Loi 25, LPRPDE, lois américaines et RGPD : les règles sur les témoins comparées
En bref
La Loi 25 et le RGPD exigent généralement un consentement préalable avant les témoins non essentiels. La LPRPDE, ailleurs au Canada, permet le retrait pour certaines publicités en ligne, sous conditions strictes. Les lois américaines suivent un modèle de retrait centré sur la vente et le partage, avec le GPC comme refus valide dans plusieurs États.
À retenir
- Québec et UE : demander d’abord pour l’analyse et le marketing.
- Reste du Canada : un avis et un retrait facile peuvent suffire pour certaines publicités.
- États-Unis : permettre le retrait de la vente et du partage, et respecter le GPC.
- Une seule bannière avec des règles par région couvre les quatre.
Si votre site reçoit des visiteurs du Québec, du reste du Canada, des États-Unis et d’Europe, vous composez avec quatre approches différentes. Voici comment elles se comparent.
La comparaison en un coup d’œil
| Loi 25 (Québec) | LPRPDE (Canada) | Lois des États américains | RGPD et ePrivacy (UE) | |
|---|---|---|---|---|
| Modèle | Consentement préalable pour le suivi qui identifie, localise ou profile | Consentement valable; retrait parfois acceptable pour la publicité | Retrait de la vente, du partage et de la publicité ciblée | Consentement préalable |
| Par défaut | Désactivé jusqu’à l’accord | Selon la sensibilité et les attentes | Activé jusqu’au retrait | Désactivé jusqu’à l’accord |
| Signaux du navigateur | Non mentionnés | Non mentionnés | GPC exigé dans une douzaine d’États | Non mentionnés |
| Langue | Français exigé au Québec | Français ou anglais selon le cas | Généralement anglais | Langue locale attendue |
| Autorité | Commission d’accès à l’information | Commissariat à la protection de la vie privée | Procureurs généraux; agence californienne | Autorités nationales |
| Sanctions maximales | Jusqu’à 25 M$ ou 4 % du chiffre d’affaires mondial (pénal) | Amendes limitées pour certaines infractions | Amendes par violation, selon l’État | Jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial (RGPD) |
La Loi 25 au Québec
Depuis septembre 2023, une technologie capable d’identifier, de localiser ou de profiler une personne doit être désactivée par défaut, et la personne doit savoir comment l’activer. Pour un site, cela mène au consentement préalable pour l’analyse et la publicité. Lisez le guide de la Loi 25.
La LPRPDE ailleurs au Canada
La LPRPDE exige un consentement valable dont la forme dépend de la sensibilité des renseignements et des attentes raisonnables. Le Commissariat a indiqué que le retrait peut être acceptable pour la publicité comportementale si les gens sont informés clairement au moment de la collecte ou avant, peuvent se retirer facilement et durablement, que les renseignements ne sont pas sensibles, que les enfants ne sont pas ciblés et qu’aucune technique invisible comme l’empreinte numérique n’est utilisée.
Les lois des États américains
La Californie, le Colorado, le Connecticut, la Virginie, le Texas, l’Oregon et bien d’autres États ont des lois complètes. La plupart suivent un modèle de retrait : les gens doivent pouvoir refuser la vente ou le partage de leurs données et la publicité ciblée, souvent avec un lien « Do not sell or share ». Beaucoup d’États exigent de respecter le Global Privacy Control.
Le RGPD et ePrivacy dans l’UE
Les règles ePrivacy exigent le consentement avant de stocker ou de lire des informations non essentielles sur un appareil, et le RGPD définit un consentement valide : libre, spécifique, éclairé et univoque. En pratique : consentement préalable, refus aussi facile qu’acceptation et preuve.
Une seule bannière pour les quatre
Utilisez des règles par région : consentement préalable au Québec et dans l’UE, avis avec retrait facile ailleurs au Canada si votre conseiller l’approuve, avis de retrait avec option « Ne pas vendre ni partager » aux États-Unis, et GPC respecté partout. North Consent détecte la région dans le navigateur. Voir les règles par région.
Cette comparaison est un aperçu simplifié et non un avis juridique. Les lois évoluent, et des seuils et exceptions s’appliquent.
Questions fréquentes
Si je respecte le RGPD, suis-je couvert partout?
Appliquer la règle la plus stricte couvre la plupart des exigences, mais il faut encore les éléments américains (lien de retrait, GPC) et le français au Québec.
La LPRPDE exige-t-elle une bannière?
Elle n’en parle pas. Une bannière est une façon pratique de donner l’avis clair et le retrait facile qu’attend le Commissariat.
Quels États exigent le GPC?
Une douzaine, dont la Californie, le Colorado, le Connecticut, l’Oregon, le Texas et le New Jersey. La liste s’allonge.
À lire aussi
Loi 25 et témoins : ce que votre site Web doit faire
Ce que la Loi 25 change pour les témoins sur votre site : désactivé par défaut, information claire, choix facile et preuve. Une liste pratique.
Global Privacy Control (GPC) expliqué aux propriétaires de sites
Ce qu’est le Global Privacy Control, quels États américains exigent de le respecter, comment les navigateurs l’envoient et comment le respecter automatiquement.
Mode de consentement v2 de Google : guide de configuration en mots simples
Configurez le mode de consentement v2 de Google : les quatre signaux, le refus par défaut, les modes de base et avancé, et la vérification avec Tag Assistant.