Ce billet complète deux articles de la série. Celui sur le pixel Meta traite du moment où l’outil a le droit de se déclencher. Celui sur les données hors Québec traite de ce qu’il faut documenter avant qu’elles quittent le Québec. Celui-ci traite de ce que le visiteur peut lire sur le site. Les documents de la Commission d’accès à l’information (CAI) ont été rouverts le 14 octobre 2026, le texte de la loi le 21 octobre 2026.
Trois précisions de méthode. Le site de la CAI indique que ses textes visent à vulgariser les lois, qu’ils n’ont pas force de loi et que les textes législatifs prévalent en cas de divergence. Le texte des articles cités ici (3.1, 3.2, 8, 8.1 et 8.2) a été relu dans la version codifiée de la loi publiée sur LégisQuébec, qui porte la mention « Ce document a valeur officielle » : en français dans la mise à jour au 23 février 2026, et en anglais dans le PDF officiel à jour au 11 décembre 2025 ; dans les deux, les notes de modification de ces cinq articles ne citent aucune modification postérieure à la loi de 2021 (L.Q. 2021, c. 25). LégisQuébec ne répondait pas le 21 octobre 2026 : ces deux versions ont été lues dans les copies conservées par l’Internet Archive (5 mai 2026 pour la page française, 11 avril 2026 pour le PDF anglais). Les dates d’entrée en vigueur viennent de l’article 175 de la loi sanctionnée le 22 septembre 2021, publiée par Les Publications du Québec. Vérifiez le texte à jour sur LégisQuébec avant de vous y fier. Enfin, ce billet est une lecture de praticien, pas un avis juridique ; il décrit les règles de la loi québécoise d’après son texte et la présentation qu’en fait la CAI, et ne traite pas du cas d’une entreprise établie hors Québec. Ce que nous écrivons de notre lecture est marqué « à notre avis ».
Trois obligations de publication, trois documents
La CAI présente, pour une entreprise, trois obligations qui se traduisent par des textes publiés sur le site.
| Obligation | Article | Ce que l’article demande |
|---|---|---|
| Responsable de la protection des renseignements personnels | 3.1 | Le titre et les coordonnées du responsable sont publiés sur le site Internet de l’entreprise (sans site, ils sont rendus accessibles par tout autre moyen approprié) |
| Politiques et pratiques de gouvernance | 3.2 | Des informations détaillées sont publiées sur le site, en termes simples et clairs : conservation et destruction, rôles et responsabilités, processus de plainte (sans site, par tout autre moyen approprié) |
| Politique de confidentialité | 8.2 | Elle est rédigée en termes simples et clairs, publiée sur le site de l’entreprise, si elle en a un, et diffusée par tout moyen propre à atteindre les personnes concernées, de même que l’avis de toute modification |
Le guide de la CAI insiste sur le fait que la politique de confidentialité n’est ni la politique de gouvernance, ni la demande de consentement, ni les conditions d’utilisation. Les conditions d’utilisation peuvent renvoyer à la politique de confidentialité, mais elles ne doivent pas être fusionnées avec elle. À notre avis, cela concerne les boutiques dont une seule page « Politiques » mêle conditions d’utilisation et confidentialité.
Ce que l’article 8 demande d’annoncer à la collecte
Depuis le 22 septembre 2023, la personne qui recueille des renseignements personnels auprès de la personne concernée doit l’informer, lors de la collecte et par la suite sur demande, des fins de la collecte, des moyens employés, des droits d’accès et de rectification, et de son droit de retirer son consentement à la communication ou à l’utilisation des renseignements.
Le cas échéant, elle l’informe aussi du nom du tiers pour qui la collecte est faite, du nom des tiers ou des catégories de tiers à qui il est nécessaire de communiquer les renseignements aux fins de la collecte, et de la possibilité qu’ils soient communiqués à l’extérieur du Québec. Sur demande, elle précise en plus les renseignements recueillis, les catégories de personnes qui y ont accès dans l’entreprise, la durée de conservation et les coordonnées du responsable. Le tout se transmet en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements.
Un détail de rédaction compte pour une boutique. La page de la CAI sur les principaux changements écrit « du nom des tiers à qui il est nécessaire de communiquer les renseignements ». Le texte de l’article 8 sur LégisQuébec dit « du nom des tiers ou des catégories de tiers ». Nous retenons la formulation de la loi, qui admet la catégorie de tiers à côté du nom.
Quand la collecte se fait avec une technologie qui comprend des fonctions permettant d’identifier, de localiser ou d’effectuer un profilage, l’article 8.1 ajoute une information préalable : le recours à cette technologie et les moyens offerts d’activer ces fonctions. Notre article sur le pixel Meta traite ce point.
Ce que le guide de la CAI propose d’écrire dans la politique
Le guide précise qu’il n’existe pas, pour le secteur privé, de règlement équivalent à celui du secteur public sur le contenu de la politique. Le contenu qu’il propose repose donc sur ce qu’une entreprise doit fournir quand elle recueille des renseignements, avec quelques ajouts inspirés du règlement du secteur public, et il le qualifie de « suggéré ». Il écrit pourtant « vous devez » pour la plupart des éléments ci-dessous, et « vous pouvez » pour les options, que nous signalons. Voici ce qui concerne le plus une boutique qui fait de la publicité.
- En tête, le nom de l’entreprise, la date d’entrée en vigueur de la politique et la date de la dernière mise à jour.
- Les moyens technologiques de collecte. Le guide cite en exemple les courriels reçus par le service à la clientèle, un formulaire de demande de rendez-vous en ligne, une application, certains témoins (cookies) du site, la vidéosurveillance, un objet connecté.
- Les personnes ou organisations qui recueillent des renseignements pour l’entreprise. Les exemples du guide : un fournisseur de services technologiques comme une plateforme de commande ou un gestionnaire d’infolettres, un consultant qui fournit une partie des services offerts à la clientèle, une agence chargée de répondre aux questions ou de traiter les plaintes.
- Si une technologie d’identification, de localisation ou de profilage est utilisée, le recours à cette technologie et la manière d’activer ces fonctions, qui doivent être désactivées par défaut. Le guide cite le profil de consommateur parmi ses exemples de profilage.
- Les renseignements recueillis et les buts. Le guide range sous « renseignements techniques ou numériques » l’adresse IP, la date et l’heure de connexion, les pages visitées et les actions posées sur un site Web. Parmi ses exemples de buts figure « offrir des recommandations personnalisées selon le profil d’achat », qu’il rattache au profilage et donc à l’article 8.1.
- Les mesures offertes pour refuser la collecte de certains renseignements et leurs conséquences. Un exemple du guide : refuser les témoins et utiliser le site sans bénéficier de certaines fonctionnalités.
- Les personnes qui ont accès aux renseignements : les catégories internes, et, si les renseignements sont transmis à d’autres pour atteindre l’objectif, les buts de la communication, les noms ou les catégories des destinataires, les renseignements concernés et la possibilité qu’ils soient transmis hors Québec.
- Les droits d’accès, de rectification et de plainte, et, en option, le nom et les coordonnées du responsable.
Le guide ajoute, comme options, une description des mesures de sécurité et les moyens technologiques d’accéder aux renseignements ou de les rectifier.
Ce que cela change pour une boutique qui annonce
La grille ci-dessous traduit le guide pour un compte publicitaire. Les deux premières colonnes viennent de la CAI, la troisième est notre lecture.
| Ce que le texte permet de lire | Point d’appui | Notre lecture pour un compte publicitaire |
|---|---|---|
| Les outils de collecte | Guide : moyens de collecte, témoins | La liste des pixels, balises et API de conversion actifs se relève dans l’onglet Réseau du navigateur et dans le gestionnaire de balises, pas de mémoire. Chaque ligne de la liste devrait se retrouver dans le texte. |
| Les tiers | Article 8 : noms ou catégories ; guide : organisations qui recueillent pour l’entreprise, destinataires | À notre avis, un événement envoyé à Meta ou à Google est une communication à un tiers. Nommer Meta et Google répond le plus directement. À notre avis, « plateformes publicitaires » est une catégorie que le texte de l’article admet, mais la CAI ne dit pas à quel niveau de détail une catégorie suffit. |
| Les buts | Article 8 : fins ; page de la CAI : un consentement pour chacune des fins | Un but par ligne. À notre avis, mesurer les ventes attribuées à une annonce et constituer une audience à partir du comportement sont deux buts distincts. |
| La sortie du Québec | Article 8 ; guide | Dire, le cas échéant, que les renseignements peuvent être communiqués hors Québec. La fiche décrite dans notre article sur les données hors Québec contient déjà le destinataire et les données transmises. |
| L’activation | Article 8.1 | Le texte dit comment le visiteur active les fonctions de profilage, et le bandeau fait ce que le texte dit. |
| Le refus | Guide : mesures pour refuser | Dire ce qui se passe si le visiteur refuse les témoins publicitaires. |
| L’accès au texte | Article 8.2 ; guide | Le guide donne l’exemple d’un lien à consulter avant de passer une commande en ligne. À notre avis, le pied de page et le bandeau en sont deux autres points d’accès. |
| Les mises à jour | Article 8.2 ; guide | Une date de dernière mise à jour, et l’avis de toute modification diffusé de la même manière que la politique. |
Une question reste ouverte pour une agence comme la nôtre. Le guide cite un consultant qui fournit une partie des services de l’entreprise et une agence chargée de répondre aux questions ou de traiter les plaintes. Il ne dit pas si une agence média relève de ces exemples. À notre avis, si une agence a accès à des renseignements personnels, par exemple des exports de listes de clients ou des audiences, la question mérite d’être posée à la personne responsable de la protection des renseignements personnels plutôt que tranchée par défaut.
Le bandeau et la politique ne portent pas la même information
Dans ses lignes directrices sur la validité du consentement (version 1.0, 31 octobre 2023), la CAI énumère les informations qu’une organisation devrait généralement fournir au moment d’obtenir un consentement : qui demande, pourquoi, quels renseignements, auprès de qui, comment, à qui ils seront communiqués, la possibilité d’une sortie du Québec, les droits, qui a accès, pendant combien de temps, qui contacter.
Elle donne en exemple une répartition en deux niveaux. Au premier niveau (la demande de consentement elle-même, en exemple), on pourrait retrouver la finalité, les renseignements ou leurs catégories et les tiers. Le second pourrait consister en une politique de confidentialité, une annexe à un formulaire ou un bouton « En savoir plus » placé à côté de la demande. Sur sa page des principaux changements apportés par la Loi 25, la CAI écrit par ailleurs que, lorsque la demande de consentement est faite par écrit, elle doit être présentée distinctement de toute autre information.
À notre avis, un bandeau qui dit seulement « nous utilisons des témoins pour améliorer votre expérience » et renvoie à la politique ne porte pas le premier niveau décrit par la CAI : ni finalité précise, ni tiers. Les lignes directrices parlent d’un exemple (« pourrait ») et non d’une obligation de forme.
À faire, dans l’ordre
- Relever les outils publicitaires et de mesure actifs : pixels, balises, API de conversion, plateforme d’infolettres.
- Pour chacun, écrire le tiers (son nom ou sa catégorie), le but, les renseignements transmis et la possibilité d’une sortie du Québec.
- Relire la politique avec la grille ci-dessus, en termes simples et clairs, en la datant.
- Publier la politique par un lien visible avant la commande, dans le pied de page et depuis le bandeau, et vérifier que le titre et les coordonnées du responsable figurent sur le site.
- Reprendre la liste à chaque changement d’outil ou de but, mettre la date à jour et diffuser l’avis de modification de la même manière.
La page Google Ads à Montréal décrit notre travail sur Merchant Center canadien et sur la conformité Loi 25.