Mesurer son audience sans bandeau cookies : ce que permet la CNIL

Un visiteur arrive sur votre site et, avant même de voir votre première photo, un bandeau lui demande d’accepter, de refuser ou de « personnaliser ». Une partie des gens refuse, une autre ferme l’onglet. Pour un site vitrine qui ne fait ni publicité ciblée ni reciblage, ce bandeau existe souvent pour une seule raison : l’outil de statistiques.

Or la règle française permet, dans certains cas, de mesurer son audience sans demander le consentement. Encore faut-il que l’outil et sa configuration respectent les conditions posées par la CNIL.

Le principe : une exemption, pas une dispense générale

L’article 82 de la loi Informatique et Libertés impose de recueillir le consentement avant de déposer ou de lire un traceur sur l’appareil d’un internaute. Il prévoit aussi des exceptions, dont les traceurs strictement nécessaires au service. La CNIL considère que la mesure d’audience peut en faire partie, sous conditions.

D’après sa page consacrée aux outils de mesure d’audience, mise à jour le 4 juillet 2025, l’exemption suppose que les traceurs :

• servent uniquement à mesurer l’audience du site ou de l’application, pour le compte exclusif de l’éditeur ;
• produisent uniquement des données statistiques anonymes ;
• ne permettent pas de suivre la navigation d’une personne sur plusieurs sites ou applications ;
• ne donnent lieu à aucun recoupement avec d’autres traitements, ni à une transmission de données non anonymes à des tiers.

La CNIL ajoute des recommandations : informer les visiteurs, par exemple dans la politique de confidentialité ; limiter la durée de vie des traceurs, par exemple à treize mois, sans prolongation automatique à chaque visite ; conserver les informations collectées vingt-cinq mois au plus ; réexaminer ces durées régulièrement.

Ce qui fait sortir un outil de l’exemption

Le point décisif est la réutilisation des données par le fournisseur. La CNIL relève que certaines offres du marché sortent de l’exemption, en particulier quand le fournisseur réutilise les données pour son propre compte. Elle précise que, dans certains cas, l’outil peut être configuré pour désactiver cette réutilisation.

Elle met aussi en garde sur un argument commercial : aucun prestataire ne peut présenter sa solution comme « certifiée » ou « validée par la CNIL ». Si vous lisez cette mention sur un site d’éditeur, méfiance.

Enfin, l’exemption couvre la mesure d’audience, pas le reste. Le jour où vous ajoutez un pixel publicitaire, une vidéo intégrée qui dépose ses propres traceurs ou un outil d’enregistrement des sessions, le bandeau redevient nécessaire pour ces outils-là.

Comment choisir une alternative

Les noms qui reviennent le plus dans les comparatifs sont Matomo, Plausible, Fathom, Umami, Simple Analytics ou Piwik PRO. Plutôt qu’un classement, voici les questions à poser à l’éditeur, comme la CNIL le recommande elle-même : la documentation montre-t-elle comment l’outil respecte les conditions de l’exemption ? Quels réglages faut-il activer ? Les données sont-elles réutilisées par le fournisseur ? Où sont-elles hébergées, et y a-t-il des transferts hors de l’Union européenne ?

Deux modèles coexistent. Les outils hébergés chez l’éditeur, payants en général, s’installent en collant un script. Les outils libres auto-hébergés, comme Matomo dans sa version gratuite ou Umami, demandent un serveur et quelqu’un pour le maintenir, mais vous gardez les données chez vous.

Et Google Analytics ?

Google Analytics 4 est l’outil le plus répandu, gratuit et très complet. La page de la CNIL ne cite nommément aucun outil. Retenez la logique : un outil dont le fournisseur peut réutiliser les données pour son propre compte sort de l’exemption, sauf configuration qui l’empêche. Sans documentation de l’éditeur qui démontre le respect de ces conditions pour votre configuration, la prudence consiste à soumettre GA4 au consentement, avec le bandeau qui va avec.

C’est un choix possible : GA4 offre des rapports que les outils plus simples n’ont pas. Si vous le gardez, apprenez au moins à lire ses indicateurs sans contresens, en commençant par le taux de rebond, qui n’a plus la même définition qu’autrefois.

Ce qu’on peut savoir sans aucun outil

La Search Console, elle, ne dépose rien sur l’appareil de vos visiteurs : elle mesure ce qui se passe dans les résultats de Google, côté Google. Pour un petit site vitrine, Search Console plus un outil de statistiques sobre couvrent l’essentiel.

La vérification

Ouvrez votre site en navigation privée et affichez les outils de développement du navigateur, onglet Application ou Stockage, rubrique Cookies. Rechargez la page sans toucher au bandeau. Si des cookies d’un service de mesure apparaissent avant tout clic, et que cet outil ne remplit pas les conditions ci-dessus, votre configuration actuelle pose un problème. C’est le moment d’en parler à la personne qui gère le site.