La CAI reconnaît les limites du consentement en ligne. Votre bandeau de témoins est-il vraiment conforme ?

Le 1er octobre 2026, la Commission d'accès à l'information du Québec (CAI) a publié une réflexion tirée de son rapport quinquennal 2026, déposé à l'Assemblée nationale en juin. Elle y constate que, dans l'économie numérique, le consentement ne joue pas toujours le rôle que lui confient les lois, puisqu'il ne permet pas aux internautes d'exercer pleinement le contrôle souhaité sur leurs renseignements personnels.

Venant de l'organisme chargé de surveiller l'application des lois québécoises sur la protection des renseignements personnels, notamment les dispositions introduites par la Loi 25, le constat mérite qu'on s'y arrête. Surtout si votre site affiche un bandeau de témoins que la plupart des visiteurs ferment sans vraiment le lire.

Voici ce que dit la Commission, ce qui ne change pas pour l'instant et ce que nous vérifions concrètement sur un site web.

‍

Ce que dit la Commission

‍

La CAI rappelle d'abord que le consentement constitue, dans de nombreuses situations, une condition de légalité des pratiques impliquant des renseignements personnels. Pour être valide, il doit être manifeste, libre, éclairé et spécifique. Les lignes directrices de la Commission précisent également qu'il doit être granulaire, compréhensible, temporaire et distinct des autres informations présentées.

Elle identifie ensuite plusieurs obstacles propres à l'environnement numérique : l'ampleur du traitement des renseignements en ligne, la difficulté d'informer adéquatement les personnes et les interfaces truquées, conçues pour influencer leurs décisions.

La Commission souligne également une forme de résignation chez les internautes, qui se traduit parfois par une acceptation machinale, donnée sans véritablement tenir compte du contexte ni des informations reçues.

Pour améliorer la situation, elle recommande notamment de permettre aux utilisateurs d'exprimer leur acceptation ou leur refus de certaines pratiques à un seul endroit, par exemple directement dans leur navigateur. Elle propose aussi de clarifier et de simplifier l'information fournie.

Plus fondamentalement, la CAI estime qu'une réflexion approfondie s'impose sur la place du consentement dans les lois sur la protection des renseignements personnels.

Autrement dit, le problème ne se limite pas à la manière dont les sites demandent le consentement. Il concerne aussi la capacité réelle des internautes à comprendre ce qu'ils acceptent.

‍

Ce qui ne change pas, du moins pour l'instant

‍

Il serait tentant de lire cette publication comme un signe que les bandeaux de témoins seront bientôt dépassés et qu'il ne vaut plus la peine de s'en occuper. Ce serait une erreur.

Il s'agit de recommandations et de pistes de réflexion. La publication du 1er octobre ne modifie pas la loi. Les obligations actuelles continuent de s'appliquer, notamment :

• Les technologies permettant d'identifier, de localiser ou d'effectuer le profilage d'une personne doivent être désactivées par défaut lorsqu'elles sont visées par les dispositions applicables.
• Les personnes doivent être informées clairement des fins pour lesquelles leurs renseignements personnels sont recueillis.
• La collecte de renseignements personnels doit être limitée à ce qui est nécessaire aux fins déterminées.
• Lorsqu'un consentement est requis, celui-ci doit respecter les critères de validité prévus par la loi.

Depuis le 22 septembre 2023, la CAI dispose également du pouvoir d'imposer des sanctions administratives pécuniaires aux entreprises qui contreviennent à certaines obligations en matière de protection des renseignements personnels. Selon la nature du manquement, ces sanctions peuvent atteindre des montants importants.

La Commission ne se contente d'ailleurs pas de dénoncer les pratiques trompeuses. En novembre 2024, les autorités canadiennes de protection de la vie privée ont adopté une résolution commune concernant les mécanismes de conception trompeuse.

[ÉDIT LE 23 OCTOBRE] Plus récemment, le 22 octobre 2026, la CAI a également publié une mise au point sur les interfaces truquées et leurs conséquences possibles sur la validité du consentement.

Si le consentement exprimé directement dans le navigateur devient un jour une norme reconnue, les sites devront s'adapter aux exigences qui seront alors établies.

D'ici là, les organisations demeurent responsables de leurs pratiques de collecte et de l'obtention d'un consentement valide lorsqu'il est requis. Le bandeau de témoins n'est qu'une partie de cette responsabilité.

‍

Ce que nous vérifions sur un site

‍

Lors d'un audit de conformité à la Loi 25, le texte du bandeau compte, mais c'est surtout le comportement réel du site qui permet de déterminer si les mécanismes de consentement fonctionnent correctement.

Chez ctrlweb, nous examinons notamment les éléments suivants, en distinguant les obligations légales des bonnes pratiques qui contribuent à les respecter.

• Le refus est simple et accessible. Nous vérifions que l'interface ne cherche pas à orienter artificiellement le visiteur vers l'acceptation. Un bouton « Accepter » très visible, accompagné d'un refus difficile à trouver, peut compromettre le caractère libre du consentement.
• Les options nécessitant un consentement ne sont pas préactivées. Nous vérifions que les technologies concernées respectent les règles de désactivation par défaut et que les mécanismes de consentement ne reposent pas sur des choix présumés ou des cases précochées.
• Les technologies nécessitant un consentement attendent réellement celui-ci. Nous examinons dans le navigateur le comportement des outils de mesure, pixels publicitaires et autres technologies susceptibles de recueillir des renseignements personnels. L'objectif est de vérifier que leur fonctionnement respecte les exigences applicables avant toute collecte nécessitant un consentement. Nous portons notamment attention aux configurations de Google Tag Manager, où certains déclencheurs peuvent être mal paramétrés.
• Les finalités sont compréhensibles. « Témoins de performance » ne dit pas grand-chose à la plupart des internautes. Expliquer clairement ce que fait chaque catégorie et pourquoi des renseignements sont recueillis contribue à un consentement éclairé.
• Le choix peut être modifié. Nous vérifions que les visiteurs disposent d'un moyen simple de retirer leur consentement et que celui-ci n'est pas considéré comme valable indéfiniment. Sa durée doit être adaptée aux finalités poursuivies et au contexte de la collecte.
• La liste déclarée correspond à la réalité. Nous comparons les témoins et les technologies réellement utilisés par le site avec ceux annoncés dans le bandeau et la politique de confidentialité. Les outils ajoutés au fil des années, parfois par différents intervenants, peuvent facilement échapper à cette documentation.

Un bandeau visuellement conforme ne garantit donc pas que le site respecte réellement les choix de ses visiteurs.

C'est précisément pourquoi une vérification technique est aussi importante que la rédaction des textes.

‍

Le prix d'un consentement honnête

‍

Il faut aussi accepter une réalité : lorsque les visiteurs disposent d'un véritable choix, certains refusent le suivi.

Cela peut réduire la quantité de données disponibles dans les outils de mesure, particulièrement lorsque les configurations précédentes favorisaient artificiellement l'acceptation.

C'est un compromis à assumer.

Des données partielles, mais recueillies conformément aux exigences applicables, valent mieux qu'un tableau de bord plus complet reposant sur un consentement potentiellement invalide.

C'est aussi une bonne occasion de réexaminer la nécessité de chaque outil installé sur votre site. Un pixel publicitaire ajouté pour une campagne terminée depuis deux ans mérite-t-il encore d'être présent ? Un service d'analyse est-il toujours utilisé ? Les renseignements recueillis sont-ils réellement nécessaires ?

Pour la plupart des organismes et des PME, quelques indicateurs bien choisis suffisent à piloter efficacement un site web. Le reste relève parfois davantage de l'accumulation que d'un véritable besoin.

Et si cette réflexion sur le consentement était finalement l'occasion de simplifier vos pratiques numériques ?

Vous voulez savoir ce que votre site dépose réellement dans le navigateur de vos visiteurs, avant même qu'ils aient exprimé leur choix ? Écrivez-nous. Chez ctrlweb, nous pouvons effectuer cette vérification avec vous et vous aider à identifier les ajustements nécessaires.

‍

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

‍

Sources

Article initialement rédigé le 6 octobre 2026 et mis à jour le 23 octobre 2026. Les obligations décrites reflètent l'état du droit québécois à cette date. Cet article présente des informations générales et ne constitue pas un avis juridique.

Commission d'accès à l'information du Québec

• Évolution des technologies : réfléchir au rôle du consentement (1er octobre 2026) : critères de validité du consentement, limites observées en ligne, interfaces truquées et recommandations.
• Rapport quinquennal 2026 de la CAI, sections 2.1.1 et 2.2 : réflexion sur le consentement et la protection des renseignements personnels à l'ère numérique.
• Publication du rapport quinquennal 2026 : dépôt du rapport à l'Assemblée nationale le 11 juin 2026.
• Lignes directrices sur les critères de validité du consentement : interprétation des critères de validité du consentement.
• Principaux changements apportés par la Loi 25 : obligations relatives à la collecte, à l'information et aux technologies d'identification, de localisation et de profilage.
• Sanctions administratives pécuniaires : pouvoirs de sanction de la CAI.
• Résolution commune sur les mécanismes de conception trompeuse : position commune des autorités canadiennes de protection de la vie privée, novembre 2024.
• Les interfaces truquées : un obstacle à la protection des renseignements personnels (22 octobre 2026) : influence des interfaces trompeuses sur les choix des internautes, conséquences sur la validité du consentement et présentation des obligations légales et des bonnes pratiques.

‍