La Commission d'accès à l'information a publié de nouvelles indications sur les interfaces truquées, c'est-à-dire des conceptions d'interface qui orientent les internautes vers des choix contraires à leur intérêt. Il peut s'agir de fournir plus de renseignements personnels, de passer plus de temps sur une plateforme ou de dépenser davantage. La CAI indique qu'un consentement obtenu au moyen d'une telle interface peut être invalide, ce qui rendrait illégales l'utilisation ou la communication des renseignements personnels qui en découlent. Les indications présentent les obligations légales applicables et les bonnes pratiques pour les organisations qui recueillent en ligne des renseignements personnels auprès d'utilisateurs québécois.
Un consentement recueilli au moyen d'une interface manipulatrice peut être invalide en vertu de la loi québécoise.
Toute utilisation ou communication de renseignements personnels fondée sur ce consentement peut alors être illégale.
Les équipes produit, design et marketing qui s'adressent à des utilisateurs québécois sont directement visées.
Notre commentaire
Ces indications font entrer la conception des interfaces dans l'analyse de la validité du consentement en droit québécois. La question n'est plus seulement de savoir si le consentement a été demandé, mais si la manière de le demander laissait un véritable choix à l'utilisateur. Pour les équipes produit et marketing, les choix de conception comportent désormais un volet de conformité que la CAI dit vouloir évaluer.
Des questions sur cette alerte?
Sara Derbel
Parajuriste
Notre équipe peut vous expliquer ce que ce développement signifie pour votre organisation.
Veille réglementaire et législative en IA, vie privée et cybersécurité au Canada, aux États-Unis, dans l’UE, au Royaume-Uni et en Australie, filtrée et priorisée par des juristes.
Politiques et avis de confidentialité rédigés selon la Loi 25, la LPRPDE et le RGPD : avis externes multilingues et politiques internes alignés sur vos flux réels.
Conformité en vie privée selon la Loi 25, la LPRPDE, le RGPD et ISO 27701 : analyses d’écarts, audits, droits des personnes et plans correctifs proportionnés.
Élaborez des programmes pratiques de protection de la vie privée et répondez aux exigences canadiennes en matière de collecte, d’utilisation, de partage et de protection des renseignements personnels.
Les lignes directrices du Garante exigent des organisations qui utilisent des pixels de suivi dans leurs courriels marketing qu'elles obtiennent un consentement préalable, libre, spécifique et éclairé avant que le pixel recueille des informations sur l'ouverture du courriel et son moment. Un pixel qui peut être rattaché à un seul destinataire est traité comme une technologie de suivi soumise à la même norme de consentement que les témoins des sites Web. Les lignes directrices reposent sur l'article 122 du Code italien de la vie privée, qui met en œuvre l'article 5(3) de la directive ePrivacy. La période d'adaptation a pris fin le 29 octobre 2026, et le Garante a inclus la vérification de ces lignes directrices dans les inspections prévues au second semestre de 2026.
Le Commissariat à la protection de la vie privée du Canada a publié ses commentaires sur la consultation d'Innovation, Sciences et Développement économique Canada portant sur la transparence de l'IA, tenue du 23 juillet au 23 septembre 2026. Le Commissariat convient que des enjeux de transparence se posent dans les cinq domaines relevés par ISDE : le contenu généré par l'IA, l'interaction avec l'IA, l'information sur les systèmes d'IA, les incidents liés à l'IA et les agents d'IA. Il soutient que l'information sur un système doit être compréhensible au moment où elle influe sur la décision d'une personne. Le Commissariat appuie sa position sur ses lignes directrices actuelles en matière de consentement et attribue des responsabilités de transparence aux développeurs et aux utilisateurs de l'IA générative.
Le Conseil de l'UE a arrêté son mandat de négociation sur le règlement Omnibus numérique, qui modifie le RGPD, la directive ePrivacy, le RPDUE et le règlement sur les données. Le mandat conserve la définition actuelle des données personnelles, mais précise que des données pseudonymisées ne sont pas des données personnelles pour un destinataire qui ne dispose pas de moyens raisonnables de réidentifier la personne. Il permet de fonder sur l'intérêt légitime le traitement aux fins du développement de l'IA, sous réserve d'un droit d'opposition et de garanties supplémentaires pour les enfants. Il limiterait aussi la notification à l'autorité de contrôle aux violations susceptibles d'entraîner un risque élevé et ajouterait des exemptions au consentement aux témoins pour les mises à jour de sécurité, la mesure d'audience et les fonctionnalités demandées. Il s'agit uniquement de la position du Conseil. Le trilogue commencera lorsque le Parlement aura adopté sa propre position.
