Ouvrir l'espace

Guide · Loi fédérale du Canada

PIPEDA : la loi canadienne sur la confidentialité pour les sites avec annonces

La PIPEDA est la loi fédérale qui régit la façon dont les entreprises privées utilisent les données personnelles au Canada. Pour les annonces basées sur le comportement, le commissaire à la protection de la vie privée accepte le modèle de refus (opt-out), mais seulement sous des conditions claires. Ce guide explique quand la loi s'applique, ce qu'est un consentement valable et comment configurer le site.

Auditer mon site maintenantLire le guide
  • ✓Basé sur les orientations officielles du commissaire à la protection de la vie privée du Canada
  • ✓Exemples pratiques pour la publicité en ligne
  • ✓Lecture du site sans rien modifier
10principes de pratiques équitables en matière de renseignements à la base de la loi
3provinces ayant leur propre loi jugée similaire : Alberta, Colombie-Britannique et Québec
2années de conservation obligatoire des registres d'atteintes
2026année où le projet de loi C-36, qui réforme la loi, est arrivé à la Chambre des communes

Définition

La loi fédérale qui encadre les données du secteur privé

La PIPEDA (Personal Information Protection and Electronic Documents Act, ou Loi sur la protection des renseignements personnels et les documents électroniques) est la loi fédérale canadienne sur la vie privée pour le secteur privé. Elle s'applique aux organisations qui collectent, utilisent ou communiquent des renseignements personnels dans le cadre d'activités commerciales.

Un renseignement personnel, pour la loi, est toute information sur une personne identifiable. Sur un site, cela comprend les données de formulaires et aussi les identifiants utilisés pour suivre la navigation et choisir les annonces.

La loi est appliquée par le commissaire à la protection de la vie privée du Canada (Office of the Privacy Commissioner, ou OPC). C'est lui qui publie les orientations sur le consentement et la publicité comportementale que les éditeurs utilisent comme référence.

Checklist

Ce que vous devez respecter

Ce que la LPRPDE (PIPEDA) et les orientations du Commissariat à la protection de la vie privée exigent d'un site avec des annonces qui reçoit des visiteurs du Canada.

  1. Désignez un responsable

    L'entreprise doit désigner une personne responsable du respect des principes de la loi. Publiez un contact pour les questions et les demandes.

    Exemple

    Responsable de la confidentialité : Jean Dupont. Contact : confidentialite@votresite.com

  2. Expliquez les annonces de manière évidente

    Le CPVP demande que la personne comprenne clairement ce qui est collecté, avec qui c'est partagé, pourquoi et quels sont les risques. Google exige aussi que la politique précise que des tiers, comme Google, utilisent des cookies pour afficher des annonces.

    Exemple

    Nous utilisons nos propres cookies et ceux de partenaires, comme Google, pour afficher des annonces selon vos centres d'intérêt. Vous pouvez refuser à tout moment.

  3. Un opt-out facile, immédiat et durable

    L'opt-out pour les annonces n'est accepté que s'il est facile, de préférence avant la collecte, et s'il s'applique immédiatement et lors des visites suivantes. Les données doivent être détruites ou dépersonnalisées dès que possible.

    Exemple

    Lien fixe en pied de page : Choix en matière d'annonces

  4. Un oui exprès pour les données sensibles

    La santé, les finances, l'origine ethnique, les opinions politiques, les données génétiques et biométriques, la vie sexuelle et la religion exigent un consentement exprès. Demandez aussi un oui explicite pour les usages que la personne n'attendrait pas.

  5. Pas de suivi qu'on ne peut pas refuser

    Si la personne ne peut pas refuser la technique, le CPVP indique qu'elle ne doit pas être utilisée pour les annonces. Les exemples cités sont les cookies zombies, les supercookies et l'empreinte numérique de l'appareil.

  6. Protégez les enfants

    Pour ceux qui ne peuvent pas donner un consentement significatif, demandez-le aux parents ou aux responsables, et le CPVP considère que cela vaut en règle générale pour les moins de 13 ans. Comme bonne pratique, évitez de suivre les enfants et les sites qui leur sont destinés.

  7. Accès et retrait du consentement

    La personne peut savoir quelles données le site détient, les consulter et les contester. Elle peut aussi retirer son consentement, et la collecte et l'usage doivent cesser.

  8. Signalez et consignez les atteintes

    Une atteinte comportant un risque réel de préjudice grave doit être signalée au CPVP et aux personnes concernées. Toute atteinte doit être consignée pendant deux ans.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée ni n'a de message propre pour le Canada, donc les liens ci-dessous montrent ce que Google exige de tout éditeur et ce que le régulateur attend.

À qui il s'applique

Quand la PIPEDA touche votre site

Le Canada a des lois fédérales et provinciales. Comprendre laquelle s'applique évite de mal configurer le site.

Activité commerciale au Canada

Les entreprises privées qui collectent, utilisent ou communiquent des renseignements personnels dans des activités commerciales à travers le pays sont soumises à la PIPEDA.

Provinces ayant leur propre loi

L'Alberta, la Colombie-Britannique et le Québec ont des lois du secteur privé jugées similaires. Dans ces provinces, ces lois s'appliquent généralement à la place de la PIPEDA.

Données qui traversent les frontières

Lorsque les données passent d'une province à une autre ou quittent le pays, la PIPEDA continue de s'appliquer, y compris dans ces trois provinces.

Entreprises réglementées par le gouvernement fédéral

Les banques, les compagnies aériennes, les télécommunications et les radiodiffuseurs sont toujours soumis à la PIPEDA, y compris pour les données des employés.

Principes

Les 10 principes de la loi, résumés pour un site

L'annexe 1 de la PIPEDA présente 10 principes de pratiques équitables en matière de renseignements. Regroupés, ils tiennent en six idées pratiques.

Responsabilité

L'entreprise est responsable des données qu'elle contrôle et doit désigner quelqu'un pour veiller à la conformité.

Finalités et consentement

Indiquez à quoi serviront les données avant ou au moment de la collecte, et obtenez le consentement approprié.

Limiter la collecte, l'utilisation et la conservation

Ne collectez que le nécessaire, n'utilisez que pour ce qui a été annoncé et ne conservez pas plus longtemps que nécessaire.

Exactitude et sécurité

Gardez les données exactes et protégées contre tout accès indu.

Transparence

Rendez vos pratiques faciles à trouver et à comprendre, par exemple avec une politique de confidentialité claire.

Accès et contestation

La personne peut voir ses données, demander leur correction et se plaindre de la façon dont l'entreprise respecte la loi.

Consentement

Consentement valable : explicite ou implicite

La PIPEDA exige un consentement valable. Cela veut dire que la personne doit comprendre ce qu'elle accepte : quelles données, pour quoi, avec qui elles sont partagées et quels risques existent.

La loi accepte deux types de consentement. Le consentement explicite est un oui actif, comme cocher une case. Le consentement implicite, ou opt-out, est accepté lorsque l'information est peu sensible et que l'usage est raisonnablement attendu, à condition que la personne ait un moyen facile de refuser.

Plus la donnée est sensible, plus le consentement doit être fort. L'OPC attend un consentement explicite pour les données de santé et financières, l'origine ethnique et raciale, les opinions politiques, les données génétiques et biométriques, la vie sexuelle, l'orientation sexuelle et les croyances religieuses.

La publicité comportementale ne peut pas non plus être une condition pour utiliser internet ou le site. Autrement dit, le visiteur qui refuse le suivi garde l'accès au contenu.

Publicité comportementale

Les conditions de l'OPC pour le refus dans les annonces

Les orientations sur la vie privée et la publicité comportementale en ligne, mises à jour en décembre 2015, n'acceptent l'opt-out que lorsque toutes ces conditions sont remplies.

Finalité bien visible

Le suivi à des fins publicitaires doit être expliqué de façon évidente, et non caché dans la politique de confidentialité. Les bannières et avis en couches aident.

Avis au bon moment

La personne est informée avant ou au moment de la collecte, y compris sur les partenaires concernés.

Refus facile

Refuser doit être simple, de préférence avant le début de la collecte.

Effet immédiat et durable

Le refus s'applique tout de suite et reste valable lors des visites suivantes.

Uniquement des données non sensibles

La collecte se limite à des informations non sensibles, chaque fois que possible.

Suppression rapide

Les données sont détruites ou dépersonnalisées dès que possible.

Obligations du site

Ce dont un site avec annonces a besoin pour le Canada

  1. Désignez un responsableDéfinissez qui s'occupe de la confidentialité et publiez un contact pour les questions et les demandes.
  2. Expliquez les annonces en langage simpleDans la politique de confidentialité et dans un avis visible, dites que le site utilise des cookies et des partenaires pour des annonces basées sur les centres d'intérêt, et qui sont ces partenaires.
  3. Offrez un refus qui fonctionneUn lien fixe, comme Choix de confidentialité ou Préférences publicitaires, qui désactive le suivi immédiatement et mémorise le choix.
  4. Ne suivez pas les enfantsL'OPC recommande d'éviter de suivre les enfants et les sites qui leur sont destinés, car un consentement valable est difficile à obtenir dans ce cas.
  5. Répondez aux demandes d'accèsLa personne peut demander à voir ses données et à les corriger. Prévoyez un chemin clair pour cela.
  6. Enregistrez et signalez les atteintesLes atteintes présentant un risque réel de préjudice grave doivent être signalées à l'OPC et aux personnes concernées. Toutes les atteintes doivent être consignées pendant deux ans.

Contrôle

Comment le commissaire agit

L'OPC reçoit les plaintes, enquête, publie ses conclusions et fait des recommandations. Dans la PIPEDA, la voie pour obliger une entreprise à respecter la loi passe par la Cour fédérale, qui peut rendre des ordonnances et accorder des dommages-intérêts.

Certaines conduites sont des infractions. Ne pas respecter volontairement les règles de signalement et de consignation des atteintes peut entraîner des amendes. Et une enquête publique de l'OPC, même sans amende, a généralement un fort effet sur la réputation d'un site.

Le 15 juin 2026, le gouvernement a présenté à la Chambre des communes le projet de loi C-36, qui crée la Loi sur la protection de la vie privée et des données des consommateurs et modifie la PIPEDA. Début novembre 2026, le projet en était à la deuxième lecture et n'avait pas été adopté. En attendant, la PIPEDA reste en vigueur telle quelle.

Chronologie

Dates importantes pour ceux qui ont des visiteurs canadiens

De l'orientation sur les annonces au projet de réforme.

  1. Décembre 2015

    Orientations sur la publicité comportementale

    L'OPC met à jour les conditions pour accepter l'opt-out dans les annonces basées sur les centres d'intérêt.

  2. Octobre 2018

    Guide sur les atteintes

    L'OPC publie les orientations sur le signalement et la consignation des atteintes aux données.

  3. 22 septembre 2022

    Le Québec lance la Loi 25

    La province commence l'entrée en vigueur de sa loi en trois phases. Pour les visiteurs du Québec, les règles sont plus strictes.

  4. 15 juin 2026

    Projet de loi C-36

    Le projet de réforme fédérale de la vie privée est présenté à la Chambre des communes.

AdSense et Ad Manager

Ce qui change pour les publicités Google

La politique de Google sur le consentement des utilisateurs de l'UE s'applique à l'EEE, au Royaume-Uni et à la Suisse. Le Canada ne figure pas sur cette liste, donc Google n'exige ni CMP certifiée ni message du TCF pour le trafic canadien.

Malgré tout, les règles de Google pour les éditeurs s'appliquent dans le monde entier. La politique de confidentialité du site doit dire que des tiers peuvent enregistrer et lire des cookies ou utiliser des web beacons et des adresses IP pour diffuser des annonces. Et le contenu destiné aux enfants ne peut pas recevoir d'annonces basées sur les centres d'intérêt.

Pour respecter la PIPEDA, l'éditeur combine généralement trois éléments : un avis visible sur les annonces personnalisées, un lien de refus permanent et une CMP ou une configuration qui cesse de demander des annonces personnalisées à ceux qui ont refusé. Pour les visiteurs du Québec, la configuration doit être plus stricte à cause de la Loi 25.

En pratique

Ce qui est permis et ce qui ne l'est pas pour les visiteurs canadiens

Exemples basés sur les orientations de l'OPC sur le consentement et la publicité.

Autorisé

  • Annonces personnalisées avec opt-out, lorsque l'avis est clair et que la donnée n'est pas sensible
  • Un avis en couches qui explique les annonces dès la première visite
  • Un lien Choix de confidentialité fixe en pied de page
  • Annonces non personnalisées pour ceux qui ont refusé
  • Configuration plus stricte uniquement pour les visiteurs du Québec
  • Politique de confidentialité qui liste les partenaires publicitaires

Interdit

  • Expliquer le suivi uniquement au milieu de la politique de confidentialité
  • Opt-out qui disparaît à la visite suivante ou ne désactive rien
  • Utiliser des données de santé ou de finances pour des annonces sans consentement explicite
  • Suivre les visiteurs sur des pages conçues pour les enfants
  • Bloquer le contenu de ceux qui refusent le suivi
  • Croire que la configuration européenne règle tout au Canada

Dans ConsentMode

Ce que l'audit vérifie pour les visiteurs du Canada

  • Ouvre le site comme un visiteur canadien et montre sur une capture s'il existe un avis visible sur les annonces personnalisées.
  • Cherche le lien de refus, clique dessus et vérifie si les balises d'annonces changent de comportement.
  • Identifie la CMP et montre si le message change entre le Québec, le reste du Canada et l'Europe.
  • Lit la politique de confidentialité et signale s'il manque des partenaires, des cookies, le contact du responsable et le moyen d'accéder aux données.
  • Signale le contenu qui semble destiné aux enfants avec des annonces personnalisées.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la PIPEDA

Ai-je besoin d'une bannière de cookies pour le Canada ?

La PIPEDA n'exige pas de bannière au format européen. Elle exige un consentement valable. Pour les annonces basées sur les centres d'intérêt, l'OPC accepte l'opt-out si l'avis est évident et que le refus est facile, immédiat et durable. Un avis en couches est généralement le moyen le plus simple d'y parvenir.

Quelle est la différence entre la PIPEDA et la Loi 25 ?

La PIPEDA est fédérale et s'applique dans tout le pays. La Loi 25 est celle du Québec et elle est plus stricte, avec des amendes administratives élevées et des règles propres aux technologies de suivi. Pour les visiteurs du Québec, suivez la Loi 25.

L'OPC peut-il infliger une amende à mon site ?

Dans la PIPEDA, l'OPC enquête et recommande, et les dossiers peuvent aller devant la Cour fédérale. Certaines conduites, comme ne pas respecter volontairement les règles sur les atteintes, sont des infractions et peuvent donner lieu à des amendes. Le projet de loi C-36, encore en cours d'examen, propose de changer ce modèle.

Google exige-t-il une CMP certifiée pour le Canada ?

Non. L'exigence de CMP certifiée avec TCF s'applique à l'EEE, au Royaume-Uni et à la Suisse. Pour le Canada, ce sont les règles générales de Google et la loi canadienne qui s'appliquent.

Mon site est brésilien. La PIPEDA s'applique-t-elle à moi ?

Elle peut s'appliquer lorsque le site a un lien réel avec le public canadien, comme du contenu et des annonces destinés au Canada. Cette analyse est juridique. En pratique, offrir un avis clair et un opt-out aux visiteurs canadiens est une configuration simple.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Vérifiez ce qu'un visiteur canadien voit sur votre site

L'audit teste l'avis, l'opt-out, la CMP et la politique de confidentialité, et fournit un plan de correction.

Lancer l'audit