Loi 25 Québec : 80 % des sites non conformes aux bannières de cookies
Par Marie-Eve Ethier, architecte GRC-T
Temps de lecture estimé : 4 minutes
Catégorie : Gouvernance numérique et conformité web
Installer une bannière de cookies ne rend pas un site conforme. C’est souvent le contraire : la bannière donne une impression de contrôle, pendant que les traceurs se chargent déjà en arrière-plan.
Lors de nos audits d’ingénierie web, plus de 80 % des sites inspectés présentent une conformité de surface. Le bandeau est visible. Les boutons existent. La politique de confidentialité est publiée. Mais les témoins analytiques ou publicitaires s’exécutent avant le consentement, ou le refus est plus difficile que l’acceptation.
Sous la Loi 25 du Québec, ce décalage crée un risque réel. Les technologies qui permettent d’identifier, de localiser ou de profiler une personne doivent être encadrées avec un consentement clair, préalable et explicite, sauf exception applicable.
Ce guide explique les trois failles les plus fréquentes et la méthode technique pour corriger une bannière de cookies sans alourdir l’infrastructure.
Ce contenu est fourni à titre informatif. Il ne remplace pas un avis juridique adapté à votre organisation.
Ce que la Loi 25 attend réellement d’une bannière de cookies
La Loi 25 a changé les attentes envers les sites web québécois. Pour les témoins strictement nécessaires, comme ceux qui maintiennent une session ou sécurisent un formulaire, le fonctionnement peut généralement être justifié sans consentement séparé.
Pour les autres témoins, le principe est beaucoup plus strict.
Les technologies de suivi doivent être désactivées par défaut lorsqu’elles servent à :
identifier une personne;
suivre son comportement;
la localiser;
établir un profil;
alimenter des outils publicitaires;
mesurer son parcours avec des outils analytiques non essentiels;
enregistrer sa session ou ses interactions.
Le point clé est simple : la personne doit pouvoir choisir avant que le site commence à la suivre.
Une bannière qui s’affiche après le chargement de Google Analytics, Meta Pixel, TikTok Ads, Hotjar ou d’un autre outil semblable ne règle pas le problème. Elle documente plutôt que le site sait qu’un consentement est requis, mais qu’il n’a pas bloqué les scripts à temps.
Étape 1. Vérifiez ce qui se charge avant le clic
Le premier test ne consiste pas à regarder la bannière. Il consiste à observer le réseau.
Ouvrez votre site dans une fenêtre de navigation privée, sans extension active. Avant de cliquer sur quoi que ce soit, inspectez les éléments suivants :
les requêtes réseau vers des domaines tiers;
les témoins déjà déposés dans le navigateur;
le stockage local et le stockage de session;
les pixels invisibles;
les scripts injectés par le gestionnaire de balises;
les appels vers des plateformes d’analyse, de publicité ou de carte thermique.
Dans les outils de développement du navigateur, les onglets `Network`, `Application` et `Storage` permettent déjà de voir beaucoup d’informations. Un audit plus poussé peut aussi utiliser un proxy d’interception pour analyser les flux HTTP et HTTPS.
Le résultat est souvent révélateur. Sur plusieurs sites, la bannière demande le consentement pendant que les traceurs ont déjà envoyé les premiers signaux.
La faille du traçage à froid
Le traçage à froid est l’erreur la plus courante. Il survient lorsqu’un script de suivi se charge dès l’ouverture de la page, avant tout geste du visiteur.
Exemples fréquents :
Google Analytics 4 lancé au premier affichage;
Meta Pixel injecté dans l’en-tête du site;
TikTok Ads chargé par défaut;
Hotjar actif sur toutes les pages;
balises de remarketing déclenchées par le gestionnaire de balises;
module de clavardage tiers qui dépose ses témoins avant consentement.
Ce comportement entre en tension directe avec l’esprit des articles 8.1 et 11.1 mentionnés dans plusieurs analyses de conformité liées à la Loi 25. Lorsqu’une technologie sert au profilage, à l’identification ou à la localisation, elle ne devrait pas être active avant le consentement.
La correction ne consiste pas à changer le texte de la bannière. Il faut modifier l’ordre de chargement.
Étape 2. Bloquez les scripts non essentiels par défaut
Une bannière conforme agit comme un garde-barrière technique. Elle ne sert pas seulement à afficher un message. Elle contrôle réellement l’exécution des scripts.
Avant consentement, le site doit charger seulement ce qui est nécessaire à son fonctionnement de base :
sécurité;
équilibrage de charge;
préférences strictement nécessaires;
session;
panier d’achat, lorsque pertinent;
accessibilité ou affichage essentiel.
Les scripts analytiques, publicitaires et de profilage doivent attendre.
Une façon claire de gérer cette logique consiste à classer les témoins en catégories :
Catégorie | Chargement par défaut | Exemple |
Nécessaires | Oui | Session, sécurité, panier |
Préférences | Non, sauf nécessité démontrée | Langue, affichage personnalisé |
Mesure d’audience | Non | GA4, outils statistiques tiers |
Publicité | Non | Pixels et remarketing |
Expérience et profilage | Non | Cartes de chaleur, enregistrements de session |
La règle pratique est la suivante : si l’outil aide surtout l’organisation à analyser, vendre, recibler ou personnaliser, il doit attendre le choix de la personne.
La méthode native à privilégier
Beaucoup d’organisations empilent une extension de consentement sur un thème, un gestionnaire de balises, un module analytique et plusieurs scripts tiers. Cette superposition crée des angles morts.
Une méthode plus fiable consiste à appliquer un contrôle natif en trois niveaux.
Définir l’état initial du consentement
Au premier chargement, l’état doit être `refusé` ou `non défini` pour toutes les catégories non essentielles. Aucun outil tiers ne doit interpréter ce silence comme une permission.
Conditionner chaque script à une catégorie
Chaque balise doit être reliée à une catégorie précise. Par exemple, GA4 ne se lance que si la catégorie mesure d’audience est acceptée. Meta Pixel ne se lance que si la catégorie publicité est acceptée.
Déclencher les scripts après le choix
Une fois le consentement donné, le site peut lancer les outils autorisés. Si la personne refuse, ils restent bloqués.
C’est cette logique qui manque à plusieurs bannières installées rapidement. Le visuel existe, mais le mécanisme de blocage n’est pas branché.
Étape 3. Rendez le refus aussi simple que l’acceptation
La deuxième grande faille est plus visible : le bouton de refus est absent, caché ou moins accessible.
Certains sites affichent un bouton `Tout accepter` très clair, puis forcent la personne à ouvrir un panneau secondaire pour refuser. D’autres utilisent un lien discret comme `Personnaliser mes choix`, sans option de refus global au premier niveau.
Ce modèle crée un déséquilibre. Le consentement doit être libre. Si l’interface pousse fortement vers l’acceptation, la validité du consentement devient fragile.
Une bannière plus saine devrait offrir, dès le premier niveau :
`Tout accepter`;
`Tout refuser`;
`Personnaliser mes choix`.
Les boutons devraient avoir un poids visuel comparable. Le refus ne doit pas être caché dans un paragraphe, placé en gris pâle ou repoussé derrière plusieurs clics.
Ce qu’il faut écrire dans la bannière
Le texte doit être court, mais précis. Il doit expliquer ce que le site fait, pas seulement dire qu’il utilise des cookies.
Un bon message couvre quatre éléments :
les catégories de technologies utilisées;
la finalité de chaque catégorie;
le droit de refuser;
le lien vers la politique de confidentialité.
Exemple sobre :
Nous utilisons des témoins nécessaires au fonctionnement du site. Avec votre accord, nous utilisons aussi des témoins de mesure d’audience et de publicité pour comprendre l’utilisation du site et améliorer nos communications. Vous pouvez accepter, refuser ou personnaliser vos choix.
Évitez les formulations vagues comme « améliorer votre expérience » si elles couvrent en réalité de la publicité, du profilage ou du suivi comportemental.
Étape 4. Consignez la preuve du consentement sans surcollecter
La troisième faille est la preuve. Une organisation doit être capable de démontrer que le choix a été demandé et respecté. Mais cette preuve ne doit pas devenir une nouvelle collecte excessive.
Il faut conserver les éléments utiles :
version du texte présenté;
catégories acceptées ou refusées;
date et heure du choix;
identifiant technique du consentement;
durée de conservation;
moyen de retrait.
Il faut éviter de conserver plus que nécessaire. Par défaut, ne liez pas la preuve du consentement à un profil client complet si ce n’est pas requis. La preuve doit servir à documenter le choix, pas à enrichir un dossier marketing.
Le retrait doit aussi être facile. Un lien permanent dans le pied de page, comme `Gérer mes témoins`, permet de rouvrir le panneau et de modifier les préférences.
Quand une personne retire son consentement, les scripts concernés doivent cesser de fonctionner. Le site doit aussi éviter de redéposer automatiquement les témoins refusés lors de la prochaine page consultée.
Étape 5. Auditez le gestionnaire de balises
Le gestionnaire de balises est souvent le lieu où la conformité se brise.
Même si la bannière semble bien configurée, un gestionnaire comme Google Tag Manager peut déclencher certaines balises trop tôt. Cela arrive lorsque les déclencheurs sont liés à `All Pages`, `Page View` ou `DOM Ready` sans condition de consentement.
Chaque balise doit être vérifiée.
Posez trois questions :
Cette balise est-elle nécessaire au fonctionnement du site?
Quelle catégorie de consentement l’autorise?
Quel événement précis la déclenche après le choix?
Si une balise n’a pas de finalité claire, retirez-la. Les vieux pixels oubliés, les anciennes campagnes publicitaires et les modules testés puis abandonnés créent du risque sans valeur réelle.
Dans plusieurs audits, le ménage des balises réduit fortement l’exposition. Moins de scripts veut dire moins de dépendances, moins de transferts vers des tiers et moins de risques de chargement accidentel.
Étape 6. Testez le parcours complet comme une personne réelle
Une correction n’est pas terminée tant qu’elle n’a pas été testée dans plusieurs scénarios.
Testez au minimum ces parcours :
première visite avec refus complet;
première visite avec acceptation complète;
personnalisation avec acceptation partielle;
retrait du consentement après acceptation;
nouvelle visite après fermeture du navigateur;
navigation entre plusieurs pages;
utilisation sur mobile;
changement de langue, si le site est bilingue.
Pour chaque scénario, vérifiez les requêtes réseau et les témoins déposés. Ne vous fiez pas seulement à l’apparence de la bannière.
Le test critique est celui-ci : après un refus complet, le site doit rester fonctionnel, et aucun traceur non essentiel ne doit se charger.
Étape 7. Alignez la bannière avec vos documents de gouvernance
La bannière n’est qu’une partie du dispositif. Elle doit correspondre à la politique de confidentialité, au registre des renseignements personnels, au registre des fournisseurs et aux pratiques internes.
Si la bannière dit que les données servent à la mesure d’audience, mais que la politique parle aussi de publicité personnalisée, il y a incohérence. Si un outil tiers reçoit des données, mais n’apparaît pas dans l’inventaire des fournisseurs, il y a un trou de gouvernance.
Un bon alignement couvre :
le nom des outils utilisés;
leur finalité;
les catégories de données traitées;
les fournisseurs impliqués;
les lieux possibles de traitement;
les durées de conservation;
les mécanismes de retrait.
Cette étape évite que la conformité web reste isolée dans le site. La Loi 25 demande une responsabilité organisationnelle, pas seulement un bandeau.
Étape 8. Mettez en place une vérification périodique
Un site change constamment. Une nouvelle extension, une campagne, une vidéo intégrée ou un module de clavardage peut ajouter des témoins sans révision formelle.
Prévoyez une vérification régulière, surtout après :
une refonte;
l’ajout d’un outil analytique;
l’installation d’un pixel publicitaire;
une nouvelle campagne numérique;
un changement de thème ou d’application;
une mise à jour majeure du site;
l’ajout d’un formulaire ou d’un espace membre.
Un audit léger tous les trimestres suffit souvent à repérer les écarts. Les sites à fort trafic ou à forte exposition devraient vérifier plus souvent.
La liste de contrôle pour corriger votre bannière
Avant de considérer votre site conforme, validez ces points :
La bannière s’affiche avant tout script non essentiel.
Les traceurs analytiques et publicitaires sont bloqués par défaut.
Le bouton `Tout refuser` est visible au premier niveau.
Le refus demande autant ou moins d’effort que l’acceptation.
Les catégories de consentement sont claires.
Chaque balise est liée à une finalité.
Le consentement est enregistré sans collecte excessive.
Le retrait est possible en tout temps.
Le gestionnaire de balises respecte le choix.
La politique de confidentialité reflète la réalité technique.
Les tests réseau confirment l’absence de traçage sans consentement.
À quoi ressemble une bannière réellement conforme
Une bannière conforme ne se juge pas à son design. Elle se juge à son comportement.
Avant le choix, elle bloque. Pendant le choix, elle informe clairement. Après le choix, elle respecte la décision. Au retrait, elle arrête les traitements non autorisés.
C’est la différence entre une façade de conformité et une conformité technique réelle.
Pour les organisations québécoises, la priorité n’est pas d’ajouter une bannière de plus. La priorité est de reprendre le contrôle sur l’ordre de chargement des scripts, les finalités de collecte et la preuve du consentement.
Le bon test reste simple : ouvrez votre site en navigation privée, ne cliquez sur rien, puis regardez ce qui part vers des tiers. Si des traceurs se déclenchent déjà, la correction doit commencer là.