Ceci n’est pas un avis juridique. Nous installons des sites Web, des outils d’analytique et du suivi publicitaire pour des entreprises du Québec, et ce guide explique l’effet de la Loi 25 sur ce travail. Pour vos obligations précises, consultez un avocat ou la Commission d’accès à l’information du Québec (CAI).
Si votre entreprise recueille des renseignements personnels par son site Web, la Loi 25 vous oblige à publier une politique de confidentialité, à nommer un responsable de la protection des renseignements personnels et à obtenir le consentement du visiteur avant d’activer les témoins (cookies) qui permettent de l’identifier, de le localiser ou d’établir son profil. Concrètement : une bannière où refuser est aussi simple qu’accepter, et des outils d’analytique et des pixels publicitaires désactivés tant que le visiteur n’a pas dit oui.
Dans ce guide : ce qui s’applique à un site d’entreprise typique, comment gérer Google Analytics, le pixel Meta et Shopify, et une liste de vérification à suivre.
La Loi 25 en mots simples
La Loi 25 (autrefois le projet de loi 64) a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Adoptée en septembre 2021, elle est entrée en vigueur en trois étapes :
| Date | Ce qui est entré en vigueur |
|---|---|
| 22 septembre 2022 | Un responsable de la protection des renseignements personnels (par défaut, la personne ayant la plus haute autorité dans l’entreprise) et la déclaration des incidents de confidentialité à la CAI |
| 22 septembre 2023 | La majorité des règles qui touchent les sites Web : politique de confidentialité, consentement, technologies de suivi, évaluations des facteurs relatifs à la vie privée, communication hors Québec et sanctions administratives de la CAI |
| 22 septembre 2024 | Le droit à la portabilité des données (recevoir ses renseignements dans un format technologique structuré et couramment utilisé) |
Elle s’applique aux entreprises de toutes tailles. Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions ou 4 %, selon le montant le plus élevé. Une petite entreprise a peu de chances de recevoir de tels montants, mais une plainte à la CAI et les corrections à faire après coup coûtent du temps et de l’argent.
Ce que la Loi 25 exige d’un site Web
Pour la plupart des sites de PME et des boutiques en ligne, ça se résume à cinq choses.
1. Un responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité dans l’entreprise (le propriétaire ou le PDG). Cette fonction peut être déléguée par écrit. Son titre et ses coordonnées doivent être publiés sur votre site Web.
2. Une politique de confidentialité en termes simples et clairs. Si vous recueillez des renseignements personnels par un moyen technologique comme un site Web, vous devez y publier une politique de confidentialité. Selon le guide de la CAI, elle explique notamment ce que vous recueillez, pourquoi, par quels moyens (y compris les témoins), avec qui c’est partagé, si les renseignements peuvent sortir du Québec, et comment refuser ou retirer son consentement.
3. Des technologies de suivi désactivées tant que le visiteur ne les active pas. L’article 8.1 de la loi vise les technologies qui permettent d’identifier, de localiser ou d’effectuer un profilage. Vous devez informer la personne de leur utilisation et des moyens offerts pour activer ces fonctions. Les pixels publicitaires et les outils d’analytique qui suivent le comportement entrent dans cette catégorie, d’où la pratique courante au Québec de les laisser désactivés jusqu’à l’acceptation. Les témoins strictement nécessaires au fonctionnement du site (le panier, la connexion, la mémorisation du choix de consentement) n’exigent pas de consentement.
4. Un consentement qui veut dire quelque chose. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Les lignes directrices de la CAI précisent que le silence ou l’inaction ne valent pas consentement, et que le consentement doit être granulaire. En pratique : pas de case précochée, pas de « en poursuivant votre navigation, vous acceptez », et un consentement par finalité plutôt qu’un oui global.
5. Un retrait facile. Les gens doivent pouvoir changer d’idée. Un lien « Paramètres des témoins » dans le pied de page, qui rouvre la bannière, fait l’affaire.
La loi demande aussi une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l’extérieur du Québec. Google Analytics, Meta, Shopify et la plupart des outils de formulaires conservent les données hors Québec. Une courte évaluation écrite de ces services doit donc se trouver dans vos dossiers. Elle ne va pas sur le site, mais votre politique de confidentialité doit mentionner que les renseignements peuvent être traités à l’extérieur du Québec.
Bannière de témoins : ce qui est conforme et ce qui ne l’est pas
| Généralement correct | Généralement à éviter |
|---|---|
| Des boutons « Accepter » et « Refuser » de même taille, côte à côte | Un gros bouton « Accepter » et un petit lien gris « Paramètres » |
| L’analytique et la publicité restent désactivées jusqu’au clic sur « Accepter » | Un suivi qui se charge d’abord et demande ensuite |
| Une courte phrase sur ce que vous suivez et pourquoi, avec un lien vers la politique | « Nous utilisons des témoins pour améliorer votre expérience », sans plus |
| Des choix distincts pour l’analytique et la publicité, si vous utilisez les deux | Un seul « Tout accepter » sans possibilité de choisir |
| Un lien « Paramètres des témoins » dans le pied de page | Aucun moyen de retirer son consentement |
| La bannière en français (et en anglais si le site est bilingue) | Une bannière seulement en anglais sur un site québécois |
Sur notre propre site, nexasolutions.ca, la bannière offre deux boutons égaux, l’analytique reste désactivée tant que le visiteur n’accepte pas, et un lien dans le pied de page permet de la rouvrir.
Google Analytics et le pixel Meta sous la Loi 25
Google Analytics 4 et Google Ads : utilisez le mode Consentement. Le mode Consentement (Consent Mode) indique aux balises Google ce que le visiteur a accepté. La version 2 comporte quatre signaux : analytics_storage, ad_storage, ad_user_data et ad_personalization. On les règle tous à « denied » par défaut, et la bannière les passe à « granted » quand le visiteur accepte.
Il y a deux façons de l’utiliser :
- De base : les balises Google ne se chargent pas du tout avant l’acceptation. Rien n’est envoyé avant le consentement.
- Avancé : les balises se chargent, mais sans témoins, et envoient des signaux anonymes que Google utilise pour modéliser les visites et conversions qu’il ne voit pas.
Le mode avancé récupère plus de données, mais il envoie quelque chose avant le consentement. Validez avec votre avocat lequel convient à votre politique. Dans les deux cas, vérifiez dans GA4 (Admin › Collecte de données) que les signaux Google et la collecte de données fournies par l’utilisateur correspondent à ce que dit votre politique de confidentialité.
Le pixel Meta n’a pas d’équivalent au mode Consentement, mais il a un interrupteur : fbq('consent', 'revoke') avant le démarrage du pixel, puis fbq('consent', 'grant') quand le visiteur accepte. La plupart des outils de consentement, et la bannière de Shopify, s’en occupent pour vous. L’API Conversions (suivi côté serveur) doit respecter le même choix.
Ce que vous perdez. Quand le suivi attend le consentement, Analytics et les plateformes publicitaires voient moins de visites et moins de conversions. Vos ventes, elles, ne changent pas : seule la mesure baisse. Raison de plus pour juger vos publicités sur des chiffres globaux (ventes en ligne totales divisées par les dépenses publicitaires totales), qui ne dépendent pas des témoins. On l’explique dans qu’est-ce qu’un bon ROAS.
Dans nos comptes
Quand on configure le suivi d’une boutique, le consentement fait partie du travail, ce n’est pas un extra. On branche la bannière de témoins sur le mode Consentement de Google et sur les paramètres de confidentialité de Shopify, pour que Google Analytics et Google Ads respectent le choix du visiteur. Côté Meta, le pixel et l’API Conversions envoient les mêmes événements avec un identifiant commun, et suivent le même choix.
La première étape est toujours un audit de ce qui est déjà en place. Un problème qu’on rencontre, ce n’est pas l’absence de bannière : c’est une bannière installée alors que l’analytique se charge avant que le visiteur réponde. Sur une boutique québécoise qu’on a vérifiée, Google Analytics se déclenchait avant le consentement, même si la bannière avait l’air correcte. La bannière était là; les balises ne l’écoutaient tout simplement pas.
Ensuite, on passe des commandes test en français et en anglais et on les vérifie dans chaque outil. Si quelque chose part sans consentement, on le voit à ce moment-là.
Boutiques Shopify : quoi vérifier
Shopify offre ses propres outils de consentement, ce qui simplifie l’essentiel.
- Paramètres de confidentialité des clients. Dans l’administration Shopify › Paramètres › Confidentialité des clients, vous pouvez activer la bannière de témoins de Shopify et choisir les régions où elle s’affiche. Assurez-vous que vos visiteurs du Québec sont couverts (vérifiez si la liste propose le Québec seul ou seulement le Canada au complet).
- Les applications ajoutent des traceurs. Les applications d’avis, de fenêtres contextuelles, de clavardage ou de ventes additionnelles chargent souvent leurs propres scripts et témoins. Chacune devrait attendre le consentement, ou être classée strictement nécessaire seulement si elle l’est vraiment. Supprimez celles que vous n’utilisez plus.
- Pixels et événements clients. Les canaux Facebook et Instagram et Google et YouTube de Shopify lisent le consentement du visiteur. Les pixels collés à la main dans le thème, ou ajoutés il y a des années par une vieille application, le font rarement. Cherchez-les dans le code du thème et dans Paramètres › Événements clients.
- Le français. Le texte de la bannière, la politique de confidentialité et le passage à la caisse doivent être offerts en français.
Si vous travaillez aussi sur la visibilité de votre boutique, notre équipe Shopify fait ce genre de ménage dans le cadre d’une révision de boutique.
Liste de vérification Loi 25 pour votre site
| ✓ | Élément |
|---|---|
| ☐ | Responsable de la protection des renseignements personnels nommé, avec titre et coordonnées sur le site |
| ☐ | Politique de confidentialité publiée, en termes clairs, en français (et en anglais si le site est bilingue) |
| ☐ | La politique indique ce que vous recueillez, pourquoi, quels outils et témoins vous utilisez, et que les données peuvent être traitées hors Québec |
| ☐ | Bannière de témoins où « Accepter » et « Refuser » sont aussi simples l’un que l’autre |
| ☐ | Analytique et pixels publicitaires désactivés jusqu’à l’acceptation (mode Consentement à « denied » par défaut) |
| ☐ | Choix distincts pour l’analytique et la publicité, si vous utilisez les deux |
| ☐ | Lien « Paramètres des témoins » dans le pied de page |
| ☐ | Chaque application et script vérifié : attend-il le consentement? |
| ☐ | Les formulaires ne demandent que le nécessaire, avec un lien vers la politique |
| ☐ | L’inscription à l’infolettre est une case distincte, non cochée (aussi exigé par la Loi canadienne anti-pourriel, LCAP) |
| ☐ | Courte évaluation des facteurs relatifs à la vie privée au dossier pour les outils qui conservent des données hors Québec |
| ☐ | Un registre des incidents de confidentialité (même vide) |
Pour vérifier le suivi plus en détail, utilisez notre liste de vérification du suivi des conversions. Si vous annoncez sur Google ou Meta, on installe le consentement et le suivi ensemble, pour rester conforme sans perdre plus de données que nécessaire. Écrivez-nous et on vérifiera votre site.
FAQ
La Loi 25 s’applique-t-elle aux petites entreprises? Oui. Elle s’applique aux entreprises qui recueillent des renseignements personnels au Québec, peu importe leur taille. Ce qui change avec la taille, c’est surtout le niveau de documentation raisonnable.
Ai-je besoin d’une bannière de témoins au Québec? Si votre site utilise des outils d’analytique ou de publicité capables d’identifier ou de profiler les visiteurs, il faut offrir un moyen de les activer. La bannière de témoins est la façon habituelle de le faire. Un site qui n’utilise que des témoins strictement nécessaires n’en a pas besoin.
Google Analytics est-il permis sous la Loi 25? Oui, avec consentement. Réglez le mode Consentement à « denied » par défaut, activez l’analytique quand le visiteur accepte, mentionnez-le dans votre politique de confidentialité et gardez au dossier une courte évaluation de la communication hors Québec.
La Loi 25, est-ce comme le RGPD européen? L’esprit est proche (consentement, transparence, sanctions selon le chiffre d’affaires), mais ce sont deux lois distinctes. Une bannière conforme au RGPD est un bon point de départ, mais vérifiez les exigences sur le français et les règles propres au Québec.
Qui fait respecter la Loi 25? La Commission d’accès à l’information du Québec (CAI). Elle traite les plaintes, peut faire enquête et imposer des sanctions administratives pécuniaires.
Sources : CAI, principaux changements apportés par la Loi 25; CAI, Rédiger une politique de confidentialité (guide pour les entreprises); CAI, lignes directrices 2023-1 sur les critères de validité du consentement; Centre d’aide Shopify, paramètres de confidentialité des clients.
Besoin d’aide avec ça?
Marketing par courrielDes flux Klaviyo qui transforment une première commande en clients fidèles.→ShopifyDes boutiques Shopify conçues pour se classer et vendre.→ Liste gratuiteListe Klaviyo : courriel et SMS, 36 points, en ligne ou en PDF.→Vous voulez savoir ce que le courriel pourrait vous rapporter?
Nous regardons vos flux Klaviyo, vos formulaires d’inscription et la part du courriel dans vos ventes, puis nous vous disons quoi corriger en premier. Vous n’êtes pas obligé de faire affaire avec nous ensuite.
Audit de fidélisation gratuit