Le principe n’a pas bougé
Pour déposer ou lire quelque chose sur l’appareil d’un visiteur (un cookie, un identifiant dans le stockage local, une empreinte), il faut son consentement. C’est l’article 82 de la loi Informatique et Libertés. Il prévoit des exceptions pour les traceurs strictement nécessaires, et la CNIL y range depuis 2020 une partie de la mesure d’audience : celle qui sert uniquement à l’éditeur du site, produit des statistiques anonymes et ne suit personne ailleurs.
Les durées connues restent les repères : un traceur de mesure d’audience ne vit pas plus de 13 mois, et les informations collectées ne sont pas gardées plus de 25 mois.
Ce qui a changé en 2025 et 2026, c’est la façon de le prouver.
Juillet 2025 : une grille de 14 critères
La CNIL a mis à jour ses recommandations le 4 juillet 2025 et publié un outil d’auto-évaluation. Il range les conditions de l’exemption en cinq objectifs et quatorze critères :
| Objectif | Ce que ça veut dire en pratique |
|---|---|
| 1. La seule finalité est la mesure d’audience | Les fonctions qui dépassent ce cadre peuvent être coupées. Les données sont réduites : navigateur sans détail, écran en grandes catégories, trois types d’événements au plus (page vue, usage d’une fonction, temps). |
| 2. Le prestataire est un sous-traitant | Un accord de sous-traitance conforme à l’article 28 du RGPD, aucune mise en commun des données entre clients, aucune réutilisation par le prestataire, un point de contact. |
| 3. Pas de suivi en dehors du site | Pas d’import d’identifiant client ni de paramètres de campagne, un site référent réduit à son domaine, pas d’identifiant qui traverse plusieurs domaines, pas de mesure de portée unifiée. |
| 4. Uniquement des statistiques anonymes | Dans l’interface comme à l’export. Des chiffres arrondis, ou une analyse qui justifie leur anonymat. Aucun parcours individuel reconstituable. |
| 5. Le droit d’opposition | Un lien ou un bouton dans la politique de confidentialité, et un refus retenu dans la durée. |
La grille sert aux deux côtés. Le fournisseur de l’outil y montre ce que son produit fait. L’éditeur du site y vérifie ce qu’il a configuré.
1er janvier 2026 : la fin de la liste
Pendant plusieurs années, la CNIL a tenu une liste de solutions qui pouvaient être configurées pour l’exemption. Beaucoup d’éditeurs s’en servaient comme d’un label : « l’outil est sur la liste, donc je suis tranquille ». Ce raccourci n’a jamais été tout à fait juste, puisque c’est la configuration qui compte, pas le nom de l’outil.
Cette liste a disparu au 1er janvier 2026. Désormais, le fournisseur documente son analyse et la remet à ses clients. L’éditeur, lui, garde dans son dossier de quoi montrer que sa mesure d’audience respecte les conditions.
Conséquence directe : un outil ne peut plus se dire « validé par la CNIL » ou « certifié ». La CNIL ne certifie pas les outils de mesure d’audience. Méfiez-vous des badges.
Les quatre pièges les plus courants
Les paramètres de campagne
Le critère 3.1 demande la « désactivation de toute collecte ou import d’identifiant client, d’UTM ou d’identifiant de campagne dans les URLs ». Lu strictement, il interdit de garder utm_source ou utm_campaign. Matomo, dans son mode de conformité CNIL, supprime tous les paramètres de campagne.
C’est le point le plus discuté, parce que savoir quelle campagne amène des clients est la raison d’être de beaucoup de mesures d’audience. Un libellé comme « newsletter-octobre » ne désigne personne. Un lien personnalisé comme utm_campaign=jean.dupont désigne quelqu’un. Si votre outil garde les libellés, demandez-lui comment il traite le second cas, et s’il propose un mode qui ignore tout.
L’export des données brutes
Beaucoup d’outils proposent un export « événement par événement », avec un identifiant de visite et l’heure à la milliseconde. Avec ce fichier, on reconstitue le parcours de chaque visiteur. C’est contraire aux critères 4.1 et 4.3, même si l’interface, elle, ne montre que des totaux.
Les propriétés libres
Un événement « Formulaire envoyé » avec une propriété nom: Jean Dupont sort du cadre. Le critère 1.2 limite les événements à trois types, et le critère 3.2 exclut tout marquage qui récupère des informations personnelles par un formulaire. Un outil sérieux limite les propriétés acceptées. Un éditeur sérieux n’y met jamais de donnée personnelle.
L’opposition oubliée
L’exemption dispense du consentement, pas de l’information ni du droit de s’opposer. Les critères 5.1 et 5.2 demandent un lien d’opposition dans la politique de confidentialité, et un refus qui tient dans le temps. Pour retenir un refus, la CNIL admet qu’on écrive sur l’appareil, par exemple un cookie ou une valeur dans le stockage local. C’est le seul cas.
Le RGPD s’applique quand même
L’exemption porte sur l’article 82, pas sur le RGPD. Un outil qui calcule un identifiant de visiteur, même chiffré et éphémère, traite une donnée pseudonyme, donc personnelle. Vous restez responsable du traitement, et votre outil est votre sous-traitant. Il vous faut donc, comme pour tout traitement :
- une base légale, en général l’intérêt légitime ;
- une mention dans votre politique de confidentialité ;
- une fiche dans votre registre des traitements ;
- un accord de sous-traitance signé avec le fournisseur ;
- des durées de conservation.
Le dossier à constituer en 2026
Si un DPO, un client ou la CNIL vous demande comment vous mesurez votre audience sans bandeau, voici ce que vous devez pouvoir montrer :
- La grille d’auto-évaluation remplie par votre fournisseur, datée, critère par critère.
- L’accord de sous-traitance (article 28), avec la liste des sous-traitants ultérieurs.
- Votre fiche de registre pour la mesure d’audience.
- Votre politique de confidentialité, avec le paragraphe sur la mesure d’audience et le lien d’opposition qui fonctionne.
- Une analyse d’anonymat, si les statistiques ne sont pas arrondies.
- La preuve de votre configuration : capture des réglages, date de mise en place, mode utilisé.
Gardez aussi en tête que l’exemption ne couvre que l’outil de mesure. Un pixel publicitaire, une vidéo intégrée ou un outil de cartes de chaleur sur la même page restent soumis au consentement.
Et pour les agences
Une agence qui installe un outil de mesure sur les sites de ses clients se retrouve souvent à répondre aux questions de leur DPO. Avoir les documents ci-dessus prêts, au nom de l’outil, fait gagner des semaines. Si vous accédez aux statistiques de vos clients, vous figurez aussi comme destinataire dans leur fiche de registre.
Ce que fait Equateur Analytics
Nous avons rempli la grille pour Equateur Analytics, critère par critère, et nous publions les documents qui vont avec : accord de sous-traitance, fiche de registre, paragraphe type avec le lien d’opposition, analyse d’anonymat. Nous y disons aussi où nous avons fait un choix discutable, comme les libellés de campagne, et ce que nous proposons à ceux qui préfèrent la lecture stricte. Ces documents sont en cours de validation par un juriste. Tout est sur la page Conformité.
Sources
- CNIL, Solutions pour la mesure d’audience.
- CNIL, outil d’auto-évaluation « Mise en œuvre d’une solution de mesure d’audience exemptée de consentement », juillet 2025.
- Groupe de travail « Article 29 », avis 05/2014 sur les techniques d’anonymisation.
Ce guide décrit le cadre tel que nous le comprenons au 15 octobre 2026. Ce n’est pas un avis juridique.