public assurent, par défaut, le plus haut niveau de confidentialité. Mais la CAI précise que les paramètres de confidentialité d’un témoin de connexion ne sont pas visés par cette exigence précise.

De l’autre côté, la loi encadre toute technologie qui permet d’identifier, de localiser ou de profiler une personne. La CAI explique qu’il faut informer la personne, avant la collecte, du recours à une telle technologie et des moyens offerts pour activer ces fonctions, et elle ajoute : « vous ne pouvez pas activer ces fonctions par défaut ». La personne doit pouvoir les activer elle-même.

En pratique, les témoins qui servent au ciblage publicitaire, au reciblage ou au suivi d’une personne d’un site à l’autre entrent généralement dans cette deuxième catégorie. Le gouvernement du Québec, dans ses consignes aux organismes publics, cite d’ailleurs le bandeau de consentement comme un moyen d’obtenir le geste positif de la personne. Voici la grille que nous utilisons pour classer les témoins d’un site :

Cette grille relève de la gestion du risque, pas d’une liste établie par la CAI. Votre conseiller juridique peut la resserrer ou l’assouplir selon votre situation.

Politique de confidentialité et responsable : ce que le site doit afficher

Deux éléments doivent être faciles à trouver sur votre site.

Le premier est la politique de confidentialité. La CAI indique que sa publication est obligatoire lorsqu’une entreprise recueille des renseignements personnels par un moyen technologique, qu’elle doit être rédigée en termes simples et clairs, et qu’elle doit notamment préciser les renseignements recueillis, les fins, les tiers à qui ils sont communiqués, les mesures de protection, l’usage de témoins de connexion et les droits des personnes. Les personnes doivent aussi être avisées de toute modification.

Le second est le responsable de la protection des renseignements personnels. Selon la CAI, c’est par défaut la personne ayant la plus haute autorité dans l’entreprise, souvent son dirigeant. Cette fonction peut être déléguée par écrit, en tout ou en partie. Le titre et les coordonnées du responsable doivent être publiés sur le site Web de l’entreprise; il n’est pas nécessaire d’en aviser la Commission.

Petite liste de vérification pour votre pied de page :

• un lien visible vers la politique de confidentialité, sur toutes les pages;
• le titre et les coordonnées du responsable (une adresse générique du type « confidentialite@ » est plus durable qu’un nom);
• un lien qui permet de rouvrir le bandeau et de modifier ses choix de témoins;
• une mention claire, près de chaque formulaire, des fins de la collecte.

Les formulaires d’abonnement à votre infolettre méritent la même attention : notre équipe de marketing par courriel prévoit des consentements distincts et documentés.

Google Analytics et Google Ads : configurer le mode Consentement

Les outils de Google sont présents sur une grande partie des sites québécois, et ils dépendent des témoins. Google propose un mécanisme appelé mode Consentement, qui transmet aux balises le choix fait par le visiteur dans votre bandeau. Selon la documentation de Google pour les développeurs (mise à jour le 30 juillet 2026), quatre signaux sont prévus :

1. ad_storage : autorise ou non l’enregistrement de témoins publicitaires;
2. analytics_storage : autorise ou non le stockage lié à la mesure d’audience;
3. ad_user_data : autorise ou non l’envoi de données d’utilisateur à Google à des fins publicitaires;
4. ad_personalization : autorise ou non la personnalisation des annonces.

Google décrit deux variantes. En mode de base, les balises restent bloquées tant que le visiteur n’a pas répondu au bandeau. En mode avancé, elles se chargent avec des valeurs par défaut et ajustent leur comportement après le choix. Pour un site qui vise le Québec, nous partons habituellement du mode de base, le plus simple à justifier, puis nous discutons avec vous des compromis sur la mesure.

Ce réglage a un effet direct sur vos rapports : moins de données brutes, des conversions parfois modélisées, des audiences de reciblage plus petites. Notre équipe d’analyse Web documente ces écarts pour éviter les mauvaises surprises, et nos spécialistes Google Ads adaptent les stratégies d’enchères en conséquence.

Sanctions : ce que la CAI peut imposer

La Loi 25 a donné des dents à la CAI. Selon sa page consacrée aux sanctions :

• les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial;
• les amendes pénales pour une entreprise vont de 15 000 $ à 25 millions de dollars ou 4 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé;
• ces amendes sont doublées en cas de récidive.

Ces plafonds visent d’abord les manquements graves, mais ils expliquent pourquoi tant d’entreprises ont revu leur site depuis 2023. La CAI rappelle elle-même que ses pages vulgarisent la loi et que les textes législatifs prévalent.

Notre accompagnement, depuis la Belgique et le Luxembourg

Ce que nous faisons concrètement : inventaire des témoins et des balises présents sur votre site, installation ou correction d’une plateforme de gestion du consentement, configuration du mode Consentement dans Google Tag Manager, vérification que rien ne se déclenche avant le choix du visiteur, puis rapport clair pour votre conseiller juridique. Si votre site doit être refait, nous intégrons ces exigences dès la création du site Web. Et puisque la langue est l’autre grand chantier réglementaire, lisez aussi notre page sur la loi 96 et votre site Web.

Notre équipe francophone, établie en Belgique et au Luxembourg, travaille avec vous à distance : visioconférence, partage d’écran, rapport mensuel, rencontres planifiées en tenant compte des six heures de décalage. Nous avons aussi l’habitude du cadre européen, souvent plus strict sur les témoins. Pour faire le point, obtenez un diagnostic gratuit de votre site.

Questions fréquentes sur la Loi 25 et les témoins de connexion