Loi 25, pixel publicitaire et consentement : ce que la règle exige vraiment

La règle qui gouverne un pixel publicitaire tient en une phrase, et c'est la Commission d'accès à l'information qui l'écrit : une technologie comprenant des fonctions permettant d'identifier, de localiser ou de profiler une personne ne peut pas avoir ces fonctions activées par défaut. Un pixel Meta, une balise Google ou une balise LinkedIn qui se déclenche au chargement de la page a fait le choix à la place du visiteur. Voici la règle dans les mots du régulateur, ce qu'elle implique pour une PME industrielle, et quoi demander à celui qui a posé vos balises.

Le scénario est presque toujours le même. Un manufacturier de la Beauce a fait refaire son site il y a deux ans. Le développeur a posé un pixel et une balise d'analyse, une agence a ajouté une balise LinkedIn plus tard, et personne n'a expliqué au propriétaire ce que la loi québécoise sur la protection des renseignements personnels demande. Il n'a pas à devenir juriste, il a besoin de savoir quoi exiger. Le cadre publicitaire complet est sur la page publicité Facebook et Meta.

Ce que la Commission écrit, en toutes lettres

Sur sa page consacrée à la collecte de renseignements personnels, la Commission décrit l'obligation en deux temps. Informer d'abord, ne pas activer ensuite.

« vous devez informer les personnes, dès le départ : De l'utilisation d'une telle technologie; Des moyens offerts pour activer les fonctions »

Commission d'accès à l'information du Québec, Collecte de renseignements personnels

« vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. »

Commission d'accès à l'information du Québec, Collecte de renseignements personnels

La même page ajoute une deuxième obligation, plus facile à vérifier : « La publication d'une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l'aide d'une technologie ».

Notez aussi ce que la Commission n'écrit pas. Ses pages n'imposent ni un modèle de bannière, ni un bouton précis, ni un outil de gestion du consentement. Les obligations publiées sont celles-là : informer dès le départ, ne pas activer par défaut, publier une politique. Un fournisseur qui vous vend un produit en affirmant que la loi l'exige va plus loin que le texte du régulateur.

Un consentement valide a huit qualités

La Commission énumère huit qualités, et elles sont cumulatives. Les voici dans ses mots.

• Manifeste : « évident et donné d'une façon qui démontre la volonté réelle de la personne concernée ».
• Libre : « impliquant un réel choix et donné sans contraintes et sans pression indue ».
• Éclairé : « précis, donné en toute connaissance de cause et avec toutes les informations nécessaires ».
• Spécifique : « donné dans un objectif précis et clairement circonscrit ».
• Temporaire : « valide seulement pour la durée nécessaire à la réalisation des fins ».
• Granulaire : « demandé pour chaque fin spécifique ».
• Compréhensible : « demandé en termes simples et clairs ».
• Distinct : « demandé distinctement de toute autre information ».

Trois de ces huit portent presque tout le poids quand on parle de balises. Spécifique et granulaire visent les fins, au pluriel : la mesure d'audience, la publicité et la communication à des tiers ne sont pas la même finalité. Temporaire rappelle qu'un accord obtenu une fois n'est pas un acquis permanent. Ce sont trois choses à vous faire expliquer par écrit, pas trois réglages à cocher.

Pourquoi ça mord autrement en B2B industriel

Un site de manufacturier reçoit peu de visiteurs, et des visiteurs qui valent cher. Quelques centaines de sessions par mois, une dizaine d'acheteurs réels dans l'année, un comité d'achat qui revient trois ou quatre fois sur six mois. C'est l'inverse exact d'un commerce en ligne.

Cette asymétrie change le calcul. Une audience de reciblage bâtie à partir de balises qui se déclenchent avant tout choix du visiteur reste, ici, une petite audience, où une bonne part des gens sont des fournisseurs, des étudiants et vos propres employés. Le gain est mince. L'exposition, elle, ne dépend pas de votre taille.

Ce qui décide vraiment une vente industrielle se trouve ailleurs : des preuves visibles sur le site, de vraies photos de l'usine, un interlocuteur identifiable. C'est le sujet de la page marketing industriel. Sur la mesure elle-même, la question de savoir ce que vos balises rapportent vraiment est traitée dans les évènements de conversion d'une PME.

Trois dates, et une responsabilité qui ne se délègue pas

La Commission classe les changements apportés par la loi 25 selon leur date d'entrée en vigueur. Le 22 septembre 2022 a visé la communication de renseignements personnels sans le consentement de la personne concernée. Le 22 septembre 2023 porte le gros du sujet de cette page. Le consentement obtenu doit être manifeste, libre, éclairé et donné à des fins précises. Les règles visant les organisations qui recueillent des renseignements en ayant recours à une technologie comprenant des fonctions permettant d'identifier, de localiser ou d'effectuer un profilage datent du même jour. S'y ajoutent l'avis d'incident à la Commission et aux personnes concernées, la publication du titre et des coordonnées du responsable sur le site Web, et la politique de confidentialité. Le 22 septembre 2024 a visé la portabilité.

La ligne la plus utile pour un dirigeant se trouve sur une autre page de la Commission, celle du responsable de la protection des renseignements personnels.

« La personne ayant la plus haute autorité dans l'entreprise, par exemple son dirigeant, est par défaut responsable de la protection des renseignements personnels. »

Commission d'accès à l'information du Québec, Responsable de la protection des renseignements personnels

Autrement dit, la responsabilité ne suit pas la facture d'installation. La même page ajoute que le titre et les coordonnées du responsable doivent être publiés sur le site Web de l'entreprise, et que le responsable doit participer, dès le départ, à l'évaluation des facteurs relatifs à la vie privée des projets d'acquisition, de développement et de refonte d'un système d'information. Une refonte de site accompagnée de nouvelles balises entre exactement dans cette description.

Sur les sanctions, un paragraphe suffit. La Commission peut imposer des sanctions administratives pécuniaires qui pourraient atteindre 2 % du chiffre d'affaires mondial ou 10 millions de dollars. Les amendes pénales, elles, sont imposées par un tribunal à la suite d'une poursuite pénale intentée par la Commission. Elles vont de 5 000 $ à 100 000 $ pour une personne physique. Pour une entreprise, elles se situent entre 15 000 $ et, selon le montant le plus élevé, 25 M$ ou un montant correspondant à 4 % de son chiffre d'affaires mondial. En cas de récidive, les amendes sont doublées. Ces montants expliquent pourquoi le dossier se règle avec un conseiller juridique et non avec un vendeur de bannières.

Ce qu'il faut demander à celui qui a posé les balises

Quatre questions, posées par courriel, et la réponse devrait tenir en une page.

• Quelles balises sont installées, sur quelles pages, et lesquelles se déclenchent avant que le visiteur ait fait quoi que ce soit.
• Ce que le visiteur lit au départ sur ce que fait chacune de ces technologies, et à quel endroit il le lit.
• Où se trouve notre politique de confidentialité, qui l'a rédigée, et à quelle date.
• Qui est notre responsable de la protection des renseignements personnels, et son titre et ses coordonnées sont-ils publiés sur le site.

Une réponse devrait mettre fin à la conversation : « c'est standard, tout le monde l'installe comme ça ». Un fournisseur incapable de nommer les balises présentes, les pages où elles se chargent et le moment où elles se chargent ne sait pas ce que votre site fait. Ce n'est pas une question juridique, c'est une question de compétence.

Quand ça ne vous concerne pas beaucoup

Soyons honnêtes sur l'ampleur du sujet. Une entreprise dont le site ne porte aucune balise de suivi, et qui ne fait pas de reciblage, a beaucoup moins à regarder ici qu'un commerce en ligne qui collecte des comptes, des paniers et des historiques d'achat. Beaucoup de sites de PME manufacturières sont cinq pages et un formulaire de contact. La vraie question, dans ce cas, n'est pas le pixel, c'est de savoir si vous voulez faire de la publicité.

Il y a aussi la situation inverse, plus fréquente qu'on pense : une entreprise qui porte des balises et ne fait aucune campagne. Personne ne recible, personne ne lit les rapports, et les balises se chargent quand même à chaque visite. C'est le pire des deux mondes, et le cas le plus simple à trancher.

Je ne vous dirai pas si votre installation est conforme. Je n'ai pas vu votre site, et ce n'est pas mon rôle. Ce texte décrit des règles publiques, il ne remplace pas un avis juridique. Faites valider votre cas par votre conseiller juridique avant de publier.

Sources

• Commission d'accès à l'information du Québec, Collecte de renseignements personnels, cai.gouv.qc.ca, consulté le 23 septembre 2026.
• Commission d'accès à l'information du Québec, Consentement des personnes, cai.gouv.qc.ca, consulté le 23 septembre 2026.
• Commission d'accès à l'information du Québec, Principaux changements apportés par la loi 25, cai.gouv.qc.ca, consulté le 23 septembre 2026.
• Commission d'accès à l'information du Québec, Responsable de la protection des renseignements personnels, cai.gouv.qc.ca, consulté le 23 septembre 2026.
• Commission d'accès à l'information du Québec, Sanctions et poursuites, cai.gouv.qc.ca, consulté le 23 septembre 2026.