Cookies et bannière de consentement — Exigences Loi 25 Québec

Contexte légal

Les cookies et autres technologies de suivi (pixels, fingerprinting, scripts d'analyse) sont visés par plusieurs articles de la Loi 25. L'article 8.1 traite spécifiquement des technologies d'identification, de localisation et de profilage. L'article 9.1 fixe les paramètres de confidentialité par défaut, avec une exception pour les témoins. L'article 14 énonce les critères de validité du consentement, développés en huit critères opérationnels par les Lignes directrices CAI 2023-1. L'ensemble forme un cadre cohérent : les cookies de profilage exigent un consentement préalable, valide et révocable.

Définition légale

Cadre juridique applicable

Article 8.1 — Technologies d'identification, de localisation et de profilage

« En plus des informations devant être fournies suivant l'article 8, la personne qui recueille des renseignements personnels auprès de la personne concernée en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage de celle-ci doit, au préalable, l'informer : 1° du recours à une telle technologie ; 2° des moyens offerts pour activer les fonctions permettant d'identifier, de localiser ou d'effectuer un profilage. »

L'article précise : « Le profilage s'entend de la collecte et de l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne physique, notamment à des fins d'analyse du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts ou du comportement de cette personne. »

La CAI précise dans sa documentation : « Ces technologies ne pourront être activées par défaut : ce sera à la personne concernée de les activer, si elle le souhaite. »

Article 9.1 — Paramètres de confidentialité par défaut + exception cookies

« Une personne qui exploite une entreprise et qui recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité doit s'assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne concernée. »

Alinéa 2 : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d'un témoin de connexion. »

Note critique : cette exception ne dispense pas du consentement préalable pour les cookies de profilage. Elle dispense seulement de l'obligation de configurer par défaut au plus haut niveau de confidentialité. Le consentement reste requis via les articles 8.1 et 14.

Article 14 — Validité du consentement

Voir module 3 pour le texte intégral. Les huit critères opérationnels (CAI 2023-1) s'appliquent intégralement aux cookies : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire, distinct.

Lignes directrices CAI 2023-1, paragraphe 2.2 — Caractère libre

« Le fait de mettre en valeur l'acceptation plutôt que le refus peut rendre le consentement sans effet, peu importe la façon exacte de le faire : mise en évidence visuelle (couleurs, taille de police, etc.), efforts que l'utilisateur doit faire en nombre de clics ou en navigation Web, formulation volontairement ambiguë, textes trompeurs, etc. »

Lignes directrices CAI 2023-1, exemple 2-a

Une application municipale propose deux boutons « J'accepte » et « Je refuse » exactement à la même hauteur, de la même couleur, avec la même taille de police. C'est le standard d'équivalence visuelle attendu.

Lignes directrices CAI 2023-1, exemple B-b

« Le site Web d'un magazine propose des recommandations personnalisées d'articles en fonction des intérêts des lecteurs, inférés par un algorithme d'intelligence artificielle. Les renseignements qui servent à l'inférence (...) sont recueillis à l'aide de témoins (cookies) déposés sur l'appareil du lecteur. Puisque cette technologie permet d'effectuer un profilage, le magazine affiche une fenêtre superposée lors de la première visite sur le site et fournit aux personnes concernées les informations prévues par la loi. Il leur indique ensuite comment activer le dépôt des témoins. »

Obligations concrètes pour les organisations

• Identifier les cookies déposés sur le site et leur catégoriser (essentiels / mesure / marketing / réseaux sociaux / profilage)
• Bloquer les cookies non essentiels avant le consentement (configuration Tag Manager ou équivalent)
• Afficher une bannière à la première visite avec information préalable
• Présenter les boutons « Accepter » et « Refuser » de manière équivalente (couleur, taille, position)
• Offrir un paramétrage granulaire par catégorie de cookie
• Fournir un lien permanent pour modifier les choix après coup
• Journaliser les consentements (preuve : qui, quand, quoi)
• Réviser périodiquement en cas d'ajout d'outil ou de changement

Exemples concrets pour une PME

Erreur stratégique fréquente

Deux réalités possibles

Exemples d'application concrète

Plateformes de gestion du consentement (CMP)

Plusieurs solutions sont disponibles pour PME : CookieYes, Complianz (WordPress), OneTrust, Termly, Cookiebot, Tarte au Citron, Axeptio. Toutes permettent un consentement préalable réel, à condition d'être configurées correctement avec le Tag Manager. La présence d'un CMP ne suffit pas — c'est sa configuration qui détermine la conformité.

Compatibilité avec Google Consent Mode v2

Pour les organisations qui utilisent Google Analytics 4 ou Google Ads, Google Consent Mode v2 permet aux scripts Google d'adapter leur comportement au consentement reçu. Compatible avec la majorité des CMP modernes, il facilite la conformité technique sans perdre toute analyse de trafic.

Le test technique en 30 secondes

Ouvrir le site en navigation privée, ouvrir les outils développeurs (onglet Application > Cookies), recharger la page sans cliquer. Si Google Analytics, Meta Pixel, Hotjar ou tout autre cookie de profilage est déposé avant clic — la bannière n'est pas fonctionnelle. C'est la preuve concrète qu'utilise un auditeur.

Risques en cas de non-conformité

Sanctions juridiques

• Sanction administrative pécuniaire (art. 90.12) — jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial
• Amende pénale (art. 91) — de 15 000 $ à 25 M$ ou 4 % du CA mondial, doublée en récidive
• Consentement sans effet — les données collectées via cookies non consentis n'ont pas de base légale
• Ordonnance de la CAI — obligation de modifier la bannière, de cesser certains scripts
• Action privée — recours d'une personne ayant subi un préjudice

Coûts opérationnels

• Reconfiguration sous pression de Tag Manager et du CMP
• Possible suppression des données collectées sous consentement invalide
• Réécriture des analyses marketing sur une base techniquement et juridiquement saine
• Pertes commerciales B2B avec partenaires qui auditent les bannières
• Communication aux clients ou aux abonnés sur la mise à jour des pratiques

Une configuration correcte du CMP réduit ces coûts — elle ne les crée pas.

Concrètement pour une PME

Lien avec la gouvernance PRP

Aucun module de la Formation Gouvernance PRP ne couvre spécifiquement les bannières de cookies — c'est un sujet 100 % site web. Le cadre du consentement (article 14, 8 critères) est traité dans le module Politique de confidentialité de la Formation Gouvernance, mais l'application web concrète aux cookies est uniquement dans ce module-ci.

Concrètement

• Vos obligations s'appliquent dès qu'un cookie non essentiel est déposé sur votre site.
• Mais sans configuration technique réelle de la bannière, ces obligations ne sont pas respectées — peu importe l'aspect visuel.
• Ce qui transforme la situation théorique en exposition réelle, c'est le premier audit B2B, la première plainte ou la première vérification CAI.

La Formation Site web et Loi 25 traite ce module après les outils tiers parce que les cookies sont déposés par les outils tiers. Comprendre les outils en premier rend la mécanique des cookies plus claire.

Faire auditer mon site web Planifier la formation