Bandeau de cookies et Loi 25 : quoi faire sur votre site
Ce que la Loi 25 demande vraiment sur les témoins
La loi ne contient pas de chapitre intitulé « bandeau de cookies ». Ce qu'on lit dans les ressources de la Commission d'accès à l'information (CAI), c'est un principe : les technologies permettant d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut, et le visiteur doit les activer volontairement. Le bandeau n'est que l'interface qui permet ce choix. Un bandeau mal configuré, où tout se charge avant le clic, ne règle donc rien.
Pour la mise en vigueur, le site du gouvernement du Québec indique que la loi est entrée en vigueur à partir du 22 septembre 2022, la plupart des dispositions s'appliquant depuis le 22 septembre 2023, avec un déploiement par étapes jusqu'en 2024. Rappelons aussi que la loi vise toutes les entreprises privées collectant des renseignements personnels, sans exemption pour les PME.
Une précision utile : nous n'avons vérifié aucune amende liée spécifiquement à un bandeau de cookies, et nous ne prétendons pas qu'il y en a. Le risque se situe plutôt dans la pratique de collecte elle-même, qui peut relever des mécanismes décrits dans notre article sur les sanctions prévues pour une PME.
Technologies concernées
- Pixels publicitaires (Meta, Google Ads, TikTok) qui suivent un visiteur d'un site à l'autre.
- Outils d'analytique qui identifient ou profilent des personnes.
- Cartes interactives, vidéos intégrées et widgets de clavardage qui déposent des témoins tiers.
- Outils de cartes thermiques et d'enregistrement de sessions.
Témoins nécessaires au fonctionnement
Un témoin de session, de panier ou de sécurité est d'une autre nature qu'un témoin publicitaire. En général, on les traite séparément : ils n'ont pas à être bloqués avant le clic, mais gagnent à être décrits dans votre politique. La frontière précise dans un cas donné est une question juridique à faire valider.
Les cinq erreurs les plus fréquentes
1. Tout se charge avant le clic
C'est l'erreur numéro un. Le bandeau s'affiche, mais le pixel publicitaire et l'analytique se déclenchent dès l'arrivée sur la page. Pour le vérifier, ouvrez votre site dans une fenêtre privée, ouvrez l'onglet « Réseau » des outils du navigateur et regardez quelles requêtes partent avant toute interaction.
2. Un bouton « Accepter » éclatant et un « Refuser » caché
Par bonne pratique, le consentement devrait être un vrai choix. Quand le refus demande trois clics et l'acceptation un seul, la valeur du consentement devient discutable. Un refus aussi simple que l'acceptation est une bonne pratique solide.
3. Un bandeau « décoratif » sans blocage réel
Certains modules affichent le bandeau mais ne bloquent aucun script. Le visiteur croit avoir refusé, mais rien n'a changé. Testez toujours après avoir cliqué sur « Refuser ».
4. Des témoins ajoutés sans que personne ne le sache
Une extension, une vidéo intégrée ou un script ajouté par l'agence web introduit un nouveau témoin tiers. Sans inventaire à jour, le bandeau devient obsolète en quelques mois.
5. L'oubli de la mise en cohérence avec la politique de confidentialité
Le bandeau dit une chose, la politique en dit une autre. Voyez notre article sur la politique de confidentialité et les points à vérifier.
Comment mettre en place un bandeau utile, étape par étape
Étape 1 : inventorier les témoins et scripts
Dressez la liste de tout ce qui se charge sur vos pages : analytique, publicité, vidéos, cartes, clavardage, polices externes, extensions de formulaire. Notez pour chacun le fournisseur, la finalité et l'endroit où les données sont envoyées. Cet inventaire sert aussi à votre politique et, au besoin, à une évaluation des facteurs relatifs à la vie privée (EFVP), que la CAI associe aux projets de système d'information et aux communications de renseignements hors Québec.
Étape 2 : classer par catégorie
| Catégorie | Exemples | Traitement suggéré |
|---|---|---|
| Nécessaires | Session, panier, sécurité, mémorisation du choix de consentement | Chargés par défaut; décrits dans la politique |
| Analytique | Mesure d'audience, cartes thermiques | Désactivés par défaut si identification ou profilage possible |
| Publicité | Pixels Meta, Google Ads, TikTok | Désactivés par défaut; activés seulement après consentement |
| Tiers intégrés | Vidéos, cartes, clavardage | Chargés après consentement ou via une version sans témoins |
Étape 3 : bloquer avant le consentement
Le point technique crucial : les scripts non essentiels ne doivent pas s'exécuter avant le choix. Avec un gestionnaire de balises, on conditionne le déclenchement des balises à l'état du consentement. Sur WordPress, plusieurs extensions de consentement le permettent, à condition d'être bien configurées et testées.
Étape 4 : offrir un choix équilibré
Prévoyez trois actions de même importance visuelle : accepter, refuser, personnaliser. Le texte doit être simple, en français, et dire à quoi servent les témoins. Évitez le jargon et les tournures qui culpabilisent le refus.
Étape 5 : permettre de changer d'avis
Un lien « Gérer mes témoins » dans le pied de page permet de modifier le choix à tout moment. Sans ce lien, un visiteur qui a cliqué trop vite n'a aucun recours.
Consultation d'une heure par Google Meet : accès sécurisé et audit complet. Dans les jours suivants, sous mandat signé, nous mettons en place le volet Loi 25, puis nous livrons un rapport écrit complet dans les 7 jours ouvrables suivant la consultation.
Réserver ma consultation de 1 h: 1 499 $Étape 6 : tester, puis documenter
Après la mise en place, testez dans une fenêtre privée : avant le clic, après « Refuser », après « Accepter ». Prenez des captures de l'onglet « Réseau » et conservez-les. Cette trace documentaire montre que la configuration a été vérifiée à une date précise, ce qui est utile en cas de question d'un client ou d'un organisme.
Exemple concret : une clinique et un site de rendez-vous
Imaginons une clinique dentaire de Laval, avec un site WordPress, un formulaire de rendez-vous, une carte Google et un pixel publicitaire. À l'arrivée sur le site, la carte et le pixel se chargent immédiatement. Le bandeau affiche « Accepter » en grand et « En savoir plus » en lien gris. La correction technique consiste à : charger la carte seulement après consentement ou la remplacer par une image avec lien, conditionner le pixel au consentement, afficher un bouton « Refuser » équivalent, et noter la configuration dans un document daté. Ce scénario est fictif, mais il représente des cas fréquents sur les sites de PME.
Les outils : que choisir pour une PME ?
Il n'existe pas d'outil « conforme » par nature. Un outil bien configuré aide, un outil mal configuré donne l'illusion de la conformité. Voici les familles à comparer.
| Option | Avantages | Limites |
|---|---|---|
| Extension WordPress de consentement | Rapide à installer, bon marché | Le blocage des scripts doit être testé et la mise à jour assurée |
| Plateforme de gestion du consentement (CMP) | Journalisation du consentement, mises à jour | Abonnement mensuel, configuration à valider |
| Gestionnaire de balises avec consentement | Contrôle fin du déclenchement | Demande une expertise technique |
| Supprimer les outils non essentiels | Aucun bandeau complexe nécessaire | Perte de mesure et de publicité ciblée |
La solution la plus simple est parfois la meilleure : moins il y a de témoins tiers, moins il y a de choses à gérer. Une PME qui n'utilise ni publicité ciblée ni analytique avancée peut simplifier radicalement son site.
Liste de vérification avant de publier
- J'ai un inventaire à jour des témoins et scripts de mon site.
- Aucun script publicitaire ou d'analytique profilant ne s'exécute avant le consentement.
- Le bouton « Refuser » est aussi visible et simple que « Accepter ».
- Un lien permet de gérer ou de retirer le consentement en tout temps.
- Le texte du bandeau est clair et en français.
- Ma politique de confidentialité décrit les mêmes outils que le bandeau.
- J'ai testé en fenêtre privée avant et après le clic, avec captures.
- Mon responsable de la protection des renseignements personnels est désigné et publié.
Le lien avec les autres obligations
Le bandeau n'est qu'une pièce d'un ensemble. La loi prévoit aussi que le titre et les coordonnées du responsable soient publiés sur le site de l'entreprise, selon la CAI : voyez notre guide sur le responsable de la protection des renseignements personnels. En cas d'incident présentant un risque de préjudice sérieux, il faut aviser la CAI et les personnes concernées, et tenir un registre.
Sur le plan technique, un site vulnérable annule les efforts de consentement : selon Patchstack, 11 334 nouvelles vulnérabilités WordPress ont été recensées en 2025, surtout dans des extensions. Un bandeau parfait sur un site non mis à jour reste un site exposé.
Un mot sur le budget
Pour une PME, la mise en place d'un bandeau avec blocage réel, la documentation et le test dépendent du nombre d'outils tiers. Les plateformes de consentement ajoutent un coût d'abonnement. Pour des ressources gouvernementales sur la protection des renseignements personnels, consultez le site de la CAI et celui de Québec.ca. Pour un appui technique, appelez-nous au 1 (888) 711-9428.
Le rapport écrit complet est livré dans les 7 jours ouvrables suivant la consultation. Si des problèmes sont trouvés, une deuxième rencontre sans frais permet d'en discuter librement. Ce service ne constitue pas un avis juridique.
Réserver ma consultation de 1 h: 1 499 $Questions fréquentes
Faut-il un bandeau de cookies au Québec ?
Il n'existe pas un modèle unique de bandeau dans la loi. Le principe de la CAI est que les technologies d'identification, de localisation ou de profilage soient désactivées par défaut, avec activation volontaire. Si votre site utilise ce type d'outils, un mécanisme de consentement est le moyen usuel d'y arriver.
Les cookies strictement nécessaires demandent-ils un consentement ?
En général, un témoin indispensable au fonctionnement du site (panier, session) se distingue d'un témoin publicitaire ou analytique. Confirmez votre cas précis avec un avocat spécialisé.
Y a-t-il une amende prévue pour un bandeau non conforme ?
Nous n'avons vérifié aucune amende liée à un bandeau de cookies. Les sanctions générales de la loi existent, mais nous ne présentons pas de cas réel.
Google Analytics est-il permis ?
Cela dépend de la configuration et de ce que l'outil permet d'identifier ou de profiler. Vérifiez ses réglages et la désactivation par défaut, et faites valider le point par un juriste.
Votre service garantit-il que mon site est conforme ?
Non. Ce service ne constitue pas un avis juridique et ne garantit pas la conformité légale. Nous corrigeons et documentons les éléments techniques du mandat signé.