Consentement aux témoins et Loi 25 du Québec : la fin du pistage silencieux

Une boutique de commerce électronique de Montréal que j'ai examinée l'an dernier affichait une bannière de témoins disant « En utilisant ce site, vous acceptez les témoins » avec un seul bouton bleu OK. Derrière, avant que quiconque ne clique sur quoi que ce soit, le site avait déjà déclenché Google Analytics, un pixel Meta, une balise TikTok et deux scripts de reciblage publicitaire. Le propriétaire croyait qu'une bannière le rendait conforme. Ce qu'il avait en réalité, c'était l'inverse : une preuve horodatée et automatique qu'il pistait des Québécois sans consentement, générée à chaque chargement de page.

Cet écart entre avoir une bannière et avoir un consentement est exactement là où se trouvent la plupart des entreprises canadiennes en ce moment. Et cela devient coûteux.

Pourquoi la vieille bannière de témoins est morte

Pendant des années, le manuel canadien était simple. Posez une bannière qui dit « nous utilisons des témoins », laissez les gens continuer à naviguer, et traitez la poursuite de la navigation comme un accord. Cette approche a toujours été fragile en vertu de la LPRPDE. La Loi 25 du Québec l'a rendue indéfendable pour toute entreprise ayant des utilisateurs dans la province.

Le problème central est le consentement implicite. La LPRPDE autorise le consentement implicite dans certaines situations, mais le Commissariat à la protection de la vie privée du Canada est clair depuis des années : la sensibilité de l'information et les attentes raisonnables de la personne déterminent ce qui est acceptable. Pister quelqu'un sur le Web, construire un profil comportemental et l'alimenter aux réseaux publicitaires n'est pas ce qu'une personne raisonnable attend lorsqu'elle arrive sur votre page d'accueil pour lire un billet de blogue. Les orientations du CPVP sur la publicité comportementale en ligne soutiennent depuis longtemps que ce type de pistage exige généralement un consentement exprès, par adhésion, assorti d'une véritable possibilité de refuser.

La Loi 25 aiguise cela à l'extrême. L'article 8.1 de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec exige que toute technologie permettant d'identifier, de localiser ou de profiler une personne soit désactivée par défaut. Relisez. Par défaut. La personne doit être informée que la technologie existe et recevoir les moyens de l'activer. C'est le certificat de décès juridique du pistage silencieux. Vous ne pouvez pas charger un témoin de profilage et demander la permission après coup. Le script reste dormant jusqu'à ce que la personne dise oui.

Ce qu'exige réellement le consentement aux témoins en vertu de la Loi 25 du Québec

Quand les gens cherchent consentement aux témoins Loi 25 Québec, ils espèrent généralement une liste de contrôle. Voici la version honnête, et elle est plus stricte que les habitudes de témoins RGPD que beaucoup d'agences copient-collent d'Europe.

Une configuration conforme à la Loi 25 et à la LPRPDE doit faire ce qui suit :

• Bloquer les traceurs non essentiels avant le consentement. L'analytique, les pixels publicitaires, les outils de relecture de session, les intégrations sociales qui communiquent à distance — aucun ne se déclenche au chargement de la page. Les témoins strictement nécessaires (votre panier d'achat, les jetons de sécurité, la répartition de charge) peuvent fonctionner, car ils fournissent le service que l'utilisateur a réellement demandé.
• Rendre « Refuser » aussi facile que « Accepter ». Une bannière dotée d'un bouton Accepter bien en vue et d'un lien « gérer les préférences » enfoui qui exige quatre clics pour refuser n'est pas un consentement libre. La Commission d'accès à l'information (CAI), l'organisme de réglementation du Québec, attend de la symétrie : un clic pour accepter, un clic pour refuser.
• Utiliser des catégories granulaires. Le consentement doit être spécifique. Regrouper l'analytique, la publicité et la personnalisation dans un seul bouton « tout accepter » n'est pas un consentement spécifique en vertu de la Loi 25. Les gens devraient pouvoir dire oui à l'analytique et non au ciblage publicitaire.
• L'afficher en français en langage clair. La Charte de la langue française du Québec et les exigences de transparence de la Loi 25 s'appliquent toutes deux. Une bannière qui ne se charge qu'en anglais pour un public québécois échoue sur deux fronts à la fois.
• La consigner. Conservez un registre de qui a consenti, à quoi et quand, plus un moyen tout aussi facile de retirer le consentement plus tard. Si la CAI vous demande de démontrer le consentement, « la bannière était là » n'est pas une preuve. Le registre de consentement l'est.

Ce dernier point fait trébucher les entreprises qui croient avoir terminé. Le consentement n'est pas un moment. C'est un état que vous devez prouver et que vous devez laisser les gens quitter.

Les organismes de réglementation ne bluffent pas

Les gens présument que l'application de la protection de la vie privée au Canada est sans dents. C'était autrefois plus près de la vérité. Plus maintenant.

Les sanctions administratives pécuniaires de la Loi 25, imposées par la CAI, atteignent jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Les dispositions pénales distinctes montent jusqu'à 25 millions de dollars ou 4 %, et peuvent être doublées en cas de récidive. La Loi 25 a aussi créé un droit privé d'action assorti de dommages-intérêts légaux débutant à 1 000 $ par personne, plus des dommages punitifs pour les atteintes intentionnelles ou la négligence grave. Ce n'est plus l'ancien régime de la lettre sévère d'un commissaire.

Une bannière est un coût. Un registre de consentement est un actif. La différence, c'est de pouvoir prouver ce qui s'est passé quand quelqu'un le demande.

Du côté fédéral, le CPVP enquête directement sur les pratiques de technologie publicitaire et de pistage, y compris ses travaux sur la reconnaissance faciale et sur l'utilisation de l'analytique en magasin par de grands détaillants. La Loi sur la protection de la vie privée des consommateurs proposée, si elle est adoptée, permettrait au commissaire à la protection de la vie privée de recommander des sanctions administratives pouvant atteindre le plus élevé de 10 millions de dollars et 3 % du revenu mondial, avec des amendes pénales atteignant 5 % pour les infractions les plus graves. La trajectoire ne va que dans un sens. Le pistage silencieux devient une responsabilité documentée qui se trouve dans vos propres journaux de serveur.

Voici la partie que les propriétaires sous-estiment : la preuve contre vous est générée automatiquement. Chaque chargement de page qui déclenche un pixel avant le consentement est un événement journalisé. Vous bâtissez le dossier. Une seule plainte en français à la CAI d'un Montréalais agacé peut déclencher le tout.

La plupart des entreprises canadiennes ignorent ce qui se trouve sur leur propre site

C'est le cœur pratique de la chose. Je n'ai pas encore audité un site Web canadien de petite ou moyenne taille dont le propriétaire pouvait nommer chaque traceur qui y tournait. Les gestionnaires de balises rendent trivial pour un sous-traitant en marketing d'ajouter un script, et ces scripts en tirent d'autres. Un seul conteneur Google Tag Manager peut discrètement charger une douzaine de traceurs tiers que l'entreprise n'a jamais accepté d'héberger. Des extensions WordPress livrent de l'analytique que vous n'avez jamais demandée. Une vidéo YouTube intégrée dépose des témoins de doubleclick.net.

Vous ne pouvez pas obtenir le consentement pour un pistage dont vous ignorez l'existence. Alors la première étape n'est jamais la bannière. La première étape est l'inventaire : une analyse complète de ce que votre site charge réellement, de la catégorie à laquelle appartient chaque témoin et traceur, des destinataires des données, et de savoir s'il se déclenche avant ou après le consentement. Tant que vous n'avez pas cette carte, toute bannière que vous posez n'est que décoration.

Un chemin réaliste vers la conformité

Vous n'avez pas besoin d'un consultant à un demi-million de dollars pour cela, quoi que certains cabinets vous disent. Le travail est concret et il suit un ordre.

Commencez par analyser votre site en ligne et dressez la liste de chaque témoin et traceur, y compris les tiers qu'ils appellent. Triez-les en strictement nécessaires par rapport à tout le reste. Branchez un outil de gestion du consentement qui bloque réellement la catégorie « tout le reste » jusqu'à ce que l'utilisateur adhère, avec un bouton Refuser aussi visible qu'Accepter, affiché correctement en français pour votre trafic québécois. Conservez ensuite les registres de consentement afin de pouvoir prouver ce qui s'est passé et honorer les retraits. Relancez l'analyse selon un calendrier, parce que votre équipe marketing ajoutera de nouvelles balises et brisera discrètement la configuration.

C'est l'écart que Valdra a été conçu pour combler pour les 95 % d'entreprises canadiennes qui étaient écartées par le prix des outils de confidentialité d'entreprise. Toute la pile est bilingue et hébergée au Canada, ce qui compte dès l'instant où vous devez expliquer la résidence des données à un client québécois.

Le propriétaire de la boutique montréalaise a corrigé sa bannière en une après-midi, une fois qu'il a pu voir la liste réelle de ce que son site chargeait. Le fait de voir était la partie difficile. Si vous voulez savoir ce qui se déclenche vraiment sur vos pages avant qu'un visiteur ne consente, analysez votre site à la recherche de témoins et de traceurs et partez de la vérité plutôt que d'une supposition.