Cookies et RGPD : mesurer son audience sans bandeau, l'exemption CNIL expliquée
La CNIL autorise un outil de statistiques sans consentement, à des conditions précises. Depuis juillet 2025, elles excluent aussi la mesure de vos campagnes. Voici ce qui est permis, ce qui ne l'est plus, et comment configurer Matomo.
Maxime Casal10 min de lecture
L'essentiel
- En France, un cookie ou traceur ne peut être déposé qu'après le consentement de l'internaute, sauf exceptions listées par la CNIL. La mesure d'audience en fait partie, sous conditions.
- Pour être exempté de consentement, l'outil de statistiques doit servir uniquement à mesurer l'audience du site, produire des données anonymes, ne rien recouper ni transmettre à des tiers, et ne pas suivre le visiteur d'un site à l'autre.
- La CNIL recommande un traceur d'environ 13 mois sans prolongation automatique à chaque visite, et une conservation des données de 25 mois au maximum.
- Depuis juillet 2025, son outil d'auto-évaluation exclut de l'exemption toute mesure à visée marketing : canaux d'acquisition, performance des campagnes, paramètres UTM. Le site d'origine reste mesurable, limité à son nom de domaine.
- Un outil n'est jamais exempté par nature. C'est sa configuration qui l'est : Matomo peut l'être, à condition de désactiver plusieurs fonctions et d'offrir un lien d'opposition dans la politique de confidentialité.
Supprimer le bandeau cookies est une demande que j'entends souvent. Elle est légitime : un bandeau gêne la lecture, et chaque visiteur qui refuse disparaît de vos statistiques. La CNIL prévoit d'ailleurs un cadre pour mesurer son audience sans demander le consentement.
Mais ce cadre est plus étroit qu'on ne le croit, et il s'est resserré en juillet 2025. Cet article fait le point sur ce que dit la règle, sur ce qu'elle exclut, puis sur la configuration concrète de Matomo, l'outil le plus utilisé dans ce cas.
À lire avant
- Cet article décrit le cadre fixé par la CNIL pour la France. C'est une information générale, pas un avis juridique sur votre site.
- Les sources sont les pages officielles de la CNIL, consultées en octobre 2026. Elles sont liées dans le texte.
Cookies et RGPD : la règle de base
Les cookies relèvent de la directive ePrivacy, transposée dans la loi Informatique et Libertés (article 82), plus que du RGPD lui-même. Le principe est simple : aucun traceur ne peut être déposé ou lu avant que l'internaute ait donné son accord, et refuser doit être aussi simple qu'accepter.
La CNIL liste les traceurs qui échappent à cette règle parce qu'ils sont nécessaires au service demandé : mémoriser le choix sur les cookies, l'authentification, le panier d'achat, la langue d'affichage, la répartition de charge des serveurs. Et, sous conditions, certains traceurs de mesure d'audience (que dit la loi, CNIL).
Tout le reste demande un consentement : publicité personnalisée, pixels des régies, boutons de partage des réseaux sociaux. Si votre site en contient, le bandeau reste obligatoire, quelle que soit la façon dont vous mesurez votre audience.
Les quatre conditions de l'exemption
Sur sa page consacrée aux outils de mesure d'audience, mise à jour le 4 juillet 2025, la CNIL fixe quatre conditions cumulatives. Le traceur doit :
- 01avoir une finalité strictement limitée à la mesure de l'audience du site, pour le compte exclusif de son éditeur ;
- 02servir uniquement à produire des statistiques anonymes ;
- 03ne pas conduire à un recoupement avec d'autres traitements, ni à la transmission de données non anonymes à des tiers ;
- 04ne pas permettre de suivre la navigation sur plusieurs sites ou applications. Un même identifiant utilisé sur plusieurs domaines exclut l'outil.
La CNIL y ajoute trois recommandations : informer les visiteurs, par exemple dans la politique de confidentialité ; limiter la durée de vie du traceur à environ 13 mois, sans prolongation automatique à chaque nouvelle visite ; conserver les données 25 mois au maximum.
Elle précise un point qui écarte beaucoup d'outils gratuits : quand le fournisseur réutilise les données pour son propre compte, l'offre sort du champ de l'exemption.
Ce que la CNIL a précisé en juillet 2025
En juillet 2025, la CNIL a publié un outil d'auto-évaluation destiné aux éditeurs de solutions de mesure d'audience. Il détaille, critère par critère, ce qu'un outil exempté peut faire. C'est le document le plus précis disponible, et il change la donne pour beaucoup de PME.
Les usages autorisés
- mesurer les performances du site ;
- détecter les problèmes de navigation ;
- optimiser les performances techniques ou l'ergonomie ;
- estimer la puissance des serveurs nécessaires ;
- analyser les contenus consultés.
Les usages exclus, même avec un outil exempté
Le document exclut toute mesure à visée marketing : la performance des canaux de conversion, des campagnes publicitaires, la mesure des canaux d'acquisition, la lutte contre la fraude publicitaire, ainsi que la création de cohortes de visiteurs pour leur montrer des contenus différents.
Concrètement, il recommande de désactiver la collecte des paramètres UTM et des identifiants de campagne dans les URL, de limiter le site d'origine (le « referrer ») à son nom de domaine, et d'exclure toute intégration avec des outils tiers.
| Question | Sans consentement | Pourquoi |
|---|---|---|
| Combien de visiteurs, sur quelles pages ? | Oui | Analyse des contenus consultés |
| Quels boutons et liens sont cliqués ? | Oui | Clics sur une fonctionnalité, autorisés |
| Les pages sont-elles lentes ? | Oui | Performances techniques |
| Les visiteurs viennent-ils de google.com ou de linkedin.com ? | Oui, au niveau du domaine | Referrer limité au domaine |
| Quelle campagne, quel post, quel e-mail les a amenés ? | Non | UTM et identifiants de campagne exclus |
| Ma campagne Google Ads est-elle rentable ? | Non | Mesure à visée marketing |
| Que fait un visiteur précis, page après page ? | Non | Suivi individuel et rejeu de session exclus |
Ce qu'un outil exempté peut encore vous dire, d'après l'outil d'auto-évaluation CNIL de juillet 2025
C'est le point qu'on entend rarement. Un site sans bandeau vous dit combien de visiteurs vous avez et ce qu'ils lisent. Il ne vous dit plus quelle action marketing les a amenés. Si cette question compte pour vous, il faudra une mesure soumise au consentement, en plus ou à la place.
Le document demande aussi : au plus trois types d'événements (présence sur une page, clic sur une fonctionnalité, temps de chargement ou de lecture), une adresse IP réduite à la localisation par ville puis tronquée d'au moins un octet, des rapports agrégés (la CNIL recommande d'arrondir à la dizaine) et un moyen d'opposition sous forme de lien ou de bouton dans la politique de confidentialité.
Mise en pratique : configurer Matomo pour l'exemption
Matomo est l'outil que j'utilise dans ce cadre, en version auto-hébergée ou Cloud. La CNIL publie un guide de configuration Matomo. Voici les étapes, dans l'ordre où je les vérifie.
- 01Désactiver le journal des visites et le profil visiteur. Administration, Système, Paramètres généraux, section Live. C'est l'étape qu'on oublie le plus, car tout fonctionne sans elle. Vous perdez le journal des visites, le profil visiteur et la carte en temps réel.
- 02Ajouter un lien d'opposition dans la politique de confidentialité. Matomo fournit un module d'opt-out à intégrer. Respecter le signal « Do Not Track » du navigateur ne suffit pas à le remplacer.
- 03Vérifier l'anonymisation des adresses IP. Administration, Vie privée, Anonymiser les données. Matomo retire par défaut les deux derniers octets d'une adresse IPv4, mais un administrateur peut l'avoir désactivée.
- 04Ne pas utiliser le suivi multi-domaines ni de cookies tiers. Matomo dépose par défaut un cookie interne au site, c'est ce qu'il faut garder.
- 05Ne pas utiliser le User ID, qui relie une visite à un compte connecté. Le rapport « ID Utilisateur » doit être vide.
- 06Désactiver le module E-commerce, dans la fiche du site : « N'est pas un site d'e-commerce ».
- 07Désactiver les cartes de chaleur et enregistrements de session, avec la ligne
_paq.push(['HeatmapSessionRecording::disable']);dans le code de suivi. - 08Vérifier qu'aucune donnée personnelle ne remonte dans les URL, les titres de page, les événements ou les dimensions personnalisées. Une URL de confirmation qui contient une adresse e-mail suffit à sortir du cadre.
- 09Régler la conservation à 25 mois au maximum dans les paramètres de suppression des anciennes données.
Le guide Matomo de la CNIL est antérieur à l'outil de juillet 2025. Il ne traite donc pas des campagnes. Si vous voulez rester dans le cadre le plus récent, n'utilisez pas les rapports de campagnes et ne balisez pas vos liens avec des UTM sur un Matomo exempté.
generate_lead
- form_id
- contact
- source
- google / cpc
- value
- 150 €
- consent
- accordé
Un outil exempté mesure des pages vues, des clics et des temps de chargement. Les campagnes, elles, demandent le consentement.
Et Google Analytics 4 ?
Google Analytics 4 est déployé derrière un bandeau dans l'immense majorité des cas, et c'est ce que je recommande. Il est pensé pour la mesure marketing et le lien avec Google Ads, précisément les usages que l'exemption exclut. Google propose d'ailleurs le Consent Mode pour l'adapter au choix de l'internaute.
Si vous faites de la publicité, la combinaison la plus courante est la suivante : un outil exempté pour le chiffre de référence, mesuré sur tout le trafic, et Google Analytics 4 derrière le consentement pour piloter les campagnes. J'ai détaillé ce choix dans Matomo ou Google Analytics pour une PME.
Les erreurs qui font perdre l'exemption
- Écrire « conforme CNIL » dans la politique de confidentialité sans avoir vérifié la configuration. Une installation par défaut ne suffit pas : le journal des visites, notamment, est actif par défaut.
- Croire que l'outil est exempté par nature. C'est la configuration qui l'est. Un réglage modifié par un prestataire suffit à en sortir.
- Mesurer des campagnes avec des UTM sur l'outil exempté, alors que l'outil de juillet 2025 les exclut.
- Oublier le lien d'opposition, ou le remplacer par une adresse e-mail.
- Supprimer le bandeau alors que d'autres traceurs restent sur le site : pixel publicitaire, boutons de partage, contenus intégrés de plateformes qui déposent leurs propres cookies.
Un site sans bandeau n'est pas un site sans règles. C'est un site qui a choisi de ne mesurer que ce que la loi permet de mesurer sans demander.
Faut-il viser l'exemption ?
Pour un site vitrine qui ne fait pas de publicité, oui, presque toujours. Vous mesurez tous vos visiteurs, vous savez quelles pages comptent et d'où ils arrivent au niveau du domaine, et le site se lit sans bandeau.
Si vous investissez dans des campagnes, l'exemption ne suffira pas à les piloter. Le bon montage dépend alors de ce que vous voulez décider avec vos chiffres. C'est la première question que je pose sur une mission de tracking et analytics, avant de toucher à un outil.