Loi 25 et témoins : ce que votre site Web doit faire

La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, appelée Loi 25, a modifié la loi sur le secteur privé par étapes entre 2022 et 2024. La partie qui touche le plus les témoins est en vigueur depuis le 22 septembre 2023.

Ce que dit la Loi 25 sur les technologies de suivi

L’article 8.1 de la loi sur le secteur privé vise les technologies qui permettent d’identifier, de localiser ou de profiler une personne. Si vous recueillez des renseignements personnels avec une telle technologie, vous devez en informer la personne et lui expliquer comment activer ces fonctions. L’article 9.1 ajoute que les paramètres de confidentialité d’un produit ou service technologique doivent assurer, par défaut, le plus haut niveau de confidentialité, sans aucune intervention de la personne.

Sur un site Web, les outils d’analyse, les pixels publicitaires et l’enregistrement de sessions entrent généralement dans cette catégorie. Résultat : pour les visiteurs du Québec, ces outils restent désactivés jusqu’à ce que le visiteur les active.

Ce que cela change pour votre bannière

• Consentement préalable. Chargez les balises d’analyse et de publicité seulement après l’accord du visiteur.
• Une information claire. Expliquez chaque catégorie en français et en anglais simples.
• Un vrai choix. Refuser doit être aussi facile qu’accepter.
• La possibilité de changer d’idée. Gardez un lien Paramètres des témoins sur chaque page.

Quels témoins exigent un consentement

Les témoins strictement nécessaires, comme un panier d’achat, une session de connexion ou la répartition de charge, peuvent fonctionner sans choix. L’analyse, la publicité, les pixels de réseaux sociaux et l’enregistrement de sessions exigent généralement un consentement. En cas de doute, traitez l’outil comme non essentiel. Notre guide d’audit des témoins vous aide à dresser la liste.

Étape par étape

1. Dressez la liste de vos témoins et traceurs. Analysez le site et classez chaque témoin : essentiel, fonctionnel, analyse ou marketing.
2. Réglez le Québec en consentement préalable. Les catégories non essentielles restent désactivées pour les visiteurs du Québec jusqu’à leur accord.
3. Rédigez la bannière en français et en anglais. Le français doit être offert. Décrivez chaque catégorie en mots simples.
4. Offrez des boutons Accepter et Refuser égaux. Même taille, même couleur et même poids dès le premier écran.
5. Publiez une politique et gardez un registre. Liez une politique qui liste vos témoins et conservez chaque choix avec sa date.

Sanctions et application

La Commission d’accès à l’information du Québec (CAI) veille à l’application de la loi. La Loi 25 prévoit des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et des amendes pénales pouvant atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Garder un registre de chaque choix est la façon la plus simple de démontrer votre conformité.

La Loi 25 et le reste du Canada

Ailleurs au Canada, la LPRPDE fédérale s’applique à la plupart des entreprises privées et permet un consentement implicite (retrait) pour certaines publicités en ligne, sous conditions. Beaucoup d’entreprises appliquent la règle québécoise aux visiteurs du Québec et un avis ailleurs. Voir notre comparaison Loi 25, LPRPDE, lois américaines et RGPD.

Ce guide est de l’information générale et non un avis juridique. Faites valider votre configuration par un avocat qui connaît le droit québécois.