Rapport de conformité Loi 25

Aucune bannière de consentement concernant les témoins ou les cookies n'est visible sur la page d'accueil du Gouvernement du Québec. La page affiche uniquement le contenu principal avec les services gouvernementaux, les sections thématiques et les liens de navigation, sans aucune couche modale, barre superposée ou iframe de gestionnaire de consentement (CMP).

Recommandation — Implémenter une bannière de consentement conforme à la Loi 25 du Québec qui apparaît lors du premier chargement de la page. Cette bannière doit être visible de manière proéminente et accessible à tous les utilisateurs avant le dépôt ou la lecture de tout témoin non essentiel.

Microsoft Clarity (www.clarity.ms, scripts.clarity.ms, r.clarity.ms) et Google Tag Manager (www.googletagmanager.com) ont été chargés avant toute interaction de consentement. Ces traceurs collectent des données comportementales et analytiques sans consentement préalable. Google Analytics via www.google-analytics.com représente également un traceur chargé sans consentement explicite.

Recommandation — Implémenter un gestionnaire de consentement qui bloque tous les scripts de Clarity et Google Tag Manager jusqu'à l'acceptation du consentement. Utiliser des attributs data-consent-type ou des scripts avec src vides jusqu'à consentement. Vérifier que ces traceurs ne se chargent que après un consentement affirmé de l'utilisateur.

Aucune option de personnalisation ou de gestion des préférences de consentement n'est disponible, car il n'existe pas de bannière de consentement sur la page. Il n'y a aucun bouton « Personnaliser », « Gérer mes préférences », « Préférences de confidentialité » ou équivalent.

Recommandation — Une fois la bannière de consentement mise en place, offrir un choix granulaire permettant aux utilisateurs de refuser ou d'accepter les différentes catégories de témoins (comme les témoins analytiques, publicitaires ou de suivi). Ajouter un lien ou un bouton « Personnaliser » qui donne accès à une interface détaillée de gestion des préférences.

Aucun bouton de refus n'est visible, car aucune bannière de consentement n'existe sur la page. Il n'est donc pas possible d'évaluer la proéminence ou la visibilité relative d'un bouton de refus par rapport à un bouton d'acceptation.

Recommandation — Lors de l'implémentation de la bannière, s'assurer que le bouton de refus est au moins aussi visible et proéminent que le bouton d'acceptation. Utiliser des tailles identiques, des contrastes similaires et un positionnement équivalent. Éviter de reléguer le refus à une action secondaire ou de le masquer.

Plusieurs traceurs non essentiels (Clarity, Google Tag Manager, Google Analytics) sont présents sans mécanisme de consentement visible. Il n'est pas évident que refuser le consentement bloquerait effectivement ces scripts, car aucun gestionnaire de consentement détecté n'est en place.

Recommandation — Déployer une solution de gestion du consentement (CMP) conforme à la Loi 25 qui permet de refuser les traceurs analytiques et marketing. S'assurer que le refus bloque immédiatement Clarity, Google Tag Manager et Google Analytics.

Aucun lien de gestion des cookies n’a été trouvé sur le site.

Recommandation — Ajouter un lien « Gestion des cookies » ou « Paramètres des cookies » dans le pied de page permettant aux utilisateurs de modifier leurs préférences de consentement après avoir fermé la bannière.

Aucun lien vers une politique de confidentialité ou de cookies n'est visible dans ou près d'une bannière de consentement. Bien que le site dispose possiblement d'une politique de confidentialité ailleurs (par exemple en pied de page non visible dans cette capture), aucun lien n'est présent à proximité d'une bannière de consentement pour en informer les utilisateurs.

Recommandation — Ajouter un lien vers la politique de confidentialité ou de cookies à proximité immédiate de la bannière de consentement, de préférence dans la bannière elle-même ou dans un endroit facilement accessible. Ce lien doit être clairement identifié et permettre aux utilisateurs de consulter les détails avant de donner leur consentement.

Aucun cookie wall n'est détecté. La page d'accueil du Gouvernement du Québec est entièrement accessible sans qu'aucune bannière de consentement ne bloque l'accès au contenu principal. Les utilisateurs peuvent consulter l'ensemble des services et informations gouvernementales sans être contraints d'accepter ou de refuser des témoins.

Une page de politique de confidentialité complète et accessible a été trouvée sur le site Québec.ca. La page est bien structurée et contient plusieurs sections détaillées concernant la collecte, l'utilisation et la protection des renseignements personnels.

Aucun responsable de la protection des renseignements personnels (RPRP) n'est nommé dans la politique de confidentialité consultée. La politique mentionne uniquement des lois et des processus généraux sans identifier une personne ou un titre de fonction responsable.

Recommandation — Ajouter une section identifiant clairement le responsable de la protection des renseignements personnels du gouvernement du Québec ou de Québec.ca, incluant son titre ou sa fonction officielle.

Bien que la politique mentionne qu'on peut soumettre une demande d'accès et consulter la Commission d'accès à l'information, les coordonnées directes du RPRP (courriel, téléphone ou adresse postale) ne sont pas fournies dans la politique de confidentialité.

Recommandation — Fournir les coordonnées complètes du responsable de la protection des renseignements personnels, incluant au minimum un courriel et un numéro de téléphone, directement dans la politique de confidentialité ou via un lien prominent.

Les types de renseignements personnels collectés sont décrits précisément. La politique énumère les données recueillies par Google Analytics et Microsoft Clarity, notamment l'adresse IP tronquée, le fournisseur de services Internet, le système d'exploitation, le type d'appareil, la résolution d'écran, le navigateur, la région, le domaine du site précédent, et les pages consultées avec les interactions associées.

Les finalités de la collecte sont clairement indiquées. La politique explique que les données de Google Analytics et Microsoft Clarity sont utilisées à des fins statistiques pour améliorer l'expérience utilisateur, optimiser les moteurs de recherche (SEO), comprendre les interactions avec le site et cibler les améliorations aux interfaces.

La politique mentionne que Microsoft Clarity conserve les enregistrements pendant 30 jours à partir de la date d'enregistrement, avec possibilité de conservation jusqu'à 13 mois pour certains enregistrements. Cependant, aucune durée de conservation n'est spécifiée pour Google Analytics ni pour les autres renseignements personnels collectés directement par le gouvernement.

Recommandation — Ajouter des précisions sur les durées de conservation ou les critères de suppression pour Google Analytics et pour tous les autres types de renseignements personnels collectés, en conformité avec les exigences de la Loi 25 du Québec.

Le partage avec des tiers est divulgué. La politique mentionne que Google Analytics peut communiquer les données à des tiers en cas d'obligation légale ou lors de leur traitement pour leur compte, et que les données sont partagées avec les comptes Google Ads et Google Search Console du gouvernement du Québec. Pour Microsoft Clarity, il est indiqué que Microsoft peut partager les données avec ses filiales sous certaines conditions légales ou opérationnelles.

Les droits des utilisateurs sont expliqués. La politique indique que les utilisateurs peuvent soumettre une demande d'accès pour connaître les renseignements personnels détenus par les organismes publics, et qu'ils peuvent demander à faire rectifier ces renseignements. Un lien vers la Commission d'accès à l'information du Québec est fourni pour plus d'information.

Le formulaire de recherche analysé (formulaire de recherche principal avec champ de saisie) ne contient aucune case de consentement pour la collecte de renseignements personnels, même si le site utilise Google Analytics et Microsoft Clarity pour suivre les utilisateurs.

Recommandation — Ajouter une case de consentement explicite sur tous les formulaires collectant des renseignements personnels, y compris ceux servant à des fins d'analyse ou de suivi, conformément aux exigences de la Loi 25 du Québec concernant le consentement préalable.

Puisqu'aucune case de consentement n'a été trouvée sur les formulaires, il est impossible de vérifier que celle-ci n'est pas pré-cochée. Cependant, l'absence complète de consentement explicite constitue une non-conformité majeure.

Recommandation — Implémenter un système de consentement avec une case non pré-cochée qui demande explicitement à l'utilisateur d'accepter la collecte de données personnelles. Le consentement doit être obtenu avant toute collecte.

La finalité de la collecte n'est pas indiquée au point de collecte (c'est-à-dire sur le formulaire lui-même). Bien que la politique de confidentialité générale décrive les finalités globales, l'utilisateur qui remplit le formulaire de recherche n'a pas d'information immédiate sur ce qui arrive à ses données.

Recommandation — Ajouter une mention claire et concise de la finalité de la collecte directement sur chaque formulaire, par exemple sous la forme d'un texte explicatif court ou d'une icône d'information avec tooltip.

Aucun lien vers la politique de confidentialité n'a été trouvé près du formulaire de recherche ou dans sa proximité immédiate. Le formulaire ne contient aucun renvoi vers la politique.

Recommandation — Ajouter un lien discret mais visible vers la politique de confidentialité à proximité immédiate du formulaire de collecte de données, par exemple en bas du formulaire ou sous forme d'un lien dans le texte explicatif.

Le formulaire est soumis via HTTPS. L'en-tête strict-transport-security confirme que le site impose HTTPS avec la directive 'max-age=31536000; includeSubDomains; preload', garantissant que la transmission des données est chiffrée.

Les scripts suivants ont été chargés sans interaction préalable de consentement : Microsoft Clarity (www.clarity.ms), scripts.clarity.ms, www.googletagmanager.com et www.google-analytics.com. Ces traceurs s'exécutent dès le chargement initial de la page.

Recommandation — Différer le chargement de tous les traceurs tiers non essentiels jusqu'à l'obtention d'un consentement explicite. Implémenter un script de gestion du consentement qui initialise uniquement les traceurs approuvés par l'utilisateur.

Au moins 6 domaines tiers non essentiels ont été identifiés : www.clarity.ms, scripts.clarity.ms, r.clarity.ms, www.googletagmanager.com, www.google-analytics.com, et www.google.com (reCAPTCHA peut être considéré comme non essentiel selon le contexte). Ce dépassement dépasse largement la limite de 10.

Recommandation — Réduire le nombre de traceurs tiers à 10 maximum. Évaluer si tous les traceurs analytiques et de suivi comportemental sont nécessaires. Considérer la consolidation ou l'élimination de doublons fonctionnels.

Les transferts transfrontaliers de données sont divulgués dans la politique de confidentialité. La politique mentionne explicitement que les renseignements recueillis par Google Analytics sont conservés notamment aux États-Unis, et que les renseignements collectés par Microsoft Clarity sont stockés dans le service Microsoft Azure aux États-Unis ou dans tout autre pays où Microsoft ou ses sous-traitants opèrent.

Microsoft Clarity est un traceur de suivi comportemental qui effectue des appels collecte (r.clarity.ms/collect) sans consentement explicite. Bien qu'il ne soit pas techniquement un pixel de remarketing, il fonctionne de manière similaire pour le suivi utilisateur et nécessite un consentement.

Recommandation — Vérifier si Clarity est configuré pour respecter les signaux de consentement. Bloquer les appels à r.clarity.ms jusqu'à l'acceptation du consentement analytique. Si Clarity n'est pas essentiel au fonctionnement, envisager sa suppression.

HTTPS est imposé avec redirection et en-tête HSTS. L'en-tête 'strict-transport-security: max-age=31536000; includeSubDomains; preload' confirme que le site force le protocole HTTPS sur tous les sous-domaines et inclut la précharge HSTS.

Les cookies analysés (dev_ga_8BGN8R6SNX et dev_ga) ne possèdent pas les attributs Secure ni HttpOnly. L'attribut Secure n'est pas défini (secure: false), ce qui signifie que les cookies pourraient être transmis via HTTP non chiffré. L'attribut HttpOnly n'est pas présent, exposant les cookies à un accès JavaScript potentiellement dangereux.

Recommandation — Configurer les cookies Google Analytics avec les attributs Secure et HttpOnly. L'attribut Secure doit être défini à true, et HttpOnly doit être activé pour empêcher l'accès via JavaScript, sauf si l'accès JavaScript est absolument nécessaire pour la logique applicative.

Aucun en-tête Content-Security-Policy n'a été trouvé dans les en-têtes HTTP analysés. Cet en-tête est important pour prévenir les attaques par injection de contenu et pour contrôler les sources de ressources externes.

Recommandation — Implémenter un en-tête Content-Security-Policy strict qui définit les sources autorisées pour les scripts, les feuilles de style, les images et autres ressources, en particulier pour contrôler les traceurs de tiers comme Google Analytics et Microsoft Clarity.