Mesure d’audience sans bandeau cookies : ce qui est vraiment permis

La mesure d’audience n’est pas strictement nécessaire pour afficher une page web, donc, selon les règles ePrivacy, elle exige un consentement, comme tout autre traceur, sauf si une règle nationale en dispose autrement. La France a une telle règle : la CNIL exempte de consentement la mesure d’audience quand l’outil sert uniquement à mesurer l’audience du site pour le compte de son éditeur, ne produit que des statistiques anonymes, ne recoupe pas les données avec d’autres traitements et ne suit pas le visiteur d’un site ou d’une application à l’autre. Matomo en mode CNIL, Plausible et Fathom sont conçus pour respecter ces conditions. Google Analytics 4 ne l’est pas, et exige un consentement.

La règle et l’exemption

L’article 5, paragraphe 3, de la directive ePrivacy n’autorise à stocker ou lire des informations sur un terminal sans consentement que lorsque c’est strictement nécessaire pour fournir un service expressément demandé par l’utilisateur. Compter les visiteurs ne remplit pas cette condition, et c’est pourquoi la mesure d’audience se trouve derrière le bandeau presque partout.

La position de la CNIL, fondée sur l’article 82 de la loi Informatique et Libertés, est que certains traceurs de mesure d’audience peuvent être exemptés parce qu’ils répondent au besoin légitime de l’éditeur de faire fonctionner son site, à condition de rester dans des limites strictes. Selon sa page de recommandations (mise à jour le 4 juillet 2025), les traceurs doivent :

• avoir une finalité strictement limitée à la mesure d’audience du site ou de l’application, pour le compte exclusif de l’éditeur ;
• servir uniquement à produire des statistiques anonymes ;
• ne pas conduire à un recoupement avec d’autres traitements (fichiers clients, statistiques d’autres sites) ;
• ne pas permettre le suivi global de la navigation d’une personne sur différents sites ou applications.

La CNIL recommande aussi d’informer les utilisateurs (dans la politique de confidentialité, par exemple), de limiter la durée de vie du traceur à ce qui permet une comparaison dans le temps, par exemple treize mois, sans prolongation automatique à chaque visite, de conserver les données collectées vingt-cinq mois au plus, et de réexaminer ces durées périodiquement. Elle publie un outil d’auto-évaluation pour les fournisseurs de solutions de mesure d’audience. Un fournisseur qui remplit les critères peut dire que sa solution peut être mise en œuvre sans consentement lorsqu’elle est correctement configurée ; il ne peut pas dire qu’elle est « certifiée » ou « validée par la CNIL ». La charge reste sur l’éditeur du site.

Au Royaume-Uni, les recommandations de l’ICO décrivent désormais une exception à des fins statistiques (« statistical purposes ») : la seule finalité doit être de collecter des informations statistiques sur l’utilisation du service, les utilisateurs doivent recevoir une information claire et disposer d’un moyen simple et gratuit de s’opposer, et les données ne peuvent être partagées qu’avec un tiers qui aide à améliorer le service, lequel doit être un sous-traitant et non un responsable conjoint. Ailleurs en Europe, il n’existe pas d’équivalent publié, et « sans cookies » ne veut pas automatiquement dire « exempté » : la règle couvre tout accès au terminal, et un identifiant haché calculé à partir de l’adresse IP et du navigateur reste un traitement de données personnelles au sens du RGPD. Vérifiez la position de votre propre autorité avant de retirer le bandeau pour la mesure d’audience.

Les outils qui peuvent remplir les conditions

Matomo (auto-hébergé ou cloud). Matomo documente un mode de conformité CNIL. L’activer anonymise l’adresse IP sur au moins deux octets, désactive le journal des visites et les profils de visiteurs, désactive la collecte d’identifiants utilisateur, coupe les cookies tiers et le suivi inter-domaines, plafonne la durée de vie du traceur à treize mois sans prolongation, fixe la conservation à 759 jours (environ 25 mois), restreint les rapports e-commerce, désactive les cohortes, les cartes de chaleur, les enregistrements de session et les tests A/B, et ignore les paramètres de campagne. Les éditeurs doivent encore intégrer eux-mêmes un mécanisme d’opposition. La formulation de Matomo est prudente : l’évaluation porte seulement sur la possibilité de faire fonctionner l’outil sans consentement préalable, pas sur la conformité globale.

Plausible. La politique de données de Plausible indique qu’il n’utilise ni cookies, ni cache du navigateur, ni local storage, et ne génère aucun identifiant persistant. Les visiteurs sont comptés via un hachage d’un sel quotidien, du domaine du site, de l’adresse IP et du user agent ; le sel est renouvelé et supprimé toutes les 24 heures, et les adresses IP et user agents bruts ne sont jamais stockés. Plausible affirme qu’avec son outil, vous n’avez pas besoin de bandeau cookies pour la mesure d’audience. C’est l’évaluation du fournisseur ; la configuration décrite correspond, à première vue, aux conditions de la CNIL.

Fathom. La politique de confidentialité de Fathom indique qu’il n’utilise pas de cookies et ne collecte pas de données personnelles qui déclencheraient l’obligation de consentement de la directive ePrivacy. La même politique reconnaît que les adresses IP et les user agents sont des données personnelles au sens du RGPD et que la base légale est généralement le consentement ou l’intérêt légitime. Le raisonnement de Fathom repose sur l’idée qu’une adresse IP fournie par le réseau n’est pas une information stockée sur le terminal.

Umami, Simple Analytics et d’autres font des choix de conception similaires. Quel que soit l’outil, l’exemption s’attache à la configuration et à l’usage, pas à la marque : dès que vous reliez les statistiques à un CRM, faites de l’attribution marketing ou partagez des données non anonymes avec un tiers, vous en sortez.

Pourquoi Google Analytics 4 n’est pas éligible

GA4 envoie chaque hit à Google, qui le traite selon ses propres conditions, le relie à Google Ads et aux signaux Google lorsqu’ils sont activés, et utilise des cookies (_ga, _ga_*) d’une durée de vie de deux ans par défaut. Cela ne respecte ni la condition « pour le compte exclusif de l’éditeur », ni « aucun recoupement », ni « aucun suivi inter-sites », quelle que soit l’anonymisation de l’IP. La politique de consentement des utilisateurs de l’UE de Google elle-même exige des sites qu’ils obtiennent le consentement pour les cookies lorsque la loi l’impose et pour les données personnelles utilisées à des fins de personnalisation des annonces pour les utilisateurs de l’EEE, du Royaume-Uni et de la Suisse, et qu’ils conservent la preuve de ce consentement. En février 2022, la CNIL a par ailleurs mis en demeure un gestionnaire de site français de cesser d’utiliser Google Analytics en raison des transferts de données vers les États-Unis ; la décision d’adéquation de la Commission européenne de juillet 2023 pour le Data Privacy Framework UE-États-Unis a depuis modifié l’analyse des transferts pour les entreprises certifiées, mais pas l’analyse du consentement. GA4 a sa place dans la catégorie mesure d’audience de votre bandeau, avec Consent Mode qui envoie les signaux ; voir le guide Consent Mode.

Une mise en place concrète

1. Décidez ce dont vous avez besoin en mesure d’audience. Pages vues, sites référents, pays et appareils sont couverts par les outils exemptés. Les entonnoirs liés à des utilisateurs individuels, les identifiants utilisateur, les audiences de remarketing et les parcours inter-domaines ne le sont pas.
2. Choisissez l’outil et appliquez la configuration exemptée : pour Matomo, le mode de conformité plus le mécanisme d’opposition ; pour Plausible ou Fathom, la configuration par défaut.
3. Remplissez l’auto-évaluation de la CNIL pour vos propres dossiers, et décrivez l’outil dans la politique de confidentialité avec sa finalité, les limites de treize et vingt-cinq mois, et le mécanisme d’opposition.
4. Si vous utilisez aussi des balises marketing ou des contenus embarqués, le bandeau reste nécessaire pour eux. Le script de mesure d’audience exempté n’a pas besoin d’être marqué pour le consentement ; laissez-le sans marquage pour qu’il s’exécute pour tout le monde, et listez-le dans la politique de cookies comme mesure d’audience exemptée. Le scanner de Cookiequiet reconnaît Matomo, Plausible, Fathom et Umami et les liste avec leur catégorie, que vous pouvez passer en « nécessaires » pour une configuration exemptée.
5. Si vous opérez hors de France, documentez la position de votre propre autorité avant de vous appuyer sur l’exemption, ou gardez la mesure d’audience derrière le bandeau.

Le résumé honnête

La mesure d’audience sans consentement existe, est légale en France quand elle est configurée à la lettre, et vous donne des comptages pour chaque visiteur au lieu des 60 % qui acceptent. Elle vous coûte l’analyse au niveau de l’utilisateur et l’attribution, et elle n’exempte rien d’autre sur la page. Pour la plupart des sites de contenu, l’échange vaut la peine. Pour les sites qui vivent de la publicité et du remarketing, le bandeau reste, et la question devient quel taux de consentement attendre.