Loi 25 et pixel Meta : ce qu’un entrepreneur québécois doit faire avant de lancer

Réponse courte : si ton site dépose un pixel Meta, tu dois obtenir le consentement du visiteur avant que le pixel se déclenche. Pas après le premier défilement. Pas avec un « en continuant votre navigation, vous acceptez ». Avant.

La raison tient dans un seul article. L’article 8.1 de la Loi sur la protection des renseignements personnels dans le secteur privé vise toute collecte faite « en ayant recours à une technologie comprenant des fonctions permettant de l’identifier, de la localiser ou d’effectuer un profilage ». Un pixel publicitaire, c’est exactement ça. Et la Commission d’accès à l’information (CAI) écrit noir sur blanc, dans son guide Rédiger une politique de confidentialité destiné aux entreprises, que ces fonctions « doivent être désactivées par défaut ».

Le plafond des sanctions prévues par la loi est réel : 10 000 000 $ ou 2 % du chiffre d’affaires mondial du côté administratif, 25 000 000 $ ou 4 % du côté pénal, et un minimum de 1 000 $ en dommages punitifs. Le scénario réaliste pour une PME est plus lent (on y arrive), mais il commence toujours par une plainte.

Ce que la Loi 25 t’oblige à faire, et depuis quand

La « Loi 25 », c’est la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (LQ 2021, chapitre 25). Elle ne vit pas toute seule : elle réécrit la loi qui s’applique à ton entreprise depuis 1994 (RLRQ, c. P-39.1). Quand un avocat te parle de l’article 8.1, c’est de celle-là qu’il parle. Son article 175 étale l’entrée en vigueur sur trois ans :

• 22 septembre 2022 : nommer un responsable de la protection des renseignements personnels et déclarer à la CAI tout incident présentant un risque de préjudice sérieux.
• 22 septembre 2023 : le gros du morceau. Consentement, transparence, politique de confidentialité, technologies de profilage, et le régime de sanctions.
• 22 septembre 2024 : droit à la portabilité des données.

Il n’y a aucun seuil de taille. La loi vise « toute personne qui exploite une entreprise ». Trois camions et un site WordPress, c’est visé. Le « c’est pour les grosses compagnies » n’existe nulle part dans le texte.

Quatre mots qui décident de tout

L’article 14 est court et brutal :

Un consentement prévu à la présente loi doit être manifeste, libre, éclairé et être donné à des fins spécifiques. Il est demandé à chacune de ces fins, en termes simples et clairs. […] Un consentement qui n’est pas donné conformément à la présente loi est sans effet.

Article 14, Loi sur la protection des renseignements personnels dans le secteur privé

« Sans effet », ça veut dire que ton bandeau peut afficher un taux d’acceptation de 92 % et ne rien valoir juridiquement. La CAI a décliné la règle en huit critères dans ses Lignes directrices 2023-1 : Consentement : critères de validité (31 octobre 2023) : manifeste, libre, éclairé, spécifique, granulaire, compréhensible, temporaire et distinct. Trois exigences en particulier tuent la majorité des bandeaux québécois.

Granulaire

« S’il y a plusieurs finalités, le consentement doit être demandé séparément pour chacune d’elles », écrit la CAI. Mesurer ton trafic et alimenter le ciblage de Meta, ce sont deux finalités. Un seul interrupteur pour les deux, ce n’est pas granulaire.

Libre

Il doit être aussi facile de donner son consentement que de ne pas le donner. […] Le fait de mettre en valeur l’acceptation plutôt que le refus peut rendre le consentement sans effet, peu importe la façon exacte de le faire : mise en évidence visuelle (couleurs, taille de police, etc.), efforts que l’utilisateur doit faire en nombre de clics ou en navigation Web, formulation volontairement ambiguë, textes trompeurs, etc.

CAI, Lignes directrices 2023-1, section 2.2

Traduction : le bouton vert « Tout accepter » à côté d’un lien gris en petits caractères, c’est l’exemple même de ce qui ne marche pas.

Retirable

L’article 8 oblige à informer la personne « de son droit de retirer son consentement ». La CAI ajoute qu’il faut « un mécanisme simple et accessible », et que des efforts disproportionnés « peuvent nuire au caractère libre du consentement ». Elle va jusqu’à chiffrer : « Le nombre de clics pour consentir ou refuser devrait être équivalent. »

Pourquoi le pixel Meta tombe là-dedans

Le pixel dépose des témoins, enregistre les pages vues, les clics, les formulaires soumis, les achats, et renvoie tout ça à Meta. L’article 8.1 définit le profilage comme la collecte de renseignements personnels servant à évaluer « les préférences personnelles, les intérêts ou le comportement » d’une personne. C’est une description assez fidèle du travail d’un pixel publicitaire.

La CAI ne laisse pas beaucoup de place au doute. Son exemple B-b décrit un site qui infère les intérêts de ses lecteurs à partir de témoins : « Puisque cette technologie permet d’effectuer un profilage, le magazine affiche une fenêtre superposée lors de la première visite sur le site […]. Il leur indique ensuite comment activer le dépôt des témoins. » Autrement dit : fenêtre avant, témoins après.

Et l’API de conversions ?

Envoyer les événements de ton serveur plutôt que du navigateur ne règle rien juridiquement. Au contraire : tu transmets toi-même à Meta des courriels, des téléphones et des noms hachés, précisément parce qu’ils permettent de retrouver la même personne chez elle. Trois articles s’allument :

• Article 13 : on ne communique pas des renseignements personnels à un tiers sans le consentement de la personne concernée.
• Article 17 : avant de communiquer un renseignement à l’extérieur du Québec, l’entreprise « doit procéder à une évaluation des facteurs relatifs à la vie privée », et la communication « doit faire l’objet d’une entente écrite ». Meta n’héberge pas tes données à Longueuil.
• Article 23 : un renseignement n’est anonymisé que s’il ne permet plus, « de façon irréversible », d’identifier la personne. Un courriel haché dont la fonction même est d’être apparié, ce n’est pas ça. C’est notre lecture, et c’est le genre de point à faire confirmer par un avocat.

Bref, la partie technique et la partie légale se montent ensemble. C’est ce qu’on fait dans nos mandats de site et infrastructure technique.

Ce qu’un bandeau doit contenir pour tenir la route

1. Une mention claire que le site utilise une technologie qui permet d’identifier, de localiser ou de profiler le visiteur.
2. Les finalités en français simple. Pas « améliorer votre expérience » : « mesurer la fréquentation du site » et « vous montrer nos publicités sur Facebook et Instagram ».
3. Des catégories séparées, un interrupteur par finalité, tous désactivés par défaut sauf les témoins strictement nécessaires.
4. Un refus aussi facile qu’une acceptation : même écran, même nombre de clics, même poids visuel.
5. Aucune case pré-cochée pour la publicité : c’est du consentement implicite selon la CAI, et le profilage exige un geste positif.
6. Un lien vers ta politique de confidentialité, obligatoire depuis 2023 pour qui collecte par un moyen technologique (article 8.2).
7. Un moyen permanent de revenir sur son choix, et une trace de chaque consentement : date, version, catégories acceptées.

Et le point technique que la moitié des sites ratent : aucune balise ne doit se charger avant le clic.

Les cinq erreurs qu’on voit partout

1. Le bandeau décoratif

Le pixel est chargé dans l’entête de la page, il part dès l’ouverture, et le bandeau apparaît par-dessus. Le visiteur est tagué avant d’avoir touché à quoi que ce soit. C’est l’erreur la plus fréquente et la plus facile à démontrer : n’importe qui ouvre l’inspecteur de son navigateur et voit le témoin apparaître avant le clic.

2. « En poursuivant votre navigation, vous acceptez »

C’est du consentement déduit du silence. La CAI n’accepte l’implicite que si l’utilisation ne va pas à l’encontre des attentes raisonnables des personnes et qu’aucun risque de préjudice sérieux n’en découle. Se faire suivre par une régie publicitaire américaine parce qu’on a fait défiler une page, ça se défend mal, et pour le profilage, la CAI exige un « geste positif ».

3. Le bouton Refuser caché

« Tout accepter » en gros et en couleur, « Gérer mes préférences » en texte gris, le vrai refus deux écrans plus loin. C’est le cas d’école de la section 2.2 des lignes directrices.

4. L’interrupteur unique

Un seul bouton « Accepter les cookies » qui autorise la mesure d’audience et la publicité d’un coup. Ça échoue au critère de granularité.

5. Le consentement à vie

Aucun moyen de changer d’idée trois mois plus tard. Or le consentement « ne vaut que pour la durée nécessaire à la réalisation des fins auxquelles il a été demandé ».

Ce qu’on a monté sur notre propre site

On roule des campagnes Meta, donc on a un pixel et une API de conversions comme tout le monde. On a refait notre bandeau au complet plutôt que d’installer une extension gratuite. Tu peux copier l’approche :

Trois choix de même importance visuelle. « Tout refuser », « Personnaliser » et « Tout accepter » sur la même ligne, même taille, même contraste. Un clic pour tout refuser, un clic pour tout accepter, rien de caché derrière un deuxième écran.

Deux catégories facultatives séparées. « Mesure d’audience » d’un côté, « Publicité et reciblage » de l’autre, chacune avec sa description et son interrupteur désactivé par défaut. Les témoins strictement nécessaires sont décrits mais non désactivables, et on l’explique.

Rien ne se charge avant le clic. Pixel, API de conversions et outils de mesure restent bloqués tant que la catégorie n’est pas activée. Le signal de consentement est aussi propagé côté serveur, sinon tu bloques le navigateur d’un bord et tu envoies l’événement de l’autre.

Une pastille permanente. Un petit bouton discret reste en bas de l’écran, sur toutes les pages, pour rouvrir le panneau et changer d’idée. Autant de clics pour retirer que pour donner. Chaque choix est journalisé, horodaté, avec la version du bandeau.

Le compromis honnête : tu perds du signal. Les visiteurs qui refusent sortent de tes audiences et de tes conversions mesurées. Notre repère interne, c’est que Meta a besoin d’environ 50 conversions pour optimiser correctement une campagne ; si ton bandeau fait fondre ton volume d’événements, il faut compenser avec l’API de conversions sur la part consentante et un budget qui tient la route. Un pixel illégal n’est pas un actif, c’est une dette.

Ce qui arrive vraiment si tu ne fais rien

Commençons par ce qui n’arrive pas : personne à la CAI ne balaie les sites du Québec à la recherche de bandeaux fautifs. Le point de départ, c’est une plainte. Et les plaintes montent : dans son Rapport annuel d’activités et de gestion 2024-2025, la CAI rapporte 364 plaintes et enquêtes reçues pour le secteur privé, 514 avis d’incidents de confidentialité (dont 80 % du secteur privé) et une hausse de 227 % du nombre de plaintes depuis 2021-2022.

La suite est balisée par le Cadre général d’application des sanctions administratives pécuniaires publié par la CAI le 11 mai 2023 :

1. Avis de non-conformité. « Avant d’imposer une sanction administrative pécuniaire, la personne désignée doit avoir notifié à la personne en défaut l’avis de non-conformité. » Tu as donc une chance de corriger.
2. Engagement. Tu peux t’engager auprès de la CAI à corriger. Engagement accepté et respecté, pas de sanction pour les faits qui y sont mentionnés.
3. Sanction administrative pécuniaire. Maximum de 50 000 $ pour une personne physique et, pour les autres, de 10 000 000 $ ou 2 % du chiffre d’affaires mondial de l’exercice précédent si ce montant est plus élevé (article 90.12).
4. Poursuite pénale. Amende de 5 000 $ à 100 000 $ pour une personne physique, et de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour les autres (article 91). La CAI la priorise quand les conséquences sont graves, en cas de récidive ou quand rien n’a été corrigé.

Il y a un cinquième risque qui ne passe pas par la CAI : l’article 93.1 prévoit que le tribunal « accorde des dommages-intérêts punitifs d’au moins 1 000 $ » quand l’atteinte est intentionnelle ou résulte d’une faute lourde. Mille dollars par personne, sur une base de visiteurs, c’est le terrain naturel d’une action collective.

Soyons honnêtes : au moment d’écrire ces lignes, on n’a trouvé aucune sanction pécuniaire rendue publique contre une PME québécoise pour un bandeau de témoins non conforme. Le régime est jeune. Mais « personne ne s’est encore fait prendre » n’est pas une stratégie.

Le point de droit qui n’est pas réglé

Il faut le dire, parce que personne ne le dit : la loi n’est pas parfaitement claire sur les témoins. L’article 9.1 impose des paramètres de confidentialité au plus haut niveau par défaut, puis ajoute : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d’un témoin de connexion. » Les témoins sont exclus de cette obligation-là. L’article 8.1, lui, ne prévoit aucune exclusion.

Le cabinet McCarthy Tétrault a soulevé la contradiction dès octobre 2023. Sa lecture (distinguer les témoins strictement nécessaires des autres et exiger le consentement préalable pour les seconds) est celle que la CAI applique dans ses guides. Mais le cabinet reconnaît lui-même que l’incohérence pourrait être résolue autrement, et aucun tribunal québécois n’a tranché.

Même chose pour la mesure d’audience : on n’a trouvé aucune publication de la CAI qui l’exempte du consentement, contrairement à ce que fait la CNIL en France sous certaines conditions. Prudence, donc : demande-la aussi, dans une catégorie séparée.

Ton plan avant de lancer

• Nomme et publie ton responsable de la protection des renseignements personnels (article 3.1).
• Publie une politique de confidentialité en termes simples et clairs (article 8.2).
• Inventorie toutes tes balises : pixel, mesure d’audience, clavardage, carte, vidéo, prise de rendez-vous.
• Installe un outil de consentement qui bloque réellement avant le clic, avec trois choix de même poids et une pastille permanente.
• Documente ton évaluation des facteurs relatifs à la vie privée et garde ton entente écrite (article 17).
• Tiens ton registre d’incidents (article 3.5 et suivants), puis fais valider le tout par un avocat.

Si tu veux qu’on regarde ton site et ton suivi de conversions avant de partir des campagnes, c’est inclus dans nos mandats Done For You ; sinon, écris-nous.

Questions fréquentes

La Loi 25 s’applique-t-elle à une entreprise de trois employés ?

Oui. La loi vise « toute personne qui exploite une entreprise », sans seuil de chiffre d’affaires ni d’employés. Un couvreur avec un site WordPress est visé au même titre qu’une bannière nationale. Ce qui change, c’est la proportionnalité : l’article 3.2 exige des politiques « proportionnées à la nature et à l’importance des activités de l’entreprise ».

Puis-je garder la mesure d’audience sans consentement ?

C’est le point le moins clair du dossier. La loi n’énonce pas d’exemption et on n’a trouvé aucune publication de la CAI qui en crée une. L’approche prudente : la demander dans une catégorie distincte de la publicité, et valider avec ton avocat selon la configuration de ton outil.

L’API de conversions me permet-elle de contourner le bandeau ?

Non. Le canal change, pas la nature des données. Envoyer un courriel haché à Meta reste une communication de renseignements personnels à un tiers (article 13) et, comme les serveurs ne sont pas au Québec, ça déclenche l’évaluation des facteurs relatifs à la vie privée de l’article 17.

Est-ce qu’un bandeau conforme va ruiner mes campagnes Meta ?

Tu vas perdre du signal, c’est mathématique. Ce n’est pas fatal : sur la portion consentante, l’API de conversions récupère une partie des événements que le navigateur perd, et il faut garder assez de volume pour que l’algorithme sorte de sa phase d’apprentissage, notre repère est d’environ 50 conversions.

Combien de temps ça prend, se mettre en règle ?

Pour un site vitrine avec un pixel et un outil de mesure, l’inventaire des balises et la refonte du bandeau se font en quelques jours. La partie longue, c’est la gouvernance (politique, registre d’incidents, évaluations), et c’est celle qu’un avocat doit regarder.

---

Ceci n’est pas un avis juridique. Ce texte est une vulgarisation écrite par une agence de publicité, pas par des juristes, et il ne crée aucune relation avocat-client. Plusieurs points abordés ici, l’articulation entre les articles 8.1 et 9.1, le statut des données hachées, le traitement de la mesure d’audience, ne sont pas tranchés par les tribunaux et font l’objet de lectures divergentes. Valide ta situation avec un avocat en droit de la vie privée. Les seuls textes qui font autorité sont la loi et les publications de la Commission d’accès à l’information, liées tout au long de l’article.