Cookies et Loi 25 : ce que votre site doit vérifier

Le témoin est le plus connu, mais ce n’est pas la seule façon de garder une trace d’un visiteur. Quatre techniques cohabitent sur un site ordinaire, et la loi s’intéresse à leur effet, pas à leur nom.

• Le témoin : un fichier déposé par le navigateur, lisible au retour du visiteur.
• Le stockage local : localStorage et sessionStorage, qui remplissent le même rôle sans s’appeler témoins.
• Le pixel : une image d’un pixel ou un script tiers, dont le simple chargement signale la visite au service qui l’héberge.
• L’empreinte du navigateur : la combinaison de la police, de la taille d’écran et des extensions, qui suffit souvent à reconnaître un appareil sans rien y déposer.

Un site qui a retiré ses témoins mais conservé ses pixels n’a pas réglé la question. C’est un cas fréquent, et il ne se voit pas depuis le panneau des témoins du navigateur.

Un témoin de première partie est déposé par le domaine que le visiteur consulte. Un témoin de tierce partie vient d’un autre domaine, chargé depuis la page : la régie publicitaire, la plateforme vidéo, l’outil de mesure.

La distinction compte parce qu’elle change qui reçoit l’information. Un témoin de première partie reste chez vous ; un témoin de tierce partie signale la visite à une entreprise qui n’a aucun lien avec le visiteur, et souvent aucun établissement au Québec.

La durée compte aussi : un témoin de session disparaît à la fermeture du navigateur, un témoin persistant peut rester des mois. Les deux ne posent pas la même question.

Lorsqu’une entreprise recueille des renseignements personnels en offrant au public un produit ou un service technologique, elle doit informer les personnes, dès le départ, du recours à une technologie comprenant des fonctions permettant de les identifier, de les localiser ou d’effectuer un profilage, et des moyens offerts pour activer ces fonctions.

La Commission d’accès à l’information précise que ces fonctions ne peuvent pas être activées par défaut et que la personne doit pouvoir les activer elle-même, volontairement.

S’y ajoute le régime général : le consentement doit être manifeste, libre et éclairé, donné à des fins déterminées, et demandé pour chacune de ces fins. Il doit être présenté distinctement de toute autre information.

En revanche, la Loi ne prescrit pas, à notre connaissance, un modèle graphique unique de bannière : ni format, ni couleur de bouton, ni formulation. La configuration retenue s’évalue au regard des exigences applicables au consentement et aux technologies utilisées, pas d’un gabarit imposé.

Un point est souvent mal compris : l’exigence de paramètres de confidentialité offrant par défaut le plus haut niveau ne s’applique pas aux témoins de connexion. Cette exclusion porte sur ce point précis, et sur lui seul : elle ne retire pas les témoins du champ de la Loi. L’information due au titre des fonctions d’identification, de localisation ou de profilage, elle, demeure.

Entre le texte et la mise en œuvre, il reste des choix techniques. Voici les nôtres, présentés comme ce qu’ils sont : des recommandations, pas des obligations.

Cette position est technique, pas juridique. Elle a un avantage pratique : elle est vérifiable de l’extérieur, en quelques secondes, par vous comme par n’importe qui d’autre.

Un consentement libre suppose qu’il soit possible de ne pas le donner. Pour favoriser un consentement réellement libre, Repère recommande de rendre le refus clair et facilement accessible, sans présenter cette recommandation comme une exigence graphique textuellement prévue par la Loi.

• Le refus devrait être atteignable au même niveau que l’acceptation, pas derrière un second écran.
• Les cases correspondant à des finalités facultatives ne devraient pas être cochées d’avance : une case déjà cochée n’exprime aucun choix.
• Chaque finalité devrait pouvoir être acceptée séparément : la mesure d’audience et la publicité ne sont pas la même chose.
• Continuer à naviguer, faire défiler la page ou fermer le bandeau ne sont pas des marques de consentement.

Le texte du bandeau devrait décrire ce que le site fait réellement, en termes simples : quelles catégories de témoins, pour quelles finalités, et qui les reçoit. Une formule générique sur « l’amélioration de votre expérience » n’informe personne.

Le lien vers la politique de confidentialité a sa place dans le bandeau, mais il ne remplace pas l’information : la personne doit pouvoir décider sans quitter la page.

Politique de confidentialité et Loi 25 →

Le retrait du consentement doit être aussi simple que le fait de l’avoir donné. En pratique, cela suppose un point d’accès permanent : un lien « Préférences de témoins » au pied de page, qui rouvre le même panneau.

Un site où le bandeau ne s’affiche qu’une fois, sans moyen de le rappeler, place la personne devant un choix définitif pris en trois secondes. C’est le manquement le plus fréquent après le déclenchement anticipé, et le plus simple à corriger.