Les bannières de témoins sont devenues courantes sur les sites web québécois à la suite des modifications apportées par la Loi 25 en 2023, mais nombre d’entre elles ont été copiées sur des modèles européens sans véritable réflexion sur ce que la loi québécoise exige réellement. Deux articles sont essentiels : l’article 8.1, sur les technologies permettant d’identifier, de localiser ou de profiler des personnes, et l’article 9.1, sur la confidentialité par défaut. Ils sont liés, mais ne constituent pas la même règle.
Article 8.1 : informer d’abord, puis laisser la personne activer la fonction
Lorsqu’une entreprise recueille des renseignements personnels au moyen d’une technologie comportant des fonctions permettant d’identifier, de localiser ou de profiler une personne, elle doit l’en informer au préalable, ainsi que des moyens offerts pour activer ces fonctions (art. 8.1).
La loi définit le profilage comme la collecte et l’utilisation de renseignements personnels afin d’évaluer certaines caractéristiques d’une personne, notamment pour analyser son rendement au travail, sa situation économique, sa santé, ses préférences, ses intérêts ou son comportement (art. 8.1). Les pixels publicitaires, le suivi intersite et de nombreuses configurations d’analytique qui créent des profils comportementaux correspondent à cette description.
Les lignes directrices de la CAI sur le consentement vont plus loin. Dans les Lignes directrices 2023-1, adoptées le 31 octobre 2023, la CAI précise que les fonctions d’identification, de localisation et de profilage devraient être désactivées par défaut, la personne devant poser un geste positif pour les activer (lignes directrices de la CAI sur le consentement). Ces mêmes lignes directrices précisent que donner son consentement doit être aussi simple que de le refuser.
Article 9.1 : la confidentialité par défaut, avec une exception pour les témoins
L’article 9.1 exige qu’une entreprise qui recueille des renseignements personnels en offrant au public un produit ou un service technologique comportant des paramètres de confidentialité veille à ce que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans aucune intervention de la personne (art. 9.1). Cela s’applique, par exemple, aux applications et aux comptes en ligne comportant des paramètres de confidentialité.
Le deuxième alinéa de l’article 9.1 précise qu’il ne s’applique pas aux paramètres de confidentialité d’un témoin (art. 9.1, deuxième alinéa). Cette exclusion est souvent négligée, et parfois exagérée. Elle signifie que l’article 9.1 lui-même ne dicte pas les paramètres par défaut des témoins. Cela ne signifie pas pour autant que les témoins ne sont pas réglementés : les témoins de traçage et de profilage demeurent assujettis à l’article 8.1, aux règles générales en matière de consentement, ainsi qu’aux directives de la CAI selon lesquelles les fonctions de profilage doivent être désactivées par défaut.
À quoi cela ressemble concrètement sur un site web
Répertoriez vos témoins et balises
Dressez la liste de tous les témoins, pixels, SDK et scripts présents sur votre site et votre application. Regroupez-les par fonction : strictement nécessaires (session, sécurité, répartition de charge), préférences, analytique, et publicité ou profilage. Demandez cet inventaire à votre équipe web ou à votre agence; il est souvent plus long que prévu.
Gardez le profilage désactivé jusqu’au consentement du visiteur
Les balises publicitaires et de suivi comportemental ne devraient pas se déclencher avant que le visiteur ne fasse un choix clair et positif. Envisagez de configurer l’analytique de manière à éviter le profilage, et documentez les raisons pour lesquelles vous considérez que cette configuration ne constitue pas du profilage.
Rendez le choix équitable
Proposez les options « accepter » et « refuser » avec une égale visibilité. Évitez les cases précochées et évitez que le refus nécessite plus de clics que l’acceptation, conformément aux directives de la CAI.
Informer avant la collecte
La bannière ou le premier niveau d’information devrait indiquer, en langage clair, que le site utilise des technologies pouvant identifier ou profiler les visiteurs, à quelles fins, et comment les activer. Renvoyez vers votre politique de confidentialité pour plus de détails.
Respectez le paramètre dans vos applications
Pour les applications mobiles et les comptes en ligne, les paramètres de confidentialité doivent être réglés par défaut sur l’option la plus protectrice, conformément à l’article 9.1. Le partage de localisation, les profils publics et les options de partage de données devraient être désactivés au départ.
Testez-le
Chargez le site dans un navigateur vierge, refusez tout, puis vérifiez à l’aide des outils de développement que les balises publicitaires ne se déclenchent pas. Répétez cette vérification après chaque mise à jour du site ou nouvelle campagne marketing.
Les erreurs courantes des entreprises
- Une bannière qui se contente de dire « Ce site utilise des témoins » avec un seul bouton « OK ».
- Des balises qui se chargent avant même l’affichage de la bannière.
- Des équipes marketing qui ajoutent de nouveaux pixels par l’entremise d’un gestionnaire de balises sans examen de confidentialité.
- Copier une bannière utilisée dans l’UE sans jamais la traduire ni l’adapter aux exigences québécoises.
Pourquoi c’est important
Les pratiques en matière de témoins sont visibles de tous, y compris des organismes de réglementation, des concurrents et des groupes de défense des consommateurs. Les contraventions à la loi peuvent entraîner des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial (CAI). Un dispositif de consentement clair et bien testé est l’un des signes les plus visibles qu’un programme de confidentialité est réellement mis en œuvre.
KW Consulting peut examiner les balises et le dispositif de consentement de votre site web, et Accel GRC aide à documenter les décisions prises. Consultez nos pages sur la Loi 25 et le RGPD, nos services d’examen de sécurité et de remédiation, ou communiquez avec nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite