Loi 25, étape du 22 septembre 2023 : consentement et balises publicitaires

Depuis le 22 septembre 2023, la deuxième étape de la Loi 25 s'applique aux entreprises québécoises. Si votre site utilise des balises comme celle de Google Ads, le pixel Meta ou Google Analytics, cette étape touche directement la manière dont ces outils doivent être présentés aux visiteurs avant de recueillir leurs renseignements. Voici ce qui change concrètement, et comment nous ajustons la configuration des balises publicitaires sur les sites de nos clients.

Qu'est-ce qui change le 22 septembre 2023 ?

Le 22 septembre 2023 marque la deuxième des trois étapes prévues par la Loi 25, la loi qui modernise la protection des renseignements personnels dans le secteur privé au Québec. La première étape, en vigueur depuis septembre 2022, obligeait les entreprises à nommer un responsable de la protection des renseignements personnels et à tenir un registre des incidents de confidentialité. La troisième étape, prévue pour septembre 2024, portera sur la portabilité des données.

Cette deuxième étape resserre les règles de consentement. Le consentement doit être demandé séparément des autres conditions d'utilisation, formulé en langage clair, et donné pour une fin précise. Une case cochée d'avance, ou un consentement caché dans une longue politique de confidentialité, ne suffit plus.

Elle ajoute aussi une obligation moins connue, mais qui touche directement les sites web : informer les visiteurs, avant la collecte, lorsqu'une technologie permet de les identifier, de les localiser ou de dresser leur profil, et leur indiquer les moyens de désactiver cette fonction.

Qui est visé par cette étape de la loi ?

La Loi 25 vise toute entreprise privée qui recueille des renseignements personnels au Québec, sans seuil basé sur la taille ou le chiffre d'affaires. Un site vitrine d'une seule page qui installe le pixel Meta pour faire du remarketing est visé de la même façon qu'une grande entreprise. La taille de l'organisation change l'ampleur du travail à faire pour se conformer, pas l'obligation elle-même.

Quelles balises publicitaires sont concernées sur un site web ?

Toute balise qui lit un témoin (cookie) ou un identifiant d'appareil pour identifier, localiser ou dresser un profil du visiteur entre dans cette catégorie. Sur la plupart des sites de PME au Québec, ça couvre la balise de remarketing de Google Ads, le pixel Meta, la balise LinkedIn Insight, Google Analytics, et les outils de cartes de chaleur ou d'enregistrement de session.

Les témoins strictement nécessaires au fonctionnement du site, comme ceux qui gardent un panier d'achat actif ou qui protègent un formulaire contre les robots, ne posent pas le même problème : ils ne servent pas à identifier, localiser ou profiler le visiteur à des fins publicitaires.

Un formulaire de contact qui envoie une demande directement à une boîte courriel, sans témoin tiers, n'est pas visé de la même façon. La distinction se fait sur la technologie utilisée, pas sur l'intention du site.

Que dit la loi sur le langage de la bannière ?

Le consentement doit être manifeste, libre et éclairé, et donné pour des fins spécifiques, ce qui exclut les formulations générales du type « ce site utilise des témoins pour améliorer votre expérience ». Une bannière conforme nomme les catégories de collecte, explique à quoi chacune sert, et distingue ce qui est nécessaire de ce qui ne l'est pas.

Nous évitons aussi les designs qui rendent le bouton de refus plus petit ou moins visible que le bouton d'acceptation. Rien dans la loi n'interdit un design précis, mais ce genre d'asymétrie visuelle va à l'encontre de l'esprit d'un consentement donné librement.

Une phrase du type « en poursuivant votre navigation sur ce site, vous acceptez l'utilisation des témoins » ne répond pas non plus à l'exigence : naviguer n'est pas un choix affirmatif, et la phrase ne distingue pas les catégories collectées. Le visiteur a besoin d'un geste clair à poser, et d'un moyen tout aussi clair de refuser.

Comment obtenir un consentement valide avant le chargement des balises ?

Le consentement doit précéder la collecte. Dans notre lecture des règles de consentement et de respect de la vie privée par défaut (art. 8.1 et 9.1 de la Loi sur la protection des renseignements personnels dans le secteur privé), ça veut dire que les balises publicitaires et de mesure ne devraient pas se charger avant que le visiteur ait fait un choix. Une bannière qui affiche un bouton « Accepter » pendant que Google Analytics tourne déjà en arrière-plan ne respecte pas cette séquence, même si le bouton est bien visible.

Dans notre pratique, un consentement valide réunit ces éléments : les balises sont bloquées par défaut au chargement de la page ; les catégories sont présentées séparément (nécessaires, mesure d'audience, publicité) plutôt que regroupées dans un seul bouton ; le refus est aussi facile d'accès que l'acceptation ; et le choix du visiteur est enregistré, avec une date, pour pouvoir le démontrer en cas de vérification.

Que faire des balises déjà actives sur un site existant ?

La première étape est un audit, pas une reconfiguration à l'aveugle. Un gestionnaire de balises comme Google Tag Manager permet de voir la liste complète de ce qui se charge sur le site, souvent plus longue que ce que le propriétaire pense : un outil ajouté par un ancien fournisseur, un plugiciel WordPress qui embarque sa propre analytique, ou une balise de test jamais retirée.

Une fois la liste établie, chaque balise est classée par catégorie et reliée à l'état de consentement correspondant dans le gestionnaire. Les balises non classées restent bloquées par défaut jusqu'à ce qu'elles soient examinées. La politique de confidentialité du site doit ensuite être mise à jour pour nommer les catégories utilisées et les moyens de désactivation, en langage simple.

Après la mise en place, nous vérifions dans les outils de développement du navigateur qu'aucune requête vers Google Analytics, Meta ou Google Ads ne part avant que le visiteur ait cliqué. C'est la seule façon de confirmer que le blocage fonctionne réellement, plutôt que de se fier uniquement à ce que montre l'interface du gestionnaire de balises.

Comment configurons-nous ce consentement chez nos clients ?

Nous utilisons trois catégories sur les sites que nous configurons : nécessaires (le fonctionnement du site, jamais désactivables), mesure d'audience (Google Analytics et les outils similaires), et publicité (la balise Google Ads, le pixel Meta, LinkedIn). Le visiteur peut accepter ou refuser chaque catégorie séparément, et son choix reste modifiable en tout temps depuis un lien dans le pied de page.

Pour notre service de suivi des appels et conversions, ce changement ajoute une étape : la balise qui enregistre une conversion doit maintenant attendre le consentement avant de s'activer. Le suivi des appels et des formulaires est donc configuré pour fonctionner correctement autant avec le consentement qu'avec le refus, sans faire planter le reste du site.

Nous vérifions aussi ce qui se passe quand un visiteur revient sur le site après avoir fait un choix. Une bannière qui réapparaît à chaque visite, ou qui se réinitialise après une mise à jour du navigateur, crée de la confusion et des clics inutiles. Le choix enregistré doit tenir jusqu'à ce que le visiteur le modifie lui-même.

Qu'est-ce qui reste mesurable après ce changement ?

Les visiteurs qui refusent les catégories de mesure et de publicité ne génèrent plus de donnée dans ces outils, ce qui réduit le volume de données brutes disponible. Ce n'est pas un détail à minimiser : sur un site avec peu de trafic, un taux de refus élevé peut rendre certains rapports peu fiables.

Ce qui reste comptabilisable, dans notre expérience, c'est le suivi des appels téléphoniques et des soumissions de formulaire configuré directement sur le site plutôt que par une balise tierce. Ces données restent comptabilisables parce que ce sont les propres dossiers de l'entreprise, mais elles doivent tout de même être couvertes par la politique de confidentialité et par les catégories de consentement dès qu'un témoin ou un identifiant est utilisé, par exemple quand un système de remplacement de numéro sert à attribuer un appel à sa source publicitaire. C'est une des raisons pour lesquelles nous suivons les conversions à la source plutôt que de dépendre uniquement d'une plateforme publicitaire pour les compter.

Une balise ajoutée plus tard, par une équipe marketing qui teste une nouvelle plateforme publicitaire ou par un plugiciel qui embarque son propre outil de suivi, doit passer par le même classement avant d'être mise en ligne. Une vérification récurrente du gestionnaire de balises évite qu'une configuration conforme aujourd'hui devienne l'audit de l'an prochain.

Si votre site affiche encore des balises publicitaires avant que le visiteur ait fait un choix, la correction commence dans le gestionnaire de balises. Nous pouvons y jeter un œil si vous voulez un deuxième avis sur votre configuration actuelle.

Ce texte décrit une pratique générale de configuration, pas un avis juridique : les obligations exactes de la Loi 25 pour votre organisation devraient être validées par un professionnel du droit de la vie privée avant la mise en place.

Rédigé avec l'aide d'outils d'IA, vérifié et publié par Marven Salgado.