La plupart des sites québécois affichent aujourd'hui une bannière de témoins. Beaucoup moins respectent réellement la Loi 25. La différence ne se voit pas à l'œil nu : elle se joue dans ce qui se déclenche, ou non, pendant que la bannière est à l'écran. Voici les cinq exigences qui séparent une bannière décorative d'une bannière conforme.
1. Le consentement avant le dépôt
La Loi 25 exige que les témoins non essentiels (analyse, publicité, profilage) restent inactifs tant que le visiteur n'a pas consenti. Concrètement : aucune requête vers Google Analytics, Meta ou tout autre traceur ne doit partir au chargement de la page. C'est le point que la majorité des bannières échouent, parce qu'elles affichent une fenêtre sans rien bloquer derrière.
Comment le vérifier
Ouvrez votre site en navigation privée, onglet Réseau des outils de développement, sans toucher à la bannière. Si des requêtes partent vers google-analytics.com ou facebook.com, le consentement préalable n'est pas respecté. Le scanner de conformité fait cette vérification automatiquement, page par page.
2. Refuser aussi facilement qu'accepter
Si « Tout accepter » est un bouton et que refuser demande trois clics dans des paramètres, le consentement obtenu n'est pas valable : il doit être libre et éclairé. Le refus doit être offert au même niveau que l'acceptation, avec le même poids visuel. Les cases précochées et les « dark patterns » qui culpabilisent le refus fragilisent tout votre registre.
3. Le choix par catégorie
Le visiteur doit pouvoir consentir à l'analyse sans consentir à la publicité. Cela suppose des catégories claires (nécessaires, fonctionnels, analyse, publicité) et un centre de préférences qui applique réellement chaque choix. Un consentement en bloc, tout ou rien, ne reflète pas les exigences de granularité de la loi.
4. Le retrait en tout temps
Consentir n'est pas signer pour la vie. Le visiteur doit pouvoir rouvrir ses préférences et retirer son consentement aussi simplement qu'il l'a donné, d'où l'icône persistante en bas de page qu'affichent les bannières sérieuses. Au retrait, les traceurs doivent être bloqués de nouveau, sans attendre le prochain rechargement.
5. La preuve de chaque consentement
En cas de plainte à la Commission d'accès à l'information, c'est à l'entreprise de démontrer qu'elle avait un consentement valable. Chaque choix doit donc être horodaté et conservé : qui a consenti, à quoi, quand, et sous quelle version de votre politique. C'est le rôle du registre de consentement : sans lui, votre conformité repose sur la bonne foi.
- Aucun traceur ne part avant le consentement explicite.
- Refuser est aussi simple qu'accepter, sans détour.
- Chaque catégorie de témoins se choisit séparément.
- Le consentement se retire en tout temps, avec effet immédiat.
- Chaque décision est horodatée et conservée comme preuve.
Ces cinq exigences sont exactement ce que Consorm applique par défaut : blocage à la source via votre Google Tag Manager, refus au premier niveau, préférences par catégorie, retrait en un clic et registre horodaté. Pour le portrait complet de vos obligations, consultez notre guide de la Loi 25.