Consentement en ligne : la case précochée ne vaut pas consentement exprès

Une case cochée d’avance au moment du paiement règle un problème de conversion. Elle en crée un autre, qui se règle moins vite.

En bref

• Le consentement doit être manifeste, libre, éclairé, donné à des fins spécifiques, et demandé pour chacune de ces fins séparément (art. 14 LPRPSP).
• La CAI a formalisé huit critères de validité dans ses lignes directrices 2023-1 : une case précochée ne vaut pas consentement exprès.
• Bloquer une vente parce que le client refuse un renseignement non nécessaire est une contravention distincte, que la CAI a déjà sanctionnée (art. 9).

La situation

Tricots Verdoux inc. vend en ligne des vêtements de laine fabriqués à Saint-Hyacinthe. Dix-huit employés, quarante mille comptes clients, une infolettre et un pixel de reciblage actif sur toutes les pages.

À l’étape du paiement, une seule case, cochée par défaut, réunit trois choses : l’acceptation des conditions d’utilisation, l’inscription à l’infolettre et l’autorisation de transmettre le profil d’achat à des partenaires commerciaux. Un client qui la décoche voit sa commande bloquée : le formulaire refuse de se soumettre.

Chez Verdoux, on appelle ça un parcours d’achat. La loi y voit plusieurs manquements.

Ce que dit la loi

Une demande par finalité. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques. Il est demandé pour chacune de ces fins, en termes simples et clairs, et lorsqu’il est écrit, présenté distinctement de toute autre information. Pour un renseignement sensible, il doit être exprès. Sa validité est limitée à la durée nécessaire à la réalisation des fins (art. 14). La case unique de Verdoux échoue sur trois points d’un coup : elle regroupe trois finalités là où la loi en exige trois demandes, elle n’est pas distincte des conditions d’utilisation, et son état précoché ne démontre aucune volonté réelle.

Ce qu’il faut dire, et quand. L’entreprise informe la personne des fins de la collecte, des moyens utilisés, de ses droits d’accès et de rectification et de son droit de retirer son consentement (art. 8). Le droit de retrait est celui qu’on oublie le plus : il s’annonce au moment de la collecte, pas en pied de courriel. Qui recueille par un moyen technologique publie en outre une politique de confidentialité rédigée en termes simples et clairs (art. 8.2).

Le réglage par défaut. C’est la disposition que les boutiques connaissent le moins. Qui offre au public un produit ou un service technologique disposant de paramètres de confidentialité doit s’assurer que, par défaut, ces paramètres assurent le plus haut niveau de confidentialité, sans intervention de la personne concernée (art. 9.1). La règle comporte une limite qu’on oublie souvent : « ne sont pas visés au premier alinéa les paramètres de confidentialité d’un témoin de connexion ». Distinctement, l’entreprise qui recueille au moyen d’une technologie permettant d’identifier, de localiser ou de profiler doit en informer la personne au préalable et lui indiquer les moyens d’activer ces fonctions (art. 8.1).

Deux limites qu’on franchit sans le voir. Les renseignements ne servent qu’aux fins déterminées lors de la collecte, sauf exceptions limitées (art. 12) : transmettre un profil d’achat à un partenaire n’y entre pas sans consentement distinct. Et les renseignements d’un mineur de moins de 14 ans ne peuvent être recueillis sans le consentement du titulaire de l’autorité parentale (art. 4.1), ce qu’ignore toute boutique sans vérification d’âge.

Le blocage de la commande est une faute autonome. Nul ne peut refuser un service au motif que la personne refuse de fournir un renseignement non nécessaire à la conclusion ou à l’exécution du contrat (art. 9). Le formulaire de Verdoux transforme un consentement marketing en condition de vente.

Ce qu’en disent la CAI et les tribunaux

À notre connaissance, aucune décision publiée ne porte encore sur les mécaniques de consentement d’une boutique en ligne québécoise. Deux sources encadrent néanmoins la question.

Les lignes directrices 2023-1, adoptées le 31 octobre 2023, ne sont pas contraignantes et le disent elles-mêmes : « les lignes directrices n’ont pas force de loi » (A.2). Elles énoncent pourtant la grille que la Commission appliquera, en huit critères. Trois passages visent le cas Verdoux : le consentement doit « impliquer un choix et un contrôle réels », et il doit être aussi facile de refuser que d’accepter (2.1 et 2.2); il doit être « demandé à chacune des fins visées » (5.1); une case précochée ne vaut pas consentement exprès (1.4b).

Sur le refus de service, il existe une décision. Dans l’affaire 1036011-S du 27 mai 2026, la Commission a conclu qu’une entreprise avait contrevenu à l’article 9 en écartant des candidats qui refusaient un renseignement non nécessaire (par. 64), cette disposition visant à éviter que les personnes « ne soient désavantagées du seul fait qu’ils exercent leurs droits » (par. 63). Le contexte était locatif, mais le mécanisme est identique : conditionner un service au renoncement à un droit.

Pistes de correction

• Recompter les finalités poursuivies, et poser autant de demandes distinctes.
• Décocher par défaut, et rendre le refus aussi simple que l’acceptation.
• Confronter les paramètres par défaut de la boutique à l’article 9.1, et l’information donnée sur le profilage à l’article 8.1.
• Annoncer le droit de retrait au moment de la collecte.
• Lever toute friction imposée au client qui décline un consentement non nécessaire.
• Prévoir une vérification d’âge à la création de compte.

À retenir

La question utile n’est pas « avons-nous obtenu un consentement ? », mais « combien de finalités poursuivons-nous, et avons-nous posé autant de questions ? ». Un consentement groupé, précoché ou imposé comme condition de vente n’est pas un consentement faible : au regard de l’article 14, c’est une absence de consentement. Et l’absence se répare mal, parce qu’elle vicie tout ce qui a été bâti dessus.

Questions fréquentes

Le consentement implicite est-il encore possible ? Oui, hors renseignements sensibles : les lignes directrices reconnaissent le consentement exprès comme l’implicite (1.1). Mais la case précochée ne peut valoir consentement exprès (1.4b), et l’article 14 impose l’exprès pour tout renseignement sensible.

Combien de temps notre consentement reste-t-il valide ? Le temps nécessaire à la réalisation des fins pour lesquelles il a été demandé (art. 14). Il n’existe pas de durée fixe, mais un consentement recueilli pour une promotion ponctuelle ne couvre pas un usage permanent.

Parlons-en

Vous avez une case à cocher au paiement et vous ne savez pas combien de finalités elle couvre ? C’est la question qui revient le plus souvent chez les commerçants en ligne que nous accompagnons, et elle se règle mieux avant la refonte de la boutique qu’après une plainte.

Satoshi Legal peut exercer pour vous la fonction de responsable de la protection (DPO) fractionné : nous cartographions vos finalités, réécrivons vos écrans de collecte et votre politique de confidentialité, alignons vos paramètres par défaut sur l’article 9.1, et documentons le tout de façon opposable en cas d’enquête.

Écrivez-nous à bonjour@satoshi.legal pour en discuter.

Erwan Jonchères est avocat, membre du Barreau du Québec depuis 2018 et associé fondateur de Satoshi Legal, cabinet montréalais en droit des technologies et en protection des renseignements personnels. Il enseigne à l’Université de Montréal et à Polytechnique Montréal.

Sources

• Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 4.1, 8, 8.1, 8.2, 9, 9.1, 12 et 14.
• Commission d’accès à l’information du Québec, Lignes directrices 2023-1 sur les critères de validité du consentement, 31 octobre 2023.
• Commission d’accès à l’information du Québec, section de surveillance, décision 1036011-S, Gestion immobilière Vesta inc., 27 mai 2026.

Les exemples de cette série sont fictifs. Ce texte est informatif et à jour au 18 septembre 2026; il ne constitue pas un avis juridique et ne crée aucune relation avocat-client.