Témoins (cookies) et Loi 25 : ce que dit la loi, et ce qu’elle ne dit pas

Ce que la loi dit des témoins, et ce qu’elle ne dit pas

La Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) emploie le mot « témoin » une seule fois, à l’art. 9.1, al. 2 : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d’un témoin de connexion. » Elle ne définit pas cette expression. Les mots cookie, bannière, bandeau, pixel, traceur et pistage n’apparaissent pas dans le texte lu pour cette page (version à jour au 12 août 2026).

Ce que la loi pose, ce sont deux règles plus générales. L’une porte sur l’information donnée à la collecte (art. 8 et 8.1), et notamment quand la technologie utilisée peut identifier, localiser ou profiler une personne. L’autre porte sur le consentement (art. 14). Les témoins se rattachent à ces règles selon ce que le site en fait.

La CAI, elle, les nomme. Dans sa page sur la collecte, la politique de confidentialité doit permettre de comprendre « Du recours à l’utilisation de témoins de connexion (cookies), si tel est le cas ». Dans son guide de rédaction, elle range « Certains témoins (cookies) de votre site Web » parmi les moyens technologiques que la politique indique.

Aucune des sources lues ne dit que tout témoin exige un consentement, ni le contraire. Cette page ne tranche pas non plus : non vérifié.

Trois fonctions que la loi nomme : identifier, localiser, profiler

L’art. 8.1 vise la personne qui recueille des renseignements en ayant recours à « une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage de celle-ci ». La loi parle donc de fonctions d’une technologie, pas d’un type d’outil.

Le profilage a sa propre définition, à l’art. 8.1, al. 2 : c’est la collecte et l’utilisation de renseignements personnels « afin d’évaluer certaines caractéristiques d’une personne physique », notamment son rendement au travail, sa situation économique, sa santé, ses préférences personnelles, ses intérêts ou son comportement. Dans son guide de rédaction, la CAI range parmi les buts que la politique peut indiquer « Offrir des recommandations personnalisées selon le profil d’achat », et précise : « Dans ce cas, comme il s’agit de profilage, les conditions de l’article 8.1 de la Loi sur la protection des renseignements personnels dans le secteur privé doivent aussi être respectées. »

Les lignes directrices 2023-1 de la CAI sur le consentement donnent deux autres exemples.

• Une application de rencontres comporte une fonction de localisation. « Un avis indique aux utilisateurs qu’elle comporte une fonctionnalité de localisation. » Et : « Celle-ci est désactivée par défaut. »
• « Le site Web d’un magazine propose des recommandations personnalisées d’articles en fonction des intérêts des lecteurs, inférés par un algorithme d’intelligence artificielle. » Les renseignements qui servent à l’inférence « sont recueillis à l’aide de témoins (cookies) déposés sur l’appareil du lecteur ». Le magazine affiche une fenêtre superposée à la première visite : « Puisque cette technologie permet d’effectuer un profilage, le magazine affiche une fenêtre superposée lors de la première visite sur le site et fournit aux personnes concernées les informations prévues par la loi. » Puis : « Il leur indique ensuite comment activer le dépôt des témoins. »

Ces deux exemples ne disent rien d’une mesure d’audience, d’un outil de publicité, d’un bouton de réseau social, d’une carte intégrée ou d’une vidéo hébergée ailleurs. Aucune source lue pour cette page ne range l’un de ces outils parmi les technologies de l’art. 8.1, ni ne l’en exclut : non vérifié. Pour chaque outil d’un site, la question se pose au cas par cas, et elle se pose d’abord à celui qui le fournit.

Avant de recueillir : ce qu’il faut dire

L’art. 8 demande d’informer la personne « lors de la collecte et par la suite sur demande » : des fins de la collecte, de la façon dont les renseignements sont recueillis, de ses droits d’accès et de rectification, et de son droit de retirer son consentement. L’information se donne « en termes simples et clairs, quel que soit le moyen utilisé pour recueillir les renseignements » (art. 8, al. 4).

Pour une technologie de l’art. 8.1, la loi ajoute deux choses à dire, au préalable : que cette technologie est utilisée, et comment la personne peut en activer les fonctions. La CAI écrit : « De plus, la loi lui impose une obligation supplémentaire de transparence. » Sur sa page de collecte, elle demande d’informer les personnes « dès le départ » : « Quand vous avez recours à ces technologies, vous devez informer les personnes, dès le départ ».

Le seul exemple lu est la fenêtre superposée du magazine, à la première visite. Un lien vers la politique de confidentialité, dans le pied de page, suffit-il comme information préalable ? Aucune source lue ne le dit : non vérifié.

Cette page ne fournit pas de texte d’avis à copier. Elle dit ce que la loi demande d’annoncer ; la rédaction reste celle de l’entreprise.

Désactivé par défaut : ce que la CAI en conclut

Le texte de la loi demande d’informer la personne des moyens offerts pour activer ces fonctions. Il ne contient pas les mots « désactivées par défaut ». C’est la CAI qui tire cette conséquence, en trois endroits.

• Sa page de collecte : « Par conséquent, vous ne pouvez pas activer ces fonctions par défaut. La personne concernée doit pouvoir le faire elle-même, volontairement. »
• Sa page sur les principaux changements : « En d’autres mots, ces technologies ne pourront être activées par défaut : ce sera à la personne concernée de les activer, si elle le souhaite. »
• Ses lignes directrices : « Lorsqu’une organisation recueille des renseignements en ayant recours à une technologie dont certaines fonctions permettent d’identifier, de localiser ou de profiler la personne concernée », ces « fonctions doivent être désactivées par défaut ». Puis : « La personne concernée doit donc poser un geste positif pour ce faire. »

Son guide de rédaction écrit la même chose à propos de la politique : « Elles doivent être désactivées par défaut. »

La loi dit d’informer des moyens d’activation ; la CAI en déduit que l’activation revient à la personne. Les lignes directrices précisent leur propre portée : « En cas de doute ou de conflit avec ces lignes directrices, les lois et règlements ont toujours priorité. »

Le consentement : quand et comment

Quand le consentement s’impose : une personne qui fournit ses renseignements après avoir reçu l’information de l’art. 8 consent à leur utilisation et à leur communication pour les fins annoncées (art. 8.3). Les lignes directrices le reprennent : l’organisation qui respecte son obligation de transparence peut considérer que ces personnes « consentent à l’utilisation et à la communication nécessaires aux fins primaires annoncées ».

Un autre usage, ou une communication à un tiers, demande un consentement. L’art. 12 : « Un renseignement personnel ne peut être utilisé au sein de l’entreprise qu’aux fins pour lesquelles il a été recueilli, à moins du consentement de la personne concernée. » L’art. 13 : « Nul ne peut communiquer à un tiers les renseignements personnels qu’il détient sur autrui, à moins que la personne concernée n’y consente ou que la présente loi ne le prévoie. » Les lignes directrices énumèrent les cas où, sauf exception, un consentement valide s’impose : « Pour utiliser un renseignement à des fins secondaires » et « Pour communiquer des renseignements à un tiers ».

Le consentement ne remplace pas la nécessité. Selon la CAI : « Le critère de nécessité a préséance sur la notion de consentement et doit prévaloir en toute circonstance. »

Comment le demander : l’art. 14, al. 1 pose les critères de base : un consentement « manifeste, libre, éclairé » et donné à des fins spécifiques. Ils sont décrits dans le guide sur les obligations des entreprises et ne sont pas répétés ici. Les lignes directrices de la CAI ajoutent ce qui suit.

• Un consentement exprès, ou implicite : « Un consentement est exprès quand la personne pose un geste actif (ou qu’elle fait une déclaration) qui manifeste clairement son accord. » Et : « Un consentement est implicite s’il n’est pas formulé expressément. » L’organisation « le déduit par une autre action que pose la personne concernée ou de son silence/inactivité ».
• Un choix équitable : « Il doit être aussi facile de donner son consentement que de ne pas le donner. » Mettre l’acceptation en valeur plutôt que le refus peut rendre le consentement sans effet, et demander à répétition un consentement déjà refusé peut contrevenir à son caractère libre.
• Une demande par fin : « Le consentement doit être granulaire. Il doit être demandé pour chacune des fins visées. »

Deux dernières règles de la loi : « Le consentement ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé » (art. 14, al. 3), et « Un consentement qui n’est pas donné conformément à la présente loi est sans effet » (art. 14, al. 4).

Quels témoins demandent un consentement, et lesquels se couvrent par l’information donnée à la collecte : non vérifié. Les sources lues ne rattachent aucune catégorie de témoin à l’un ou l’autre cas.

Paramètres de confidentialité par défaut et témoin de connexion

L’art. 9.1, al. 1 vise « Une personne qui exploite une entreprise et qui recueille des renseignements personnels en offrant au public un produit ou un service technologique disposant de paramètres de confidentialité ». Elle doit veiller à ce que, au départ, ces paramètres soient réglés au niveau de confidentialité le plus élevé. Le guide de la CAI le résume ainsi : « ces paramètres doivent assurer le plus haut niveau de confidentialité par défaut. »

Le second alinéa écarte les témoins de connexion. La CAI le répète sur deux pages : « Les paramètres de confidentialité d’un témoin de connexion ne sont pas visés par cette exigence. » Et : « Cette disposition ne s’applique pas aux paramètres de confidentialité d’un témoin de connexion. »

Ce que « témoin de connexion » désigne : non vérifié. La loi l’emploie une fois sans le définir, et la CAI le reprend sans le définir. On ne sait pas, à la lecture de ces sources, si l’exception couvre tous les témoins, certains seulement, ou aucun de ceux qui profilent.

Ce que la politique de confidentialité doit dire des témoins

Selon la CAI, « La publication d’une politique de confidentialité est obligatoire si vous recueillez des renseignements personnels à l’aide d’une technologie, peu importe laquelle. » Elle doit être « adaptée au contexte dans lequel elle s’inscrit ». Pour les témoins, les pages de la CAI mentionnent trois points :

• mentionner le recours aux témoins de connexion, si tel est le cas, et nommer certains témoins parmi les moyens de collecte ;
• si une technologie permet d’identifier, de localiser ou de profiler, l’indiquer : « Si vous recueillez des renseignements personnels à l’aide d’une technologie permettant d’identifier la personne concernée, de la localiser ou d’en effectuer le profilage », puis dire comment activer ces fonctions ;
• indiquer les mesures offertes pour refuser. Son exemple : « Refuser les témoins de connexion (cookies) et utiliser votre site Web sans bénéficier de certaines fonctionnalités. »

La politique doit aussi inclure les renseignements personnels recueillis. Parmi les exemples de la CAI : « Adresse IP, date et heure de connexion, pages visitées, actions posées sur un site Web ».

La politique ne tient pas lieu de l’information préalable de l’art. 8.1 : si un lien suffit, non vérifié. Elle ne remplace pas non plus un consentement quand il est requis, et elle ne choisit pas les outils du site. Aucune obligation de décrire chaque témoin par son nom n’a été lue : non vérifié.

Notre générateur propose une rubrique intitulée Identification, localisation ou profilage : une case, une description, et la manière dont la personne active ces fonctions. Elle est décrite dans le guide sur le contenu d’une politique.

Ce qui arrive si l’information manque

Voici les textes tels quels. L’art. 90.1, al. 1, 1° vise celui qui « n’informe pas les personnes concernées conformément aux articles 7 et 8 ». Le 2° du même article et le 1° de l’art. 91 visent celui qui « recueille, utilise, communique, conserve ou détruit des renseignements personnels en contravention à la loi ». La page de la CAI sur les sanctions reprend ces idées : « Néglige d’informer adéquatement les personnes concernées de la collecte de leurs renseignements personnels », et « Recueille, utilise, communique, conserve ou détruit des renseignements personnels en contrevenant à la Loi ».

Aucun de ces textes ne nomme l’art. 8.1 ni les témoins. Un manquement à l’information préalable de l’art. 8.1 tombe-t-il sous l’un d’eux ? Aucune décision ni page lue ne le dit : non vérifié. Les montants maximaux de la loi sont dans le guide sur l’incident de confidentialité, à la section sur ce qui arrive si l’on n’avise pas ; ils ne sont pas répétés ici.

Ce que cette page ne dit pas

Cette page décrit ce que les textes prévoient ; elle ne dit pas si l’outil d’un site précis identifie, localise ou profile, ni ce qu’une entreprise donnée doit faire. Non vérifié, parce que non lu pour cette page : quels outils entrent dans les trois fonctions de l’art. 8.1, le sens de « témoin de connexion », les témoins qui demandent un consentement, la suffisance d’un lien vers la politique comme information préalable, le respect de la loi par les outils de gestion du consentement, la pratique de la CAI et les décisions ou sanctions qui visent des témoins, les règles d’une autre autorité ou d’une plateforme publicitaire, et le nombre de sites qui utilisent des témoins.

À faire avant de choisir un outil

Ces points se déduisent des articles ci-dessus ; aucun n’est cité d’un texte comme une obligation distincte.

• Dresser la liste des témoins et des technologies du site : qui les dépose, pour quoi faire, qui reçoit les renseignements.
• Pour chacun, se demander s’il identifie, localise ou profile (art. 8.1), puis noter la réponse et sa raison.
• Si oui, écrire l’information préalable et le moyen d’activation, et ne pas activer la fonction d’office (lecture de la CAI).
• Décrire la technologie dans la politique de confidentialité.
• Garder la liste à jour quand un outil change.

Pour aller plus loin

• Ce que la Loi 25 demande au site web d’une entreprise : la place des témoins parmi les obligations d’un site.
• Politique de confidentialité selon la Loi 25, avec un exemple : la rubrique Identification, localisation ou profilage dans le tableau du contenu.
• Loi 25 : les obligations des entreprises, article par article : les critères du consentement (art. 14).
• Incident de confidentialité : que dit la Loi 25, et que noter au registre : les montants maximaux de la loi.
• Responsable de la protection des renseignements personnels : qui est-ce et quoi publier : qui répond des questions sur ces pratiques.