Bannière de témoins et Loi 25 : ce que la CAI considère comme une interface truquée

La Loi 25 est pleinement en vigueur depuis septembre 2024, et la plupart des sites québécois affichent désormais une bannière de témoins (les « cookies »). Mais toutes les bannières ne se valent pas. La Commission d’accès à l’information du Québec (CAI) a publié une page consacrée aux interfaces truquées, ces présentations qui orientent les gens vers le choix qui arrange l’entreprise. Les bannières de témoins y occupent une place centrale.

Une précision avant d’entrer dans le détail : cette page est une vulgarisation. La CAI indique elle-même que ses textes « n’ont pas force de loi ». Mais c’est la lecture de l’organisme chargé de faire appliquer la loi, et c’est donc celle qui compte en pratique.

Ce que dit la loi elle-même

Deux articles de la Loi sur la protection des renseignements personnels dans le secteur privé encadrent les témoins :

• L’article 8.1 oblige toute entreprise qui utilise une technologie permettant d’identifier, de localiser ou de profiler une personne à l’en informer au préalable, ainsi que des moyens offerts pour activer ces fonctions. C’est de là que vient l’idée que ces fonctions doivent être désactivées tant que la personne ne les a pas activées.
• L’article 14 exige un consentement manifeste, libre, éclairé et donné à des fins spécifiques.

Ce que la CAI considère comme trompeur

La page de la CAI est très concrète. Voici ses positions sur les bannières, reformulées en règles pratiques.

1. Les témoins de profilage sont désactivés par défaut

Les témoins qui permettent le profilage, l’identification ou la localisation « doivent être désactivés par défaut en vertu de la loi », selon la CAI. Concrètement : aucun outil de ce type ne devrait se déclencher avant que le visiteur ait fait un choix.

2. Refuser doit être aussi facile qu’accepter

L’exemple que donne la CAI est celui de presque tous les sites : un bouton pour tout accepter en un clic, mis en valeur, et un refus qui demande d’ouvrir un second écran et de décocher des options. Un bouton « Tout accepter » reste acceptable, à condition que le refus des témoins non essentiels soit présenté de la même manière.

3. Les choix sont présentés de façon neutre

C’est le point que beaucoup de bannières ne respectent pas. Un bouton « Accepter » en couleur vive à côté d’un « Refuser » discret, grisé ou présenté comme un simple lien oriente le choix. Selon la CAI, une option d’acceptation trop mise en valeur peut rendre le consentement invalide.

4. Aucune case précochée

La présélection des témoins est à éviter « en tout temps ». Un consentement doit venir d’un geste de la personne, pas d’une case cochée d’avance.

5. Continuer à naviguer ne vaut pas acceptation

Les bannières qui annoncent « en poursuivant votre navigation, vous acceptez… » ne respectent pas cette lecture : la navigation sur le site ne devrait pas être perçue comme une acceptation. Fermer la bannière non plus.

6. Le détail peut attendre un second niveau

Pas besoin d’afficher toutes les catégories de témoins d’emblée. Si les boutons « tout accepter » et « tout refuser » sont présents au premier niveau, le choix détaillé peut se trouver au second, à condition que l’accès à ce niveau soit facilement visible.

Ce qu’on risque

La CAI écrit que l’usage d’interfaces truquées « peut être contraire à la loi », et que les utilisations de renseignements personnels qui en découlent « pourraient être illégales ». Les sanctions administratives prévues par la loi peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial.

Dans les faits, la CAI n’avait imposé aucune sanction administrative pécuniaire au 9 janvier 2026, selon sa réponse à une demande d’accès publiée sur son site. Méfiez-vous donc des messages alarmistes, et des courriels qui vous réclament une « amende Loi 25 » : la CAI a déjà mis le public en garde contre ce genre d’arnaque. Mais une bannière conforme coûte peu, et c’est aussi une marque de respect envers vos visiteurs.

Vérifier votre bannière en deux minutes

1. Ouvrez votre site dans une fenêtre de navigation privée. La bannière doit apparaître.
2. Avant de cliquer quoi que ce soit, vérifiez qu’aucun outil de suivi ne s’est déjà déclenché. Dans Chrome : clic droit, Inspecter, onglet Application, puis Cookies. Des témoins comme _ga (Google Analytics) ou _fbp (Meta) ne devraient pas y figurer.
3. Comparez les deux boutons. « Refuser » est-il au même niveau, de la même taille et aussi visible qu’« Accepter » ?
4. Cliquez sur Refuser, puis rechargez la page : les témoins de suivi ne doivent toujours pas apparaître, et la bannière ne doit pas revenir à chaque page.
5. Cherchez comment changer d’avis plus tard. Un lien vers vos préférences de témoins, par exemple dans le pied de page, permet de retirer un consentement aussi facilement qu’il a été donné.

Si l’un de ces points coince, la correction est généralement simple : réglage de l’extension de consentement, présentation des boutons, ou configuration du mode de consentement de vos outils de mesure.

En résumé

Une bannière conforme selon la CAI tient en une phrase : rien ne se déclenche avant un choix clair, et refuser est aussi simple et aussi visible qu’accepter. Le reste, c’est de la présentation.

Les vérifications de ce type font partie de l’entretien d’un site, au même titre que les mises à jour. Si vous n’êtes pas certain de ce que fait votre bannière, écrivez-nous : c’est une vérification rapide.