Loi 25 et témoins (cookies) : ce que votre site Web doit faire

Votre site Web a été refait par une agence il y a quelques années. Depuis, quelqu'un a ajouté un pixel publicitaire pour une campagne, puis un outil d'analytique, une carte intégrée et une fenêtre de clavardage. Plus personne ne sait vraiment ce qui se dépose dans le navigateur des visiteurs.

C'est pourtant ce que la Loi 25 vous demande de savoir. Et les règles sont moins floues qu'on le croit, surtout depuis que la Commission d'accès à l'information (CAI) a publié, le 22 octobre 2026, des indications précises sur les bandeaux de témoins.

Que dit la Loi 25 sur les témoins (cookies) ?

La Loi 25 ne mentionne les témoins de connexion qu'une seule fois, et c'est pour les exclure d'une règle. L'article 9.1 exige que les produits et services technologiques offerts au public assurent par défaut le plus haut niveau de confidentialité, mais son deuxième alinéa précise que cette exigence ne vise pas « les paramètres de confidentialité d'un témoin de connexion ».

Ce n'est pas une exemption générale : vos obligations se trouvent à l'article 8.1 de la Loi sur la protection des renseignements personnels dans le secteur privé. Quiconque recueille des renseignements personnels au moyen d'une technologie comprenant des fonctions permettant d'identifier, de localiser ou de profiler une personne doit, au préalable, l'informer :

1. du recours à une telle technologie;
2. des moyens offerts pour activer ces fonctions.

La loi définit le profilage comme la collecte et l'utilisation de renseignements personnels afin d'évaluer certaines caractéristiques d'une personne, notamment ses préférences, ses intérêts ou son comportement. C'est exactement ce que fait un pixel de reciblage publicitaire.

La CAI en tire une conséquence nette sur sa page destinée aux entreprises : vous ne pouvez pas activer ces fonctions par défaut, et la personne concernée doit pouvoir le faire elle-même, volontairement.

Quels témoins doivent être désactivés par défaut ?

Tout témoin ou traceur qui sert à identifier, à localiser ou à profiler un visiteur doit rester désactivé jusqu'à ce que celui-ci l'active. La CAI précise que cette obligation « concerne plusieurs technologies qui permettent de tracer les personnes en ligne que la majorité des sites utilisent, notamment certains témoins de connexion ». Le mot « certains » compte : c'est la fonction du témoin qui est visée, pas le fichier lui-même.

La CAI ne publie pas de liste officielle de témoins classés par catégorie. Le tableau suivant propose un classement prudent, à valider avec votre conseiller juridique :

Exemple : une boutique de vélos de Saint-Hyacinthe constate que la vidéo de sa page d'accueil dépose des témoins de tiers dès l'arrivée du visiteur. Solution : une image cliquable qui ne charge le lecteur qu'au clic.

Comment configurer un bandeau de témoins selon la CAI

Selon la CAI, un bandeau acceptable présente un vrai choix, rend le refus aussi facile que l'acceptation et n'active rien sans un geste clair du visiteur. Ces indications figurent sur sa page consacrée aux interfaces truquées, mise en ligne le 22 octobre 2026. La CAI y rappelle qu'une étude internationale menée en 2024 avec d'autres autorités de protection des renseignements personnels a relevé des interfaces truquées sur 97 % des sites Web, et que les bandeaux de témoins sont l'un des endroits où on les trouve le plus.

Ce que la CAI recommande :

• Un choix offert dans le bandeau lui-même, pas un renvoi aux paramètres du navigateur.
• Une activation qui est un geste clair d'affirmation : poursuivre la navigation ne vaut pas acceptation.
• Un refus aussi facile que l'acceptation : un bouton « Tout accepter » est acceptable si l'option de rejeter tous les témoins non essentiels est présentée de la même manière.
• Des options neutres, sans fausse hiérarchie de couleur ou de taille.
• Un choix détaillé au second niveau, à condition que le lien pour y accéder soit bien visible.
• Jamais de témoins présélectionnés.

Les lignes directrices de la CAI sur le consentement (octobre 2023) ajoutent une idée utile : le nombre de clics pour consentir ou refuser devrait être équivalent, y compris pour retirer son consentement plus tard. Prévoyez donc un lien permanent, en pied de page, pour modifier ses choix.

Quant aux outils, la CAI demande de s'assurer que la configuration de ceux acquis auprès de tiers, y compris les systèmes de gestion du consentement, respecte la loi. Aucun outil n'est conforme « par défaut » : c'est votre configuration qui l'est, ou non.

Faire l'inventaire des traceurs de votre site

On ne peut pas désactiver un traceur dont on ignore l'existence : l'inventaire vient donc en premier. Pour un site de PME, un après-midi suffit souvent.

• Ouvrez votre site dans une fenêtre de navigation privée, avec les outils de développement du navigateur (onglets Stockage et Réseau).
• Avant de toucher au bandeau, notez tous les témoins déposés et toutes les requêtes envoyées à des domaines tiers.
• Pour chaque témoin ou script : nom, fournisseur, finalité, durée de conservation, et qui l'a installé (vous, l'agence, une extension du gestionnaire de contenu).
• Classez chacun selon le tableau ci-dessus.
• Refusez tout, rechargez la page et vérifiez qu'aucune requête publicitaire ou d'analytique ne part.
• Refaites le test après chaque refonte, nouvelle extension ou nouvelle campagne.

Le test de refus est le plus révélateur : un bandeau peut afficher « Refuser » pendant qu'un pixel codé dans le thème se déclenche quand même.

Bonus en cybersécurité : chaque script tiers est un fournisseur de plus qui exécute du code sur votre site. Moins de scripts, moins de surface d'attaque.

Ce que votre politique de confidentialité doit dire sur les témoins

Votre politique de confidentialité doit mentionner le recours aux témoins de connexion, si vous en utilisez. La CAI l'inclut dans le contenu attendu de la politique exigée par l'article 8.2 de toute entreprise qui recueille des renseignements personnels par un moyen technologique.

Une section « Témoins et traceurs » devrait indiquer les catégories de témoins, leur finalité, les tiers qui les déposent, la possibilité que les données soient traitées hors Québec et la façon de modifier ses choix. Le guide de la CAI suggère aussi d'expliquer les conséquences d'un refus, par exemple l'accès au site sans certaines fonctionnalités. Notre article sur la politique de confidentialité Loi 25 propose un plan complet.

Les erreurs fréquentes à corriger en priorité

• Un bandeau purement informatif : « Ce site utilise des témoins. OK. »
• Des pixels insérés directement dans le code du site, hors du gestionnaire de consentement.
• Un choix qui n'est pas mémorisé, ou qu'on ne peut plus modifier ensuite.
• Une politique de confidentialité muette sur les témoins, ou qui décrit ceux d'il y a trois ans.
• Un bandeau offert seulement en anglais, alors que le site d'une entreprise au Québec doit être disponible en français.

Ne pas informer correctement les personnes lors de la collecte figure parmi les manquements passibles d'une sanction administrative pécuniaire (art. 90.1) : voyez notre article sur les amendes et sanctions de la Loi 25.

Ce guide vulgarise vos obligations et ne constitue pas un avis juridique : validez votre bandeau et votre politique avec votre conseiller juridique. Pour le reste de vos obligations, consultez notre checklist cybersécurité Loi 25. Et si vous voulez qu'on regarde votre site ensemble, réservez une discussion gratuite ou découvrez notre accompagnement en conformité Loi 25.