Loi 25 et WordPress : la liste de vérification pratique

Ce que la Loi 25 demande à un site WordPress

Le cadre général (responsable, politique, incidents, fournisseurs hors Québec) est expliqué dans ma liste de vérification Loi 25 pour un site web. Ici, on passe à la pratique : ce que vous réglez dans le tableau de bord de WordPress. Quatre articles de la Loi sur la protection des renseignements personnels dans le secteur privé touchent directement votre site :

L'article 8.1 est celui qui demande le plus de travail technique. La Commission d'accès à l'information (CAI) le résume ainsi : « ces technologies ne pourront être activées par défaut : ce sera à la personne concernée de les activer, si elle le souhaite » (CAI). Une nuance : l'article 8.1 ne parle pas de témoins, et l'article 9.1 (confidentialité par défaut) exclut les paramètres des témoins de connexion. La lecture courante, que j'applique ici, est donc la suivante : les témoins strictement nécessaires restent actifs, et tout ce qui mesure ou suit le visiteur attend son oui.

Les extensions qui déposent des témoins sur votre site

Ouvrez Extensions, puis Extensions installées, et comparez votre liste avec ce tableau. Ce sont les cas que l'on rencontre sur presque tous les sites de PME.

Un mot sur Site Kit, l'extension officielle de Google : sa FAQ sur WordPress.org précise que le propriétaire du site est responsable de l'avis et du consentement. Installer Site Kit ne règle donc pas la question, il faut l'associer à une extension de consentement.

Choisir et régler l'extension de consentement

Les extensions les plus installées viennent d'Europe et des États-Unis. Elles fonctionnent pour le Québec, à condition de changer les bons réglages. Voici les chiffres relevés sur WordPress.org et sur les pages de prix, consultées en octobre 2026.

Peu importe l'extension, réglez ces six points :

1. Le modèle opt-in. Rien de non essentiel ne se charge avant le choix. La documentation de CookieYes sur la Loi 25 demande de choisir le modèle « GDPR », celui du consentement préalable. Méfiez-vous des modèles « Canada » ou « CCPA », qui sont souvent en opt-out.
2. Un bouton Refuser aussi visible qu'Accepter. Les lignes directrices de la CAI sont claires : donner son consentement « devrait être aussi facile que ne pas le donner », et mettre en valeur l'acceptation par la couleur, la taille ou le nombre de clics « peut rendre le consentement sans effet ».
3. Les deux langues. Si votre site est bilingue, la bannière doit suivre la langue de la page, en commençant par le français. C'est la limite du forfait gratuit de CookieYes. Voir aussi mon article sur le site web bilingue.
4. Le blocage automatique des scripts et des iframes. Activez-le, puis vérifiez que Google Analytics, le pixel, YouTube et la carte figurent bien dans les catégories bloquées.
5. Le mode Consentement de Google en mode de base. En mode de base, les balises Google ne se chargent pas avant le choix. En mode avancé, Google précise que le système suppose un consentement accordé « sauf si un choix précis a été fait », avec des exceptions pour l'Europe (Google Ads). Si vous choisissez le mode avancé, réglez vous-même les valeurs par défaut à denied, comme dans l'exemple de Google. Mon article sur le suivi des appels et des formulaires explique ce que vous perdez et ce que vous gardez en mesure.
6. Un lien pour changer d'avis. Ajoutez dans le pied de page un lien « Gérer mes témoins ». Retirer son consentement doit être possible en tout temps.

La politique de confidentialité dans WordPress

Dans Réglages, puis Confidentialité, WordPress permet de désigner la page de politique et propose un modèle. WordPress précise que c'est à vous de compléter ce modèle et de le tenir à jour (WordPress). Le modèle par défaut est rédigé pour un blogue générique : il ne parle ni de la Loi 25, ni de vos outils.

Le guide de la CAI sur la politique de confidentialité donne la liste du contenu attendu. Adaptée à un site WordPress, elle donne ceci :

• le nom de l'entreprise, la date d'entrée en vigueur et la date de la dernière mise à jour;
• les moyens de collecte : formulaire de contact ou de soumission, réservation en ligne, courriel, témoins;
• les renseignements recueillis (nom, téléphone, courriel, adresse IP, pages visitées) et à quoi ils servent;
• les fournisseurs qui les reçoivent (Google, Meta, l'outil de réservation, l'hébergeur) et la possibilité qu'ils soient communiqués à l'extérieur du Québec;
• les technologies qui identifient ou profilent, en précisant qu'elles sont désactivées par défaut et comment les activer;
• les droits d'accès, de rectification et de plainte, et la façon de les exercer;
• le titre et les coordonnées du responsable.

Pour une demande d'accès, l'outil Outils, puis Exporter les données personnelles, rassemble ce que WordPress et les extensions compatibles conservent sur une personne. WordPress prévient qu'il faudra peut-être chercher ailleurs aussi (WordPress) : votre boîte courriel et votre outil de réservation, par exemple.

Où afficher le responsable et les avis

Le responsable. L'article 3.1 exige le titre et les coordonnées, publiés sur le site. Placez-les à deux endroits : dans le pied de page (Apparence, puis Widgets, ou Apparence, puis Éditeur pour un thème par blocs) et dans la politique. Une ligne suffit : « Responsable de la protection des renseignements personnels : [titre], [courriel] ». Utilisez une adresse que quelqu'un lit vraiment.

L'avis sous chaque formulaire. Une phrase sous le bouton d'envoi, avec un lien vers la politique : « Nous utilisons ces renseignements pour répondre à votre demande et préparer votre soumission. Voir notre politique de confidentialité. » Dans Contact Form 7 ou WPForms, c'est un simple champ de texte ou d'acceptation.

L'infolettre à part. Si le formulaire propose aussi l'infolettre, ajoutez une case distincte, non cochée. L'article 14 exige qu'une demande de consentement écrite soit présentée séparément de toute autre information.

Le test de 15 minutes dans votre navigateur

Une bannière peut s'afficher correctement et laisser passer Google Analytics en arrière-plan. Le seul moyen de le savoir, c'est de regarder. Dans Chrome, Edge ou Firefox :

1. Ouvrez votre site dans une fenêtre de navigation privée. Ne cliquez pas encore sur la bannière.
2. Ouvrez les outils de développement (F12, ou clic droit, puis Inspecter). Dans l'onglet Application (Stockage dans Firefox), ouvrez Cookies : vous ne devriez voir ni _ga, ni _fbp.
3. Dans l'onglet Réseau, rechargez la page et tapez collect dans le filtre, puis facebook : aucune ligne ne devrait apparaître.
4. Cliquez sur Tout refuser, puis rechargez : toujours rien.
5. Effacez les témoins, rechargez, cliquez sur Tout accepter : _ga et _fbp apparaissent. C'est la preuve que la bannière commande vraiment les outils.
6. Refaites le test sur une page en anglais, sur une page avec vidéo et sur votre téléphone.

Si _ga apparaît avant votre clic, Google Analytics est probablement chargé deux fois (par Site Kit et par un code collé dans le thème, par exemple). Retirez l'une des deux sources, puis refaites le test.

Ce que fait Always Booked

Chaque site web Always Booked, à 1 500 $, comprend des formulaires de soumission ou la réservation en ligne, avec une alerte instantanée à chaque demande, et la rédaction en français et en anglais. On vérifie cette liste à l'étape de planification du site. C'est toutefois à vous, comme responsable, de valider la politique de confidentialité, qui vous engage. Avec le plan d'entretien à 150 $ par mois, les mises à jour de sécurité sont faites et je vérifie chaque mois que la réservation et les formulaires fonctionnent toujours.

Cet article donne de l'information générale sur la Loi 25 et ne constitue pas un avis juridique; pour votre situation, consultez un avocat.

Questions fréquentes