Skills Loi 25 pour un site : Balise, CookieYes

Le site d’un entrepreneur en construction québécois affiche une bannière de témoins, mais Google Analytics se charge quand même avant que le visiteur clique. La politique de confidentialité sort d’un générateur américain et parle de la Californie. Le formulaire de contact ne dit rien de ce qu’on fait du nom et du courriel qu’il recueille. Il existe un outil pour chacun de ces problèmes, mais aucun ne voit les trois. Pour un audit confié à un agent de code, j’utilise loi-25-website, de molveau/skills : il passe en revue les sept obligations qui touchent un site Web et rend pour chacune un verdict (conforme, à corriger ou sans objet), avec la page ou le fichier qui le prouve. Comme tous les outils présentés ici, il donne de l’information générale, pas un avis juridique. Quand l’examen déborde du site pour toucher les contrats, le serveur ou la loi fédérale, le skill de Mykhailo Toporkov va plus loin, et si vous voulez un analyseur automatisé, Balise est le meilleur choix. Les obligations elles-mêmes sont expliquées article par article dans le guide sur la Loi 25.

Les outils en lice

Outil	Auteur	Licence	Sa force	Ses limites
Guides de la CAI	Commission d’accès à l’information	Information publique et gratuite	L’interprétation de l’organisme de surveillance lui-même : consentement, politique, évaluations des facteurs relatifs à la vie privée, profilage	Aucun outil d’autoévaluation
pipeda-law25-compliance	Mykhailo Toporkov	MIT	Un examen du code, des flux de données et des documents au regard de la LPRPDE et de la Loi 25, qui cite chaque article	Ne parcourt pas un site en ligne point par point
Balise	Acquiredl	MIT	Un analyseur en Python et un questionnaire, 32 vérifications, un rapport bilingue	Plus lourd à mettre en place : c’est un outil Python, et certaines vérifications demandent un modèle facultatif
Loi 25 Comply	AZ Internet	GPLv2 ou version ultérieure ; version Pro payante	Une extension WordPress pour désigner le responsable, une politique générée et une bannière	La version gratuite ne bloque pas les scripts avant le consentement
CookieYes	CookieYes	Commercial, avec un forfait gratuit	Une bannière hébergée qui bloque les témoins tiers jusqu’au consentement et en garde une trace	Rien d’autre que le consentement et la politique
CookieConsent	Orest Bida	MIT	Une bannière en JavaScript simple, hébergée chez vous, avec des catégories	Aucun contenu propre à la Loi 25 : les textes et les catégories sont à vous
loi-25-website	Molveau Studio	MIT	Un audit du site en sept points, preuves à l’appui, avec la liste des corrections dans l’ordre	Aucun script ; ne couvre ni les contrats, ni le serveur, ni la loi fédérale

Chacun, sans parti pris

Les guides de la CAI, de la Commission d’accès à l’information

La Commission est l’organisme qui surveille l’application de la loi, et ses pages sont la source que tous les autres outils interprètent. Sa page sur les principaux changements apportés par la Loi 25 traite des technologies qui profilent les visiteurs, de la politique publiée sur le site, de la communication de renseignements à l’extérieur du Québec, du registre des incidents et de la portabilité. D’autres guides portent sur les critères d’un consentement valide, la politique de confidentialité, l’évaluation des facteurs relatifs à la vie privée (avec un modèle de rapport) et le profilage. La Commission n’offre aucun outil d’autoévaluation et, d’après mes recherches, aucun modèle de registre des incidents. Lisez ses guides en même temps que vous utilisez n’importe quel outil, et quand un outil ne dit pas la même chose que la Commission, suivez la Commission ou consultez un avocat.

pipeda-law25-compliance, de Mykhailo Toporkov

C’est le skill d’agent qui ressemble le plus au mien, et sa portée est plus large. Il examine le code, les flux de données et les documents (politiques de confidentialité, parcours de consentement, évaluations des facteurs relatifs à la vie privée, registres d’incidents, contrats avec les fournisseurs) au regard de la LPRPDE et de la Loi 25, note quel régime s’applique à chaque activité et rédige des constats qui citent l’article, la preuve, le problème et la correction. Il dit clairement qu’il ne remplace pas un avis juridique, et il signale les autres régimes à examiner séparément. Installez-le quand la question dépasse le site Web, ou quand la loi fédérale s’applique aussi.

Balise, d’Acquiredl

Balise analyse un site public et complète l’analyse par un court questionnaire sur ce qu’aucune analyse ne peut voir : le registre des incidents, les évaluations des facteurs relatifs à la vie privée, les ententes de communication à l’extérieur du Québec, les contrats avec les fournisseurs. Il fait 32 vérifications, rédige un rapport bilingue, indique pour chaque vérification sur quoi elle repose (la loi, une attente de la Commission ou une interprétation courante) et refuse de donner une note de conformité. Les vérifications qui demandent du jugement passent par un modèle facultatif, et sans lui elles répondent unknown. Je n’ai pas vérifié son interprétation juridique point par point. Prenez-le si vous voulez un outil qu’on peut relancer à l’identique et qui remet un rapport au propriétaire du site.

Loi 25 Comply, d’AZ Internet

Cette extension WordPress d’une entreprise québécoise couvre trois éléments dans sa version gratuite : un formulaire pour désigner le responsable, affiché au public par un code court, une politique générée en français et en anglais, et une bannière de consentement qui conserve les consentements sur le site. Selon sa page, le blocage des scripts tiers avant le consentement, le registre des incidents, les évaluations et les demandes d’accès font partie de l’extension Pro, qui est payante. Une bannière qui laisse se charger les scripts avant le clic, c’est justement le problème décrit au début : vérifiez ce point avant de vous fier à la version gratuite.

CookieYes

CookieYes fait partie des plateformes de consentement hébergées qui ont une page consacrée à la Loi 25. Elle analyse le site à partir de sa base de données de témoins, bloque les témoins tiers jusqu’à ce que le visiteur les accepte, conserve un journal des consentements et génère une politique. Cookiebot, OneTrust et d’autres offrent des produits semblables. Ces plateformes s’occupent du consentement et d’une partie de l’avis au moment de la collecte, mais pas du responsable, ni de l’évaluation à faire avant que des données quittent le Québec, ni du registre, ni de la portabilité. Prenez-en une quand le site charge des outils qui profilent les visiteurs et que vous préférez ne pas entretenir la bannière vous-même.

CookieConsent, d’Orest Bida

Une bannière gratuite en JavaScript simple, hébergée chez vous, avec des catégories de consentement et des scripts mis en attente tant que leur catégorie n’a pas été acceptée. Elle ne prétend rien au sujet de la Loi 25, et c’est honnête de sa part : les textes, les catégories et le choix de ce qui reste désactivé par défaut vous reviennent. Elle convient à un site sur mesure, où une plateforme hébergée ferait un tiers de plus à déclarer dans la politique.

Ce que loi-25-website ajoute

• Sept obligations, chacune avec son article. Le responsable de la protection des renseignements personnels (art. 3.1), une politique rédigée en termes simples et clairs (art. 8.2), l’avis au moment de la collecte (art. 8 et 8.3), les technologies qui identifient, localisent ou profilent, activées seulement avec l’accord de la personne (art. 8.1), l’évaluation et l’entente écrite avant que des renseignements quittent le Québec (art. 17), le registre des incidents (art. 3.5 et 3.8), la portabilité (art. 27).
• Où chercher dans le code. La liste de vérification dit à l’agent quoi chercher : les formulaires, les boutons mailto:, les actions serveur, les scripts, les contenus intégrés, les gestionnaires de balises, les requêtes vers des domaines externes. Chaque point précise à quelle condition il est réussi.
• Un format de rapport fixe. Une ligne par obligation, pass, fix ou n.a., avec la page ou le fichier et une raison, puis les corrections dans l’ordre et les questions à poser au propriétaire ou à un avocat. Un n.a. doit être justifié, et une preuve qui se trouve hors du dépôt, comme un registre ou une entente, n’est jamais tenue pour acquise.
• Les idées reçues, réfutées par le texte de loi. Il n’y a aucun seuil de taille (art. 1). Les paramètres de témoins du navigateur sont exclus de la règle de confidentialité par défaut (art. 9.1) : tout n’exige donc pas une bannière. L’hébergement à l’extérieur du Canada est permis après une évaluation et une entente (art. 17).
• Des limites assumées. Il lit le code et les pages, mais il n’ouvre pas le site dans un navigateur : complétez-le par une analyse de ce qui se déclenche avant le consentement. Il couvre seulement le site Web, pas la loi fédérale, ni les données des employés, ni les contrats avec les fournisseurs. Les numéros d’articles sont ceux du texte consulté le 10 juin 2026 : vérifiez-les dans LégisQuébec avant de vous y fier.

Installer

Le skill seul, avec la CLI skills :

npx skills add molveau/skills -s loi-25-website

Le lot Québec (french-typography et loi-25-website) :

npx skills add molveau/skills -s french-typography -s loi-25-website

Dans Claude Code, les onze skills dans un seul plugin :

/plugin marketplace add molveau/skills
/plugin install molveau-skills@molveau

Tous les skills et tous les lots sont sur la page des skills, et le code source est sur github.com/molveau/skills. À lire aussi : ce que la Loi 25 exige d’un site Web et le comparatif des skills de typographie française. Si vous préférez me confier le travail, la mise en conformité est offerte à prix fixe.

Liste de vérification

• Le titre et les coordonnées du responsable de la protection des renseignements personnels sont sur le site.
• La politique décrit, en termes simples, ce que ce site recueille.
• Chaque formulaire affiche un avis et un lien vers la politique.
• Aucun outil qui profile les visiteurs ne se charge avant leur consentement, et c’est vérifié dans un navigateur, pas seulement dans le code.
• Chaque service tiers est inscrit avec l’endroit où il conserve les données, et l’évaluation existe pour ceux qui sont à l’extérieur du Québec.
• Tout constat que l’outil n’a pas pu prouver reste une question ouverte pour le propriétaire ou un avocat, et non une réussite.