Mesurer son audience sans bandeau de cookies : ce que permet la CNIL

Depuis que votre site affiche un bandeau de cookies, vos statistiques semblent fondre : les visiteurs qui refusent, ou qui ferment le bandeau sans choisir, ne sont plus comptés. La CNIL prévoit pourtant une exemption pour la mesure d'audience, à des conditions strictes. Bien configuré, un outil de statistiques peut fonctionner sans demander l'accord des visiteurs, et parfois sans aucun bandeau.

La règle en quelques mots

Déposer un cookie ou un traceur comparable sur l'appareil d'un visiteur, ou lire ceux qui s'y trouvent déjà, demande en principe son consentement. Le mot traceur désigne les cookies, mais aussi d'autres techniques qui permettent de reconnaître un appareil, comme certains identifiants enregistrés par le navigateur. Certains traceurs échappent à cette obligation, parce qu'ils sont nécessaires au fonctionnement du site, comme celui qui mémorise un panier. La CNIL considère que la mesure d'audience peut entrer dans ces exceptions lorsqu'elle sert uniquement à connaître la fréquentation et les performances du site, pour le compte de son éditeur.

Le cadre général des cookies, du bandeau de consentement et de la politique de confidentialité est présenté dans l'article sur le RGPD et les cookies d'un petit site.

Les conditions d'une mesure exemptée

La CNIL détaille ces conditions sur cnil.fr. Dans leurs grandes lignes, elles reviennent à ceci :

• la mesure poursuit une seule finalité, connaître la fréquentation de votre site et le fonctionnement de ses pages, pour votre propre compte ;
• elle produit des statistiques anonymes, sans suivi individuel des visiteurs ;
• elle ne permet pas de suivre une personne d'un site à l'autre, ni de croiser les données avec d'autres fichiers, comme une liste de clients ;
• les données ne sont pas transmises à des tiers pour leur propre usage, y compris l'éditeur de l'outil ;
• la durée de vie des traceurs et la durée de conservation des données sont limitées, selon les repères donnés par la CNIL ;
• les visiteurs sont informés et peuvent s'opposer à la mesure.

Ces conditions portent sur l'usage réel de l'outil. Un outil réputé respectueux mais mal réglé sort de l'exemption ; un outil adapté, réglé de façon stricte, peut y entrer. Pour les cas particuliers, cnil.fr propose aussi des fiches pratiques destinées aux petites structures.

Les outils qui peuvent être configurés ainsi

La CNIL publie sur son site une liste de solutions de mesure d'audience qu'elle a identifiées comme pouvant être configurées pour bénéficier de l'exemption. Matomo, un outil de statistiques que l'on peut installer sur son propre hébergement ou utiliser en version hébergée, en fait partie, et sa documentation décrit les réglages à appliquer.

Encore faut-il appliquer ces réglages sur votre propre site. Certaines fonctions doivent rester désactivées, comme l'identification des visiteurs connectés ou le rapprochement avec d'autres données. Demandez à votre prestataire de vous montrer la configuration retenue, et consultez la liste à jour sur cnil.fr avant de choisir ou de changer d'outil, car elle évolue. Pour un petit site, un outil ainsi réglé fournit déjà les chiffres utiles : visites, pages vues, sources, appareils, et actions comme les clics sur le téléphone.

Ce qui demande toujours un consentement

L'exemption ne couvre que la mesure d'audience. Le bandeau reste nécessaire dès que votre site utilise d'autres traceurs soumis au consentement, par exemple :

• les pixels publicitaires et les outils de reciblage des régies et des réseaux sociaux ;
• les boutons de partage ou les contenus intégrés qui déposent leurs propres traceurs ;
• les vidéos et les cartes intégrées depuis un service tiers, lorsqu'elles déposent des cookies ;
• un outil de statistiques réglé pour suivre les personnes, croiser les données ou servir à la publicité.

Dans ce cas, refuser doit rester aussi simple qu'accepter, et aucun de ces traceurs ne doit être déposé avant le choix du visiteur.

À l'inverse, si votre site ne contient que des traceurs nécessaires et une mesure d'audience exemptée, aucun bandeau n'est exigé. L'information reste obligatoire : votre politique de confidentialité présente l'outil, sa finalité et le moyen de s'opposer à la mesure.

Ce qu'un petit site a vraiment besoin de mesurer

Une mesure exemptée suffit à piloter le site d'un commerce ou d'un indépendant. Le nombre de visites par mois, leur provenance, les pages les plus consultées et les actions utiles, comme les appels, les formulaires envoyés ou les réservations, répondent aux vraies questions. La routine pour suivre ces chiffres est proposée dans l'article sur les statistiques d'un site internet.

Autre avantage : une mesure exemptée compte aussi les visiteurs qui auraient refusé un bandeau, ce qui rend les comparaisons d'un mois sur l'autre plus fiables. Comparez de préférence des mois entiers, et la même période d'une année sur l'autre.

Inutile en revanche de collectionner les indicateurs : certains se lisent avec précaution, comme l'explique l'article sur le taux de rebond. Pensez enfin aux sources qui ne passent par aucun traceur sur votre site : la Search Console pour les recherches sur Google, et les statistiques de votre fiche d'établissement pour les appels et les demandes d'itinéraire.

Vos prochaines vérifications

1. Demandez à votre prestataire la liste des outils de votre site qui déposent des traceurs, vidéos et cartes intégrées comprises.
2. Vérifiez sur cnil.fr si votre outil de mesure peut être exempté, et faites appliquer les réglages correspondants.
3. Mettez à jour votre politique de confidentialité, puis retirez le bandeau seulement s'il ne reste aucun traceur soumis au consentement. Si vous préparez un nouveau site, prévoyez cette configuration dès le départ, et estimez le projet avec le configurateur de devis.