Consentement aux témoins pour les boutiques en ligne canadiennes : ce que la Loi 25, la LPRPDE et le RGPD exigent vraiment — et ce qu'ils n'exigent pas

On a bâti un mécanisme de consentement pour notre propre site cet été et on a fait la lecture juridique correctement plutôt que de copier un gabarit. Deux choses ressortent. La plupart des bannières sur les boutiques canadiennes sont du théâtre : elles apparaissent, elles ne bloquent rien, et les pixels ont tiré avant que vous les voyiez. Et les conseils qui circulent sur le consentement au Canada se trompent souvent dans les deux sens — trop stricts pour l'analytique, trop relâchés pour les pixels publicitaires. Voici ce que disent les règles en octobre 2026, ce qu'une bannière doit faire, et où sont les pièges techniques. Nous sommes une firme d'ingénierie, pas un cabinet d'avocats — prenez ceci comme notre façon de bâtir, pas comme un avis juridique.

Quelle loi s'applique à quel visiteur

Québec : la Loi 25

Deux articles se confondent souvent. L'article 9.1, la règle de confidentialité par défaut, exclut expressément les témoins de navigateur : « la Loi 25 exige que tous les témoins soient désactivés par défaut » n'est donc pas ce que dit la loi. C'est l'article 8.1 qui compte pour le marketing : si vous utilisez une technologie qui permet d'identifier, de localiser ou de profiler une personne, vous devez l'en informer et lui indiquer les moyens d'activer ces fonctions. Le résumé de la loi publié par le régulateur lui-même précise que ces fonctions ne peuvent pas être activées par défaut. En pratique : les témoins analytiques peuvent être gérés par un avis, mais les pixels publicitaires et de reciblage, qui servent justement à profiler, restent désactivés pour les visiteurs québécois jusqu'à ce qu'ils les activent. Là où il faut un consentement, l'article 14 exige qu'il soit manifeste, libre, éclairé et donné à des fins spécifiques.

La Commission d'accès à l'information a publié des lignes directrices générales sur le consentement et un guide de rédaction des politiques de confidentialité de sites Web, mais rien de propre aux bannières de témoins, et à notre connaissance aucune sanction liée aux témoins. Ce n'est pas une raison de relâcher : c'est que la loi est le seul guide.

Le reste du Canada : la LPRPDE

Le consentement implicite est acceptable pour l'analytique si vous donnez un avis au moment de la collecte ou avant, et un retrait facile. C'est sur la publicité que la plupart des textes, y compris une première version de celui-ci, vont trop loin. La position du Commissariat à la protection de la vie privée sur la publicité comportementale en ligne accepte le consentement par retrait, mais seulement si toutes ces conditions sont réunies :

• les visiteurs sont informés clairement de ce qui se passe et pourquoi, au moment de la collecte ou avant — sur la page, pas seulement dans la politique de confidentialité ;
• le retrait est facile, prend effet immédiatement et est durable ;
• les renseignements ne sont pas sensibles (santé, finances, etc.), dans la mesure du possible ;
• ils sont détruits ou dépersonnalisés le plus tôt possible ;
• vous ne suivez pas sciemment des enfants et n'utilisez pas de technologie que le visiteur ne peut pas refuser.

S'il en manque une, ou si l'usage dépasse ce à quoi les gens s'attendraient raisonnablement, il faut un consentement exprès. L'exemple le plus clair pour les commerçants est la conclusion de 2023 sur Home Depot : envoyer à Meta les courriels hachés de clients pour mesurer des pubs, sur la foi d'une politique de confidentialité, n'était pas un consentement valable. Si vous téléversez des listes de clients ou envoyez des courriels par une API de conversions, obtenez un oui explicite.

La réforme fédérale est de retour : le projet de loi C-36, déposé en juin 2026, remplacerait le volet vie privée de la LPRPDE et prévoit des pénalités allant jusqu'à 25 millions de dollars ou 5 % du chiffre d'affaires mondial. Ce n'est pas encore la loi. Bâtissez selon la LPRPDE, et attendez-vous à une application plus serrée.

Visiteurs de l'UE et de la Suisse : RGPD et ePrivacy

C'est le régime qui force vraiment une bannière. Les témoins non essentiels, les pixels et les liens de suivi exigent un consentement préalable — les lignes directrices du comité européen sur la portée technique (version finale, octobre 2024) confirment que les pixels et le suivi par URL sont visés, pas seulement les témoins. Le rapport 2023 du groupe de travail des régulateurs reste la référence pour une bannière valide : le refus au même niveau que l'acceptation, rien de précoché, le refus comme bouton plutôt que comme lien enfoui, aucune pression, et un retrait aussi facile que le consentement — un lien en pied de page suffit.

L'application touche le commerce en ligne : le régulateur français a imposé à Shein une amende de 150 millions d'euros en septembre 2025 pour des témoins déposés sans consentement. Le projet européen « Digital Omnibus » ajouterait des exemptions pour la mesure d'audience de première partie et changerait le délai avant de redemander après un refus, mais il est encore en négociation. Ne refaites pas votre bannière pour lui tout de suite.

Visiteurs du Royaume-Uni : une nouvelle exemption pour l'analytique

Le Royaume-Uni s'est démarqué de l'UE. Depuis février 2026, la Data (Use and Access) Act permet de déposer des témoins à des fins statistiques sans consentement — de l'analytique de première partie servant à améliorer votre propre site, qui produit des chiffres agrégés, avec une information claire et un moyen simple et gratuit de s'y opposer. Elle ne couvre jamais la publicité ni le suivi d'individus : les pixels publicitaires exigent toujours l'adhésion des visiteurs britanniques.

Visiteurs américains

La loi californienne sur la vie privée s'applique au-delà de 26 625 000 $ US de revenus annuels mondiaux, ou si vous achetez, vendez ou partagez les données de 100 000 consommateurs ou plus, ou tirez la moitié de vos revenus de leur vente ou partage. La plupart des boutiques canadiennes ne sont pas visées. Respectez quand même le signal de navigateur Global Privacy Control : une douzaine de lois d'États obligent désormais les entreprises qu'elles visent à le traiter comme un retrait, et à partir du 1er janvier 2027 les navigateurs en Californie devront l'offrir. Côté litiges, la loi SB 690 de Californie, signée en septembre 2026 et en vigueur le 1er janvier 2027, met fin aux poursuites privées dites « pen register » visant le suivi sur les sites Web ; les réclamations pour écoute électronique en vertu de la même loi restent possibles.

Ce que ça veut dire en pratique

• Visiteurs du Québec, de l'UE, du Royaume-Uni et de la Suisse : les pixels publicitaires ne se chargent qu'après un oui explicite. L'UE et la Suisse exigent aussi l'adhésion pour l'analytique ; au Royaume-Uni, les statistiques de première partie peuvent maintenant fonctionner par retrait.
• Le reste du Canada : l'analytique sous consentement implicite est défendable avec un vrai avis et un vrai interrupteur. La publicité par retrait n'est possible que si vous respectez chaque condition de la liste du Commissariat. Demander à tout le monde d'abord est plus simple et plus sûr ; le retrait vous donne de plus grandes audiences de reciblage, en échange d'un avis bien fait.
• Tout le monde : aucun courriel ni numéro de téléphone de client aux plateformes publicitaires sans consentement exprès, et un signal GPC compte comme un refus.

Ce que fait vraiment une bannière conforme

• Dans les régions à adhésion, elle ne charge rien de non essentiel avant qu'un choix soit fait — vérifiez-le dans l'onglet réseau du navigateur, pas en lisant la brochure du fournisseur.
• Dans les régions à retrait, elle affiche quand même un avis à la première visite avec un moyen de tout désactiver en un clic. C'est le silence qui rend le consentement implicite invalide.
• Elle affiche « Tout refuser » avec la même importance que « Tout accepter », sur le premier écran, comme boutons de même taille et de même couleur.
• Elle sépare les finalités (analytique, publicité) sans rien de précoché, et traite la fermeture de la bannière ou la touche Échap comme une absence de consentement, pas comme un oui.
• Elle mémorise le choix pour une durée raisonnable — on utilise six mois pour l'acceptation comme pour le refus, la pratique recommandée par le régulateur français — et redemande quand les finalités ou les fournisseurs changent.
• Elle offre le retrait depuis un lien permanent en pied de page.
• Elle fonctionne au clavier et avec un lecteur d'écran. Une bannière qui piège mal le focus ou qu'on ne peut pas fermer sans souris est un défaut d'accessibilité sur chaque page du site.

Les pièges techniques

• Safari peut effacer en une semaine environ un témoin de consentement posé par JavaScript. Les utilisateurs de Safari se font alors redemander, ce qui agace et signifie que vous recollectez sans cesse un consentement que vous aviez déjà. Posez plutôt le témoin depuis le serveur. Les mêmes limites s'appliquent au stockage local : n'y gardez pas le consentement non plus.
• Google Consent Mode doit s'exécuter avant toute balise Google, avec des défauts justes pour la région du visiteur avant que les balises de la page se chargent — sinon la première page vue est mesurée sous le mauvais état. Les annonceurs ne sont pas tenus d'utiliser une plateforme de consentement certifiée par Google ; cette exigence vise les éditeurs qui diffusent les réseaux publicitaires de Google sur leurs propres pages. Un mécanisme maison bien bâti satisfait la politique.
• Le pixel Meta n'a pas de mode sans témoins, et son état « consentement révoqué » n'est pas mémorisé d'une page à l'autre. Là où le consentement est requis, n'injectez pas le pixel avant l'accord du visiteur, et réaffirmez la révocation à chaque page pour ceux qui ont refusé.
• La navigation sans rechargement cache des pages vues. Les vitrines modernes changent de page sans recharger, donc un pixel qui ne tire qu'au chargement sous-compte chaque page après la première. Envoyez une page vue à chaque changement de route, derrière la même vérification de consentement.

Un piège moins visible : sous le RGPD, vous devez pouvoir démontrer que le consentement a été donné, et les régulateurs ont dit qu'une bannière correctement configurée ne suffit pas comme preuve à elle seule. Gardez un journal — quand, quelle version de la bannière, quels choix — et gardez une capture d'écran datée de chaque version de la bannière.

Shopify contre WooCommerce

Les paramètres de confidentialité des clients de Shopify n'affichent automatiquement une bannière native que pour le Royaume-Uni et l'EEE ; vous pouvez l'activer pour d'autres régions, et une boutique qui a des clients au Québec devrait le faire. Elle gouverne les témoins de Shopify et les pixels bâtis sur le cadre de pixels de Shopify. Pour les scripts collés dans le thème, ou ajoutés par des applications hors de ce cadre, Shopify dit lui-même qu'il peut falloir une autre bannière ou une logique sur mesure. Les anciennes balises de script ne peuvent plus être créées ni modifiées depuis le 1er octobre 2026 et cesseront de se charger le 1er mars 2027 — finir ce ménage, c'est aussi faire le ménage du consentement.

WooCommerce n'a pas de bannière dans le cœur ; vous choisissez une extension ou vous la bâtissez. Notez que l'attribution des commandes intégrée à Woo dépose ses propres témoins de suivi (nommés sbjs_) par défaut : classez-les comme n'importe quelle balise analytique. Testez le résultat de la même façon sur les deux plateformes : onglet réseau, avant tout clic.

Notre checklist

1. Listez chaque balise tierce du site — thème, applications, gestionnaire de balises — et classez-la : essentielle, analytique, publicitaire.
2. Décidez du régime par région : adhésion pour la publicité au Québec, dans l'UE, au Royaume-Uni et en Suisse ; adhésion pour l'analytique dans l'UE et en Suisse ; pour le reste du Canada, publicité par retrait seulement si vous respectez chaque condition du Commissariat.
3. Implémentez la bannière avec des boutons d'égale importance, rien de précoché, Échap ≠ consentement, et un avis même là où le consentement est implicite.
4. Posez le témoin côté serveur ; branchez les défauts du Consent Mode avant la première balise ; n'injectez pas Meta avant le consentement là où il est requis.
5. Traitez Global Privacy Control comme un refus.
6. Ne téléversez jamais de courriels ni de numéros de téléphone de clients vers une plateforme publicitaire sans consentement exprès.
7. Journalisez les événements de consentement et archivez une capture de chaque version de la bannière.
8. Testez au clavier et avec un lecteur d'écran, et retestez l'onglet réseau après chaque changement de thème, d'application ou de balise.
9. Mettez à jour la politique de confidentialité pour qu'elle corresponde à ce que fait vraiment le site — y compris que vous faites de la pub, si c'est le cas.

Vous pouvez voir le mécanisme fonctionner sur ce site, et notre politique de confidentialité décrit ce qu'il gouverne. On bâtit la même chose pour nos clients dans le cadre du travail croissance & pubs sur Shopify et WordPress, et on préfère le mettre en place avant la première campagne qu'après la première plainte. Réservez une consultation gratuite.