Consentement selon la Loi 25 : exigences, formulaire de consentement (exemple) et outils marketing

Ce que la Loi 25 exige d’un consentement valide

L’article 14 de la Loi sur la protection des renseignements personnels dans le secteur privé pose la règle de base : un consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques, et demandé à chacune de ces fins en termes simples et clairs. Lorsque la demande est faite par écrit, elle doit être présentée distinctement de toute autre information.

Les lignes directrices 2023-1 de la Commission d’accès à l’information (CAI) détaillent ce que cela suppose, à travers huit critères de validité :

Deux règles particulières s’ajoutent. Les renseignements sensibles (santé, biométrie, situation financière détaillée, etc.) exigent un consentement exprès — un geste positif dédié (art. 12). Et pour les mineurs, le consentement d’un enfant de moins de 14 ans est donné par le titulaire de l’autorité parentale ou le tuteur; à partir de 14 ans, le mineur peut consentir lui-même (art. 14).

Consentement exprès et consentement implicite : ce que la Loi 25 permet encore

La Loi 25 n’interdit pas tout consentement implicite, mais elle en réduit sensiblement la place — et c’est là qu’elle se distingue de la loi fédérale.

Le consentement exprès est un geste positif explicite : cocher une case dédiée, cliquer sur « J’accepte », signer. Il est obligatoire pour les renseignements sensibles et pour l’activation des témoins non essentiels.

Le consentement implicite peut découler du contexte, sans déclaration formelle. La CAI en admet la possibilité pour certaines finalités, mais précise que les cas où il est réellement approprié sont sans doute plus rares qu’on ne le croit. Dès qu’une finalité est secondaire, sensible, ou éloignée de l’attente raisonnable de la personne, il faut un consentement exprès.

La différence avec la LPRPDE. La loi fédérale admet le consentement implicite dans un plus grand nombre de situations pour des renseignements non sensibles. La Loi 25 est plus stricte : elle encadre plus étroitement la collecte par des moyens technologiques et pousse vers le consentement exprès dans davantage de cas. Une organisation qui s’appuyait sur la LPRPDE ne peut pas présumer que ses pratiques satisfont la Loi 25.

Exemple de formulaire de consentement conforme

Voici un exemple commenté. L’idée n’est pas de le copier tel quel, mais d’illustrer les principes : finalités séparées, cases non cochées d’avance, information claire, lien vers la politique et coordonnées du responsable.

Restons en contact

Nous aimerions utiliser vos renseignements aux fins suivantes. Vous choisissez celles qui vous conviennent — aucune n’est cochée d’avance.

☐ Recevoir notre infolettre. Nous utiliserons votre adresse courriel pour vous envoyer nos nouvelles et nos offres. Vous pourrez vous désabonner en tout temps.

☐ Personnaliser nos communications. Nous analyserons vos interactions avec nos courriels pour adapter le contenu que nous vous envoyons.

☐ Partager avec nos partenaires. Nous transmettrons vos coordonnées à des partenaires sélectionnés afin qu’ils vous proposent leurs offres.

Vos renseignements sont traités conformément à notre [politique de confidentialité]. Vous pouvez retirer votre consentement ou exercer vos droits en tout temps en communiquant avec notre responsable de la protection des renseignements personnels, à [courriel].

Ce qui rend ce formulaire conforme :

Des finalités séparées. Chaque usage a sa propre case. On ne peut pas regrouper « infolettre » et « partage avec des partenaires » sous un seul consentement — ce serait contraire au critère granulaire.

Des cases non cochées d’avance. Le consentement doit résulter d’un geste positif. Une case pré-cochée ne vaut pas consentement.

Un texte distinct. La demande est séparée des conditions générales et des autres informations.

Une finalité non liée au service. L’infolettre ou le partage marketing ne peuvent pas être une condition d’accès au produit, à moins que la collecte soit nécessaire au service.

Le lien vers la politique et les coordonnées du responsable. La personne sait où trouver l’information complète et à qui s’adresser.

Témoins et technologies de suivi : activation par défaut interdite

Les témoins et technologies de suivi non essentiels ne peuvent pas s’activer par défaut. La Loi 25 impose que, par défaut, les paramètres offrant le plus haut niveau de confidentialité s’appliquent sans intervention de la personne — ce qui, pour un site Web, signifie bloquer les traceurs non essentiels tant que le consentement n’a pas été obtenu.

Concrètement, il faut un bandeau de consentement qui :

• se présente avant tout dépôt de témoin non essentiel;
• offre un vrai choix, avec un refus aussi accessible que l’acceptation;
• permet un consentement par catégorie (statistiques, marketing, etc.), et non un « tout ou rien »;
• laisse la personne modifier ou retirer son choix par la suite.

Un bandeau qui se limite à informer (« en poursuivant votre navigation, vous acceptez… ») ne respecte pas cette exigence, puisqu’il ne recueille aucun geste positif et ne bloque rien.

Impact sur vos outils marketing

La règle du consentement préalable a des conséquences directes sur la pile marketing la plus courante.

Google Analytics 4. GA4 dépose des témoins et traite des données de navigation, souvent hors Québec. Ces témoins ne doivent se déclencher qu’après consentement. Le mode consentement (Consent Mode) de Google permet d’ajuster le comportement des balises selon le choix de l’utilisateur; il se configure directement avec une plateforme de gestion du consentement. Voyez notre page sur Usercentrics et le mode consentement de Google.

Meta Pixel et Google Ads. Mêmes principes : les pixels de suivi publicitaire sont des technologies non essentielles et doivent être bloqués jusqu’au consentement. Les modes consentement de Google et de Meta permettent de préserver une partie de la mesure tout en respectant le choix de la personne.

Infolettres et courriels. Au-delà de la Loi 25, l’envoi de courriels commerciaux au Canada est encadré par la Loi canadienne anti-pourriel (LCAP), qui a ses propres règles de consentement pour les messages électroniques. Les deux régimes se superposent : la Loi 25 encadre la collecte et l’usage des renseignements, la LCAP encadre l’envoi des messages.

Conserver la preuve du consentement

Un consentement non documenté est difficile à défendre. La CAI recommande de conserver les éléments qui appuient la validité du consentement. En pratique, un registre devrait consigner, pour chaque consentement : qui a consenti, à quoi (les finalités présentées), quand (l’horodatage), et quelle version du texte lui a été montrée.

Une plateforme de gestion du consentement génère automatiquement ces registres pour les témoins : elle enregistre le contenu affiché, les options offertes, le choix effectué et le moment exact. Ces registres peuvent être produits en cas de vérification de la CAI.

Retrait du consentement : vos obligations pratiques

Le retrait doit être aussi simple que l’octroi. Si l’on consent en cochant une case ou en cliquant sur un bouton, on doit pouvoir retirer son consentement avec la même facilité — pas en écrivant une lettre ni en franchissant une série d’obstacles.

Trois obligations pratiques en découlent : offrir un moyen de retrait visible et accessible en tout temps (lien de désabonnement, gestion des préférences de témoins toujours accessible); cesser le traitement visé dès le retrait; et conserver la trace du retrait au même titre que celle du consentement.