Comprendre la Loi 25
selon votre réalité.
La conformité ne s'arrête pas à la rédaction d'une politique de confidentialité par un avocat. Découvrez ce que la loi exige concrètement dans votre code source.
Loi sur la protection dans le secteur privé (P-39.1)
Pour les entreprises, la loi impose désormais le plus haut standard de consentement. Le pistage silencieux est terminé : le reciblage publicitaire (Meta Pixel, Google Ads) doit être techniquement bloqué par défaut.
Le profilage désactivé par défaut
« Quiconque recueille des renseignements personnels en ayant recours à une technologie de profilage doit, au préalable, informer la personne des moyens offerts pour activer ces fonctions. »
En clair :
Techniquement, Google Analytics, Meta Pixel et TikTok Ads ne doivent PAS s'exécuter dans le navigateur du visiteur avant qu'il n'ait cliqué sur « Accepter ».
Le consentement explicite
« Le consentement à la collecte doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Un consentement qui n'est pas donné conformément au premier alinéa est sans effet. »
En clair :
Le fameux bandeau passif « En continuant de naviguer sur ce site, vous acceptez les cookies » n'a plus aucune valeur légale.
Le risque de sanction maximale
« Commet une infraction et est passible d’une amende de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d'affaires mondial [...] quiconque recueille un renseignement en contravention à la loi. »
En clair :
Une simple erreur d'intégration d'un outil marketing (Pixel oublié dans le code) expose l'entreprise à des sanctions financières majeures.
Loi sur l'accès et la protection dans le secteur public (A-2.1)
L'État et ses instances doivent montrer l'exemple. La loi exige la plus stricte confidentialité par défaut pour protéger l'anonymat et les données des citoyens sur les portails publics.
Confidentialité par défaut
« Un organisme public qui recueille des renseignements en offrant au public un service technologique [...] doit s’assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité. »
En clair :
Le site Web gouvernemental ou municipal doit bloquer l'exécution de tout traqueur non-essentiel dès le chargement de la page.
Consentement manifeste
« Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Un consentement qui n’est pas donné conformément à la loi est sans effet. »
En clair :
Le citoyen doit effectuer une action positive (cliquer sur un bouton explicite) pour que l'outil d'analyse soit déclenché.
L'imputabilité de l'institution
« Commet une infraction et est passible d’une amende de 15 000 $ à 150 000 $ [...] quiconque ne prend pas les mesures de sécurité propres à assurer la protection des renseignements personnels. »
En clair :
L'institution publique demeure responsable et passible d'amende devant la CAI, même si l'erreur technique provient de l'agence Web mandatée pour concevoir le site.
La limite des politiques de confidentialité
Une politique de confidentialité rigoureuse est essentielle pour répondre aux exigences de la CAI, mais elle ne suffit pas à elle seule. Un texte juridique ne bloque pas un script informatique.
Si votre code source laisse fuir des données comportementales vers des tiers (Meta, Google) avant que l'utilisateur n'ait cliqué sur « Accepter », votre infrastructure technique n'est pas alignée avec vos engagements légaux, ce qui vous expose au regard de la Loi 25.
<!-- S'exécute AVANT le consentement -->