26 %
installent des témoins publicitaires avant tout clic
Pixel Meta, Google Ads, TikTok… déposés par le site lui-même avant que le visiteur ait pu choisir. En ajoutant l’enregistrement de session et les outils de marketing : 28 %.
Étude · mesures du 9 octobre 2026
Loi 25 : nous avons vérifié 200 sites de PME du Québec
Nous avons visité 200 sites de PME et de commerces du Québec comme un nouveau visiteur qui ne clique sur rien. Voici ce qu’ils font avant le moindre clic, ce que la loi demande, et comment vérifier votre propre site en 5 minutes.
- Mesures originales
- Aucun site nommé
- Lois vérifiées
- Lecture : 8 minutes
Ce que nous avons trouvé
200 sites de PME et de commerces du Québec visités le 9 octobre 2026 sans rien cliquer, dont 189 mesurés en détail. Aucun n’est nommé : le but est l’état général, pas de pointer quelqu’un.
68 %
des sites qui pistent n’affichent aucun bandeau
Parmi les 82 sites qui utilisent des outils de publicité, de marketing ou de statistiques. Un site sans aucun outil de suivi n’a pas besoin de bandeau.
70 %
des bandeaux montrent un bouton de refus dès le premier écran
Seuls les boutons visibles au premier écran comptent. Pour la Commission d’accès à l’information, refuser doit être aussi facile qu’accepter.
17 %
mentionnent le responsable des renseignements personnels
Au moins : nous avons cherché sur l’accueil et dans la politique liée depuis l’accueil. Parmi les politiques que nous avons pu lire, 40 % le mentionnent.
Seulement 21 sites sur 189 montrent les trois signaux vérifiés
Aucun témoin publicitaire avant le choix du visiteur, une politique de confidentialité liée depuis l’accueil, et la mention du responsable des renseignements personnels.
Ce sont des observations techniques sur la page d’accueil, pas une vérification de conformité : un site peut avoir une raison ou un réglage que nous ne voyons pas. Ceci n’est pas un avis juridique.
Le détail, point par point
Les outils de suivi les plus présents avant tout clic
- Google Analytics (statistiques)71 sites
- Google Ads (publicité)34 sites
- Meta : Facebook et Instagram (publicité)32 sites
- Microsoft Clarity (enregistrement de session)5 sites
- Klaviyo et HubSpot (marketing)6 sites
- TikTok (publicité)2 sites
Par type d’entreprise
| Sites | Témoins publicitaires | Bandeau | Politique | Responsable | |
|---|---|---|---|---|---|
| Commerces | 81 | 24 | 25 | 35 | 10 |
| Restaurants, cafés et bars | 53 | 14 | 14 | 15 | 9 |
| Hébergement | 23 | 5 | 11 | 12 | 5 |
| Services professionnels et santé | 20 | 3 | 14 | 12 | 7 |
Ce que dit la loi
Les textes, lus sur LégisQuébec et dans les guides de la Commission d’accès à l’information (CAI).
Le responsable, publié sur le site (art. 3.1)
La personne ayant la plus haute autorité dans l’entreprise est responsable de la protection des renseignements personnels, et peut déléguer cette fonction par écrit. « Le titre et les coordonnées du responsable […] sont publiés sur le site Internet de l’entreprise. » Lire le texte
Informer d’abord, activer ensuite (art. 8.1)
Quand une technologie permet d’identifier, de localiser ou de profiler une personne, l’entreprise doit l’en informer au préalable et lui dire comment activer ces fonctions. Selon les lignes directrices de la Commission d’accès à l’information (2023-1), ces fonctions « doivent être désactivées par défaut » : la personne doit poser un geste positif pour les activer. Lire le texte
Une politique de confidentialité publiée (art. 8.2)
L’entreprise qui recueille des renseignements personnels par un moyen technologique publie sur son site une politique de confidentialité « rédigée en termes simples et clairs ». La CAI publie un guide pour la rédiger. Lire le texte
Un consentement libre : refuser aussi facile qu’accepter (art. 14)
Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Pour la CAI, « il doit être aussi facile de donner son consentement que de ne pas le donner » ; mettre en valeur l’acceptation plutôt que le refus peut rendre le consentement sans effet. Lire le texte
Les sanctions
Sanction administrative jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial (art. 90.12), et amendes pénales de 15 000 $ à 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour une entreprise (art. 91), selon les cas. Lire le texte
Vérifiez votre site en 5 minutes
Ouvrez votre site dans une fenêtre de navigation privée, sans rien cliquer, et répondez. Tout se passe dans votre navigateur : rien n’est envoyé.
Dans une fenêtre de navigation privée, votre site affiche-t-il un bandeau sur les témoins avant que vous cliquiez quoi que ce soit ?
Le bandeau offre-t-il un bouton « Refuser » aussi visible que « Accepter », dès le premier écran ?
Avant votre choix, aucun outil publicitaire (pixel Meta, Google Ads, TikTok) n’est actif ?
Un lien « Politique de confidentialité » est-il visible sur votre page d’accueil (souvent en bas de page) ?
Le titre et les coordonnées du responsable des renseignements personnels sont-ils publiés sur le site ?
0 réponse sur 5.
Vos réponses restent dans votre navigateur ; rien n’est envoyé ni conservé.
Si une agence fait (ou refait) votre site
Écrivez la Loi 25 dans la demande de soumission
Bandeau avec « Refuser » au premier écran, blocage des outils publicitaires avant consentement, politique de confidentialité, responsable publié. C’est l’un des 12 points de notre modèle. Préparer ma demande
Vérifiez que le contrat le reprend
Ce qui n’est pas écrit n’est pas promis. Les 12 clauses du contrat
Demandez la preuve à la livraison
Faites refaire devant vous la vérification en 5 minutes, dans une fenêtre privée, avant le dernier paiement.
Méthode et limites
Échantillon : les entreprises du Québec qui ont un site web dans OpenStreetMap (commerces, restaurants et cafés, bureaux de professionnels, santé, hébergement, artisans), lues le 9 octobre 2026 : 7 265 lieux. Nous avons retiré les chaînes (marque indiquée, ou même domaine pour 3 lieux ou plus), les organismes publics et les pages de réseaux sociaux : 5 422 sites possibles, placés dans un ordre tiré au hasard et reproductible. Nous les avons visités dans cet ordre jusqu’à obtenir 200 sites de PME évaluables. Sur 299 sites visités, les autres étaient introuvables, en erreur, à vendre, presque vides ou redirigés vers une autre entreprise, ou n’étaient pas des PME : 28 chaînes, grandes entreprises, organismes à but non lucratif ou répertoires, écartés quand au moins 2 de 3 classements indépendants le jugeaient ainsi.
Visite : le 9 octobre 2026, depuis un ordinateur à Montréal (connexion au Canada), en français, comme un nouveau visiteur qui ne clique sur rien. Nous attendons 8 secondes après le chargement, enregistrons une capture d’écran et les témoins présents, puis faisons un second relevé après un mouvement de souris et un défilement, sans rien accepter : certains sites ne chargent leurs outils ou leur bandeau qu’à ce moment. Un bandeau vu à l’un ou l’autre moment compte. Enfin, s’il y en a une, nous lisons la politique de confidentialité liée depuis l’accueil (page web ou PDF).
Témoins publicitaires : seulement des témoins connus de publicité (Meta, Google Ads, TikTok, Microsoft Ads, LinkedIn, Pinterest…) déposés pour le domaine du site lui-même, c’est-à-dire par un outil que le site a installé. Ceux qui peuvent venir d’une vidéo ou d’un module intégré (YouTube, bouton Facebook) sont exclus de ce chiffre. L’enregistrement de session (Hotjar, Clarity), les outils de marketing (HubSpot…) et les statistiques (Google Analytics…) sont comptés à part. Les témoins propres aux plateformes (Shopify, Wix…) et les témoins techniques ne sont pas comptés : nos chiffres sont des minimums.
Contrôles : un échantillon de 15 sites a été remesuré de façon indépendante, avec capture d’écran ; les boutons des bandeaux sans refus détecté ont été relus un à un, et des captures vérifiées à l’œil. Sur les 200 sites, 11 n’ont pas répondu à temps lors du relevé détaillé : les chiffres portent sur 189 sites. La marge d’erreur est d’environ ± 7 points, et plus grande quand la base est plus petite (elle est indiquée sous chaque barre).
Limites : un échantillon de commerces répertoriés dans OpenStreetMap, plus dense dans les villes, et non un portrait de toutes les PME du Québec ; une seule page et un seul moment, sur ordinateur ; le responsable peut être publié ailleurs que sur l’accueil ou la politique ; certains bandeaux dépendent de la région ; un site peut changer du jour au lendemain. Le classement PME ou non a été fait avant le calcul des résultats, à partir du nom et du titre des sites seulement.
Données d’OpenStreetMap © les contributeurs d’OpenStreetMap, sous licence ODbL. openstreetmap.org/copyright
Questions fréquentes
La Loi 25 s’applique-t-elle au site d’une petite entreprise ?
Oui. La loi vise toute personne qui exploite une entreprise au Québec, quelle que soit sa taille. Les obligations doivent toutefois être proportionnées à la nature et à l’importance des activités (art. 3.2). Ceci n’est pas un avis juridique.
Faut-il un bandeau de témoins si mon site n’a que Google Analytics ?
La loi vise les technologies qui permettent d’identifier, de localiser ou de profiler. Selon sa configuration, un outil de statistiques peut en faire partie. Le plus prudent est de le soumettre au même choix que les outils publicitaires. Ceci n’est pas un avis juridique.
Qui doit être le responsable des renseignements personnels ?
Par défaut, la personne ayant la plus haute autorité dans l’entreprise. Elle peut déléguer cette fonction par écrit. Son titre et ses coordonnées sont publiés sur le site (art. 3.1).
Mon agence web est-elle responsable de la conformité de mon site ?
La loi rend l’entreprise responsable des renseignements qu’elle détient (art. 3.1). Prévoyez donc la Loi 25 par écrit dans la soumission : bandeau, blocage avant consentement, politique. C’est l’un des 12 points de notre modèle de demande de soumission.
Pourquoi ne nommez-vous pas les sites vérifiés ?
Le but est de montrer l’état général, pas de pointer des commerces du doigt. Un constat technique (un témoin présent avant un clic) n’est pas un verdict juridique, et un site peut changer du jour au lendemain.
Comment vérifier mon propre site ?
Utilisez la vérification en 5 minutes de cette page, dans une fenêtre de navigation privée. Elle se fait dans votre navigateur : rien n’est envoyé.
Sources
- Loi sur la protection des renseignements personnels dans le secteur privé, art. 3.1, 8.1, 8.2, 14, 90.12 et 91
- CAI, Lignes directrices 2023-1 – Consentement : critères de validité (31 octobre 2023)
- CAI, Rédiger une politique de confidentialité – Guide explicatif pour les entreprises (décembre 2023)
- OpenStreetMap (licence ODbL)
Textes lus et mesures faites le 9 octobre 2026. Ce guide donne de l’information générale, pas un avis juridique.
Et maintenant ?
Guide rédigé par l’équipe AgencyVerity, Montréal. Mis à jour le 9 octobre 2026. Retour au sommaire · Tous nos guides