Ouvrir l'espace

Guide · Loi du Québec

Loi 25 du Québec : une confidentialité plus stricte pour ceux qui ont des publicités

La Loi 25 a modernisé la protection des données au Québec et apporté des règles propres aux technologies qui identifient, localisent ou profilent les personnes, comme les cookies publicitaires. Ce guide montre ce qui a changé à chaque phase, ce que la loi demande à un site et combien coûte une erreur.

Auditer mon site maintenantLire le guide
  • ✓Basé sur la loi du Québec et sur les documents de la Commission d'accès à l'information
  • ✓Exemples pratiques pour les cookies et les publicités
  • ✓Lecture du site sans rien modifier
3phases d'entrée en vigueur, de 2022 à 2024
10 Mdollars canadiens, plafond de la sanction administrative pour les entreprises
2%du chiffre d'affaires mondial, quand ce montant est supérieur à 10 millions
2023année où la plupart des obligations sont entrées en vigueur

Définition

La loi qui a réformé la confidentialité au Québec

La Loi 25 est le nom courant de la loi du Québec qui a modernisé les règles de protection des renseignements personnels. Elle a été adoptée en septembre 2021 et a modifié plusieurs lois, dont la Loi sur la protection des renseignements personnels dans le secteur privé, qui s'applique aux entreprises.

Le Québec est l'une des provinces canadiennes dotées d'une loi propre pour le secteur privé. C'est pourquoi, pour les visiteurs et clients du Québec, la Loi 25 est généralement la règle principale, et non la PIPEDA fédérale.

Le contrôle est assuré par la Commission d'accès à l'information (CAI). Avec la Loi 25, la CAI a obtenu plus de pouvoirs, y compris celui d'appliquer des sanctions administratives pécuniaires.

La loi est plus proche du GDPR européen que la PIPEDA. Elle demande un consentement clair, de la transparence, une évaluation des risques et une personne responsable de la protection des données au sein de l'entreprise.

Checklist

Ce que vous devez respecter

Ce que la loi sur le secteur privé du Québec exige d'un site avec des annonces qui reçoit des visiteurs de la province.

  1. Prévenez du suivi et laissez la personne l'activer

    Avant de collecter des données avec une technologie qui identifie, localise ou crée des profils, indiquez que vous utilisez cette technologie et quels moyens existent pour activer ces fonctions. Avec les balises Google, le Consent Mode peut démarrer à l'état refusé seulement pour le Québec.

    Exemple

    Nous utilisons des cookies qui créent un profil de vos centres d'intérêt pour les annonces. Ils ne fonctionnent que si vous les activez.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. Un consentement de qualité

    Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Demandez-le en termes simples et clairs, séparément des autres informations.

    Exemple

    Annonces personnalisées : Activer ou Ne pas activer. Mesure d'audience : Activer ou Ne pas activer.

  3. Un oui exprès pour les données sensibles

    Quand l'information est sensible, comme la santé ou les finances, le consentement doit être donné de façon expresse.

  4. Politique de confidentialité sur le site

    Celui qui collecte des données par un moyen technologique doit publier une politique de confidentialité en termes simples et clairs. Google exige aussi qu'elle précise que des tiers, comme Google, utilisent des cookies pour afficher des annonces.

  5. Titre et contact du responsable publiés

    Le titre et le contact de la personne responsable de la protection des renseignements personnels doivent être publiés, par exemple sur le site.

    Exemple

    Responsable de la protection des renseignements personnels : Directrice générale. Contact : confidentialite@votresite.com

  6. Mineurs de moins de 14 ans

    Les renseignements d'un mineur de moins de 14 ans ne peuvent pas être collectés auprès de lui sans le consentement du titulaire de l'autorité parentale, sauf quand la collecte est manifestement à son avantage.

  7. Répondez sous 30 jours

    Les demandes d'accès ou de rectification doivent recevoir une réponse écrite sous 30 jours. Sans réponse dans ce délai, la demande est considérée comme refusée.

  8. Incidents à risque sérieux

    Si un incident de confidentialité présente un risque de préjudice sérieux, l'entreprise doit en aviser la CAI avec diligence.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée ni n'a de message propre pour le Québec, donc la configuration revient à l'éditeur et voici les liens officiels de référence.

À qui il s'applique

Quand la Loi 25 touche votre site

La loi vise les entreprises qui collectent, conservent, utilisent ou communiquent des renseignements personnels de personnes au Québec.

Entreprises au Québec

Toute entreprise qui exerce au Québec suit la loi, quelle que soit sa taille.

Entreprises étrangères avec un public au Québec

Les sites d'autres provinces ou d'autres pays qui font affaire avec des résidents du Québec peuvent être visés. Cette analyse est juridique.

Information personnelle

Tout renseignement sur une personne physique qui permet de l'identifier, directement ou indirectement, comme les identifiants utilisés pour la publicité.

Technologies de suivi

Les outils qui identifient, localisent ou profilent les personnes ont des règles propres, qui touchent directement les cookies et les balises publicitaires.

Chronologie

Les trois phases de la Loi 25

L'entrée en vigueur s'est échelonnée sur trois ans, à partir du 22 septembre 2022.

  1. Septembre 2021

    Loi adoptée

    L'Assemblée nationale du Québec adopte la loi qui modernise la protection des renseignements personnels.

  2. 22 septembre 2022

    Première phase

    Entrent en vigueur la fonction de responsable de la protection des renseignements personnels et les règles sur les incidents de confidentialité.

  3. 22 septembre 2023

    Deuxième phase, la plus importante

    Entrent en vigueur la plupart des obligations : consentement, politique de confidentialité, technologies de suivi, évaluations d'impact et les nouveaux pouvoirs de la CAI, y compris les sanctions administratives.

  4. 22 septembre 2024

    Troisième phase

    Entre en vigueur le droit à la portabilité, qui permet à la personne de recevoir ses données dans un format technologique structuré et couramment utilisé.

Cookies et suivi

Technologies qui identifient, localisent ou profilent

L'article 8.1 de la loi sur le secteur privé dit qu'avant de collecter des renseignements avec une technologie capable d'identifier, de localiser ou de profiler une personne, l'entreprise doit informer qu'elle utilise cette technologie et des moyens offerts pour activer ces fonctions.

Le profilage, pour la loi, c'est utiliser des renseignements personnels pour évaluer des caractéristiques de la personne, comme sa situation économique, sa santé, ses préférences ou ses intérêts. C'est exactement ce que font les cookies de publicité personnalisée.

La loi parle de moyens pour activer ces fonctions. La lecture la plus courante est qu'elles sont désactivées au départ et ne se mettent à fonctionner que lorsque la personne choisit de les activer. C'est pourquoi, pour les visiteurs du Québec, le modèle le plus sûr ressemble au modèle européen : des publicités personnalisées seulement après un oui.

Il existe aussi l'article 9.1, qui exige le plus haut niveau de confidentialité par défaut dans les produits et services technologiques dotés de paramètres de confidentialité. L'article exclut lui-même de ce point les paramètres des cookies, qui restent couverts par les règles de transparence et de consentement.

Consentement

Ce que doit être le consentement dans la Loi 25

La loi exige un consentement de qualité, demandé pour chaque finalité et en termes simples.

Manifeste

La volonté de la personne doit être claire. Le silence ou l'inaction ne suffisent pas.

Libre et éclairé

La personne choisit sans pression et comprend ce qu'elle accepte.

Pour des fins spécifiques

La demande est faite pour chaque finalité, séparément des autres informations, en langage simple et clair.

Exprès pour les données sensibles

Les renseignements sensibles, comme la santé ou les données financières, exigent un consentement exprès.

Obligations du site

Ce que l'entreprise doit mettre en place

Au-delà de la bannière, la Loi 25 demande une structure et des documents.

Responsable de la protection des données

Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. La fonction peut être déléguée par écrit, et le titre et les coordonnées doivent être publiés sur le site.

Politique de confidentialité

Qui collecte des données par un moyen technologique doit publier sur le site une politique de confidentialité en termes simples et clairs.

Évaluation d'impact

Les projets de systèmes impliquant des renseignements personnels, et les transferts de données hors du Québec, exigent une évaluation des facteurs relatifs à la vie privée.

Incidents de confidentialité

Les incidents présentant un risque de préjudice sérieux doivent être signalés à la CAI et aux personnes concernées, et tous doivent être consignés.

Règles de gouvernance

L'entreprise adopte des règles internes sur la conservation et la destruction des données, les rôles et responsabilités, et le traitement des plaintes.

Conservation et destruction

Quand la finalité est atteinte, les données sont détruites ou anonymisées conformément à la loi.

Droits

Ce que la personne peut demander

La Loi 25 a élargi les droits de ceux dont les données sont traitées par des entreprises.

Accès et rectification

Voir les données conservées et demander la correction de ce qui est erroné.

Retirer son consentement

Changer d'avis à tout moment sur les usages qui dépendent du consentement.

Désindexation

Demander qu'une information cesse d'être diffusée ou qu'un lien associé au nom de la personne cesse de mener à elle, dans certaines conditions.

Portabilité

Depuis le 22 septembre 2024, recevoir les données dans un format structuré et couramment utilisé.

Contrôle et sanctions

La CAI peut imposer des amendes élevées

Depuis la deuxième phase, la CAI peut imposer des sanctions administratives pécuniaires. Pour les entreprises, le montant maximal est de 10 millions de dollars canadiens ou 2% du chiffre d'affaires mondial de l'exercice précédent, selon le plus élevé. Pour les personnes physiques, le plafond est de 50 000 dollars.

En mai 2023, la CAI a publié un cadre général avec les critères qu'elle utilise pour décider quand imposer la sanction et de combien, et quand préférer la voie pénale. Les cas plus graves peuvent suivre ce chemin, avec des amendes propres.

La loi donne aussi aux personnes plus de force pour demander réparation en justice. Pour un site avec publicités, le risque pratique vient de trois côtés : les plaintes de visiteurs, l'enquête de la CAI et l'effet sur la réputation.

AdSense et Ad Manager

Ce qui change pour les publicités Google

Google n'exige ni CMP certifiée ni message du TCF pour le Canada. La Politique de consentement des utilisateurs de l'UE ne vaut que pour l'EEE, le Royaume-Uni et la Suisse. Autrement dit, la configuration pour le Québec est de la responsabilité de l'éditeur.

En pratique, beaucoup d'éditeurs utilisent la CMP pour montrer au Québec un message avec un choix clair avant les publicités personnalisées. Pour ceux qui refusent, le site peut demander des publicités non personnalisées dans les balises de Google, en conservant une partie des revenus.

Les règles de Google pour les éditeurs continuent de s'appliquer : la politique de confidentialité doit expliquer que des tiers enregistrent et lisent des cookies pour diffuser des publicités, et le contenu destiné aux enfants ne peut pas recevoir de publicités basées sur les centres d'intérêt.

En pratique

Ce qui est permis et ce qui ne l'est pas pour les visiteurs du Québec

Exemples de configurations qui apparaissent sur des sites avec publicités.

Autorisé

  • Afficher un message de consentement uniquement aux visiteurs du Québec
  • Laisser désactivées les fonctions de profilage jusqu'à ce que la personne les active
  • Diffuser des publicités non personnalisées à ceux qui n'ont pas accepté
  • Publier le titre et les coordonnées du responsable de la protection des données
  • Avoir une politique de confidentialité en français clair et simple
  • Un lien permanent pour modifier ses choix à tout moment

Interdit

  • Activer les cookies de profilage avant tout choix
  • Avis qui dit seulement que le site utilise des cookies, sans option de les activer ou non
  • Regrouper toutes les finalités en un seul oui
  • Politique de confidentialité cachée ou seulement dans une autre langue
  • Utiliser des données de santé pour des publicités sans consentement exprès
  • Traiter le Québec avec la même configuration que le reste du Canada sans évaluer la loi

Dans ConsentMode

Ce que l'audit vérifie pour les visiteurs du Québec

  • Ouvre le site comme un visiteur du Québec et montre en capture s'il y a un message de consentement et quelles options il offre.
  • Vérifie si les cookies et les balises de publicités personnalisées se chargent avant le choix.
  • Identifie la CMP et compare le message du Québec avec celui du reste du Canada et celui de l'Europe.
  • Lit la politique de confidentialité et signale s'il manque le responsable, les technologies de suivi et les partenaires.
  • Fournit un plan de correction par ordre de priorité, sans remplacer l'analyse juridique.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes sur la Loi 25

Ai-je besoin d'une bannière de cookies pour le Québec ?

La loi demande que la personne soit informée et dispose de moyens pour activer les fonctions d'identification, de localisation et de profilage. En pratique, la façon la plus simple de s'y conformer est un message de consentement avec les fonctions de profilage désactivées par défaut.

Les cookies d'analyse sont-ils aussi concernés ?

Cela dépend de ce qu'ils font. S'ils identifient ou profilent la personne, ils relèvent de l'article 8.1. Les mesures agrégées et sans profilage présentent un risque moindre. Il vaut la peine d'évaluer chaque outil avec le service juridique.

Quelle est l'amende maximale ?

La sanction administrative de la CAI pour les entreprises peut atteindre 10 millions de dollars canadiens ou 2% du chiffre d'affaires mondial de l'année précédente, selon le plus élevé. La voie pénale a ses propres amendes.

Puis-je utiliser la même configuration que pour le GDPR ?

Elle répond généralement à une bonne partie de la Loi 25, car elle demande aussi un oui avant le suivi. Mais le message du TCF européen n'est pas exigé au Québec, et la politique de confidentialité doit citer la loi et le responsable local.

ConsentMode remplace-t-il l'évaluation d'impact ?

Non. L'audit montre ce que fait le site pour un visiteur du Québec, avec des captures et un plan de correction. L'évaluation d'impact et l'analyse juridique restent du ressort de votre équipe.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez votre site comme le voit un visiteur du Québec

L'audit vérifie le message, les cookies, la CMP et la politique de confidentialité, et montre ce qu'il faut corriger.

Lancer l'audit