Loi 25 du Québec : ce qu’elle change pour les cookies et le suivi

Qu’est-ce que la Loi 25 ?

La Loi 25, présentée comme projet de loi 64 et sanctionnée le 22 septembre 2021 (L.Q. 2021, chapitre 25), a réécrit les deux lois québécoises sur la vie privée : la Loi sur la protection des renseignements personnels dans le secteur privé, qui s’applique aux entreprises, et la Loi sur l’accès aux documents des organismes publics. Elle est entrée en vigueur en trois vagues. Le 22 septembre 2022, les entreprises ont dû désigner un responsable de la protection des renseignements personnels et déclarer les incidents de confidentialité. Le 22 septembre 2023 est arrivé l’essentiel des obligations : évaluations des facteurs relatifs à la vie privée, règles de consentement, confidentialité par défaut, devoirs de transparence pour les technologies de suivi, et le nouveau régime de sanctions. Le 22 septembre 2024 a suivi le droit à la portabilité des données.

À qui s’applique la Loi 25 ?

La loi sur le secteur privé s’applique à toute personne qui exploite une entreprise et qui recueille, détient, utilise ou communique des renseignements personnels sur des résidents du Québec, sans seuil de taille ni de chiffre d’affaires et sans obligation d’être établie au Québec. Une entreprise en ligne ailleurs au Canada ou à l’étranger qui sert des clients québécois ou suit des visiteurs québécois est couverte. La loi québécoise est l’un des trois régimes provinciaux jugés essentiellement similaires à la LPRPDE fédérale, qu’elle remplace pour les entreprises exerçant dans la province.

Qu’exige la Loi 25 pour les cookies et les traceurs ?

Deux articles comptent pour les sites.

L’article 8.1 prévoit que quiconque recueille des renseignements personnels auprès d’une personne au moyen d’une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage doit, au préalable, l’informer du recours à cette technologie et des moyens offerts pour activer ces fonctions. Le profilage est défini largement comme la collecte et l’utilisation de renseignements personnels pour évaluer des caractéristiques, notamment pour analyser ou prédire le rendement au travail, la situation économique, la santé, les préférences, les intérêts ou le comportement. La lecture de la Commission, exposée sur sa propre page consacrée à la Loi 25, est que ces fonctions ne peuvent pas être activées par défaut : c’est la personne qui doit les activer. Les cookies publicitaires qui construisent des profils d’intérêts, les outils de mesure d’audience qui suivent les individus d’une session à l’autre et la géolocalisation relèvent tous de cette règle, ce qui en fait des fonctions à activer par la personne.

L’article 9.1 exige que les produits et services offerts au public assurent par défaut le plus haut niveau de confidentialité, sans aucune intervention de la personne. Son deuxième alinéa précise que cela ne s’applique pas aux paramètres de confidentialité des témoins (cookies) du navigateur, ce qui est souvent mal lu comme une exemption pour les cookies. Cela signifie seulement que le site n’a pas à forcer les paramètres de cookies d’un navigateur ; l’article 8.1 régit toujours les fonctions de suivi elles-mêmes.

L’article 14 fixe le standard du consentement : il doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé distinctement de toute autre information, en termes simples et clairs, et il ne vaut que pour la durée nécessaire à la réalisation des fins. Le consentement pour des renseignements sensibles doit être exprès. L’article 8 liste ce que la personne doit savoir lors de la collecte : les fins, les moyens, ses droits, et si les renseignements peuvent être communiqués hors du Québec.

Les cookies strictement nécessaires qui n’identifient, ne localisent ni ne profilent personne (un identifiant de session, un panier, l’enregistrement du choix de consentement lui-même) sont hors de l’article 8.1 et n’appellent que la transparence générale de l’article 8. La mesure d’audience interne qui compte les visites sans suivre les individus est à la limite ; une mesure d’audience configurée pour reconnaître un visiteur qui revient ou pour construire des audiences est du profilage et exige cette activation préalable.

Que doit faire un bandeau conforme ?

• Décrire, avant tout suivi, que le site utilise une technologie capable d’identifier, de localiser ou de profiler le visiteur, et à quoi elle sert.
• Garder ces fonctions désactivées jusqu’à ce que le visiteur les active : un Accepter ou un opt-in par catégorie, pas de cases précochées ni de suivi lancé au chargement de la page.
• Proposer une option Refuser aussi visible qu’Accepter, et un retour vers les réglages pour retirer le consentement.
• Présenter la demande en français aux visiteurs québécois (la Charte de la langue française s’applique aux sites qui servent le Québec), et en langage simple.
• Enregistrer le choix, puisque l’entreprise doit pouvoir démontrer qu’elle a obtenu un consentement valable.

Contrôles et sanctions

Depuis le 22 septembre 2023, la Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires sans passer par un tribunal, jusqu’à 50 000 $ CA pour une personne physique et jusqu’à 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial de l’exercice précédent, le montant le plus élevé étant retenu, pour une entreprise. Les poursuites pénales devant les tribunaux emportent des amendes de 15 000 $ CA à 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu, les montants étant doublés en cas de récidive. Les administrateurs et dirigeants qui autorisent ou tolèrent l’infraction sont personnellement responsables. La Commission a publié son cadre général d’application des sanctions administratives et a jusqu’ici privilégié les enquêtes, les ordonnances et la coopération ; les premières sanctions ont porté sur des incidents et de la surveillance plutôt que sur des bandeaux cookies, mais la règle sur le suivi figure expressément à son programme.

Comment Cookiequiet gère la Loi 25

Le Canada figure dans la liste des pays réglementés de Cookiequiet : avec le ciblage géographique activé, les visiteurs du Québec et du reste du Canada voient le bandeau de consentement. Le bandeau par défaut correspond à l’article 8.1 : rien dans les catégories mesure d’audience et marketing ne s’exécute avant le choix du visiteur, les boutons « Tout accepter » et « Tout refuser » ont le même poids, le centre de préférences a toutes les catégories optionnelles désactivées, et les textes en français sont choisis selon la langue du navigateur et modifiables. Le registre des consentements conserve chaque choix comme preuve, et Google Consent Mode v2 garde les balises Google à l’état refusé tant que le visiteur n’a pas opté pour le suivi. Les politiques générées par Cookiequiet sont des modèles rédigés pour le RGPD et le CCPA ; adaptez la formulation propre au Québec (responsable de la protection des renseignements personnels, communications hors du Québec) avec votre conseiller. Voir aussi le guide du bouton Tout refuser.