« Ce site utilise des cookies »… pis après?

La Loi 25, qu’est-ce que ça mange en hiver? C’est la loi qui protège vos renseignements personnels au Québec. Vous l’avez sûrement vue passer, ne serait-ce que dans les bandeaux qui surgissent sur chaque site. Deux ans après son entrée en vigueur complète, tous les sites devraient être prêts. Mais le sont-ils vraiment?

Un témoin, c’est quoi au juste?

Non, ce n’est pas quelqu’un qui vient frapper à votre porte le dimanche matin. Un témoin de connexion, ou cookie en anglais, c’est un petit fichier texte qu’un site dépose dans votre navigateur. Pas un programme, pas un virus : une étiquette. Quand vous revenez, le site la relit et se souvient de vous : votre langue, votre panier, le fait que vous êtes connecté.

Certains témoins servent au site lui-même et sont nécessaires à son fonctionnement. D’autres viennent d’ailleurs, de Google ou de Facebook par exemple, et servent à mesurer votre visite ou à vous reconnaître d’un site à l’autre pour la publicité. C’est surtout de ceux-là que parle la Loi 25.

Si je les accepte

Vous permettez au propriétaire du site d’obtenir des statistiques très utiles : le nombre de visites, les heures de pointe, la provenance des visiteurs, les pages qui intéressent le plus. Rien d’intrusif… normalement. Certains sites y ajoutent de la publicité ciblée, qui vous reconnaît d’un site à l’autre : c’est là que votre permission compte le plus.

Si je les refuse

Le site devrait fonctionner quand même : vous pouvez lire, remplir un formulaire ou acheter. Il se peut toutefois que certaines fonctionnalités manquent, comme une vidéo ou une carte intégrée, ou que l’expérience soit un peu moins complète. Mais refuser ne devrait jamais vous bloquer l’accès à un site.

Si je change d’idée

Regardez tout en bas de cette page : vous voyez le lien « Témoins »? Cliquez dessus, et le bandeau revient avec vos choix. Un bon site offre toujours un lien comme celui-là : souvent dans le pied de page, parfois dans un petit bouton toujours visible à l’écran, sinon quelque part dans la politique de confidentialité elle-même. Si vous retirez votre accord, la collecte s’arrête à partir de ce moment. Vous pouvez aussi effacer les témoins déjà déposés dans les réglages de votre navigateur.

Ce que la loi vous garantit

Quand vous visitez un site d’une entreprise ou d’un organisme du Québec, la Loi 25 vous donne quelques garanties simples :

1. Rien d’indiscret sans votre permission. Les outils qui suivent votre parcours ou servent à la publicité restent éteints tant que vous n’avez pas dit oui.
2. Refuser est aussi simple qu’accepter. Un bouton « Refuser » caché au fond d’un menu, ce n’est pas un vrai choix.
3. Vous pouvez changer d’idée, n’importe quand.
4. Vous savez à qui parler. Le site doit publier une politique de confidentialité en mots simples, et le titre et les coordonnées de la personne responsable de vos renseignements.
5. Vous pouvez retirer votre consentement. Pour les témoins comme pour le reste : une infolettre, un compte, un formulaire. En pratique, un site qui vous laisse vous inscrire en un clic devrait vous laisser partir aussi facilement. Et une fois que vos renseignements ne servent plus, l’entreprise doit les détruire ou les anonymiser.
6. Vous pouvez repartir avec vos données. Depuis septembre 2024, vous pouvez demander une copie des renseignements que vous avez fournis, dans un format informatique courant, ou demander qu’ils soient transmis directement à une autre organisation. C’est le droit à la portabilité.

En coulisses, l’entreprise doit aussi tenir un registre des incidents, même pour les incidents mineurs, ceux qui ne présentent pas de risque sérieux. Vous ne le voyez pas, mais c’est rassurant.

Pourquoi c’est important

Parce que ce sont vos renseignements. Votre parcours sur le web en dit long : ce que vous cherchez, ce qui vous préoccupe, ce que vous comptez acheter. La loi part d’une idée toute simple : c’est à vous de décider qui peut vous suivre.

Pour les entreprises, ce n’est pas qu’une question de principe. La Commission d’accès à l’information peut imposer des sanctions, jusqu’à 10 millions de dollars pour les plus gros joueurs. Jusqu’ici, elle a surtout misé sur la sensibilisation, mais les outils sont là depuis 2023.

Et surtout, c’est une question de confiance : un site qui respecte votre choix mérite qu’on y revienne.

Reconnaître un bon bandeau

Un bon bandeau de témoins, ça se reconnaît au premier coup d’œil :

• « Refuser » est aussi visible qu’« Accepter ». Même taille, même place.
• Rien ne bouge avant votre choix. Le test plus bas vous montre comment le vérifier.
• Des choix clairs. Des catégories en mots simples, et la liste des témoins si vous voulez en savoir plus.
• Les vidéos attendent votre clic. Une vidéo YouTube intégrée peut déposer des témoins de Google dès l’affichage de la page. Un bon bandeau la remplace par une image jusqu’à ce que vous cliquiez.
• Un lien pour changer d’idée, toujours facile à trouver.

Le bandeau de ce site, justement

Le bandeau que vous avez vu en arrivant ici, c’est le nôtre. Je l’ai bâti moi-même, parce que les solutions que j’utilisais n’avaient pas été pensées pour la Loi 25 et se pliaient mal au style de chaque site. Un bandeau qui jure avec le reste de la page, ça se remarque, et pas en bien.

Il s’appelle Cookie Consent Kit, et il coche tous les points ci-dessus : rien ne s’active avant votre choix, « Refuser » est aussi visible qu’« Accepter », et il ne fait appel à aucun service externe. Autrement dit, l’outil qui protège votre vie privée ne vous suit pas lui-même. Il veille aussi sur les visiteurs des sites de plusieurs de mes clients, et il est offert gratuitement aux développeurs qui travaillent avec Craft CMS, Statamic ou Laravel.

Trêve d’infopub. Un bon bandeau, c’est la partie visible du respect de votre vie privée, mais ce n’est pas tout. Derrière chaque site, il y a une entreprise qui doit aussi expliquer clairement ce qu’elle fait de vos renseignements, nommer une personne responsable et les protéger. Le bandeau vous accueille à la porte ; le reste se passe à l’intérieur. La politique de confidentialité, notamment, mérite un billet à elle seule : on y reviendra!

Faites le test, en cinq minutes

Curieux de savoir si un site respecte votre choix? Le vôtre ou celui de votre épicerie préférée, le test est le même :

1. Ouvrez le site dans une fenêtre de navigation privée de Chrome, Edge ou Firefox.
2. Appuyez sur F12 (ou Cmd + Option + I sur Mac) pour ouvrir les outils de développement, puis allez dans l’onglet Application (Stockage sur Firefox), section Cookies.
3. Sans toucher au bandeau, regardez la liste. Des noms comme _ga, _gid ou _fbp? Des outils de suivi se sont activés sans votre accord.
4. Cliquez « Refuser », rechargez la page et regardez de nouveau.

Si des témoins de mesure ou de publicité apparaissent avant votre accord, ou après un refus, le bandeau ne fait pas son travail.

En résumé

Deux ans après, la Loi 25 n’est plus une nouveauté : c’est la norme. Elle ne demande pas un bandeau, elle demande que le bandeau fasse ce qu’il dit. Comme visiteur, vous avez le droit de dire non, et que ce non soit respecté. Et si c’est votre propre site qui échoue au test, parlez-en à la personne ou à l’agence qui l’a conçu. Si vous n’en avez pas, vous savez où me trouver : vous êtes déjà sur le bon site!

Ce texte vulgarise la loi ; il ne remplace pas un avis juridique.