Mesure d’audience et bandeau cookies : l’exemption CNIL

Ceci est une information générale, écrite par quelqu’un qui construit un outil de mesure d’audience. Ce n’est pas un conseil juridique, et je n’affirme pas que Trailic ou un autre outil est conforme ou exempté. La décision vous appartient en tant qu’éditeur du site.

La réponse courte : ça dépend de ce que l’outil lit sur l’appareil, de ce qu’il en fait, et du régulateur dont vous dépendez. « On n’utilise pas de cookies » ne règle pas la question. En France, l’exemption CNIL permet de se passer de consentement, mais ses conditions sont plus strictes que ce qu’on lit souvent.

Deux textes, deux questions

L’article 82 de la loi Informatique et Libertés, qui transpose l’article 5.3 de la directive ePrivacy, vise « le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal » d’un utilisateur. Il faut un consentement, sauf si l’opération sert exclusivement à transmettre la communication ou reste strictement nécessaire à un service expressément demandé. La règle vaut que les données soient personnelles ou non.

Le RGPD porte sur les données personnelles. Le considérant 30 cite les adresses IP parmi les identifiants en ligne, et le considérant 26 précise que des données pseudonymisées, attribuables grâce à des informations supplémentaires, concernent une personne identifiable. S’il s’applique, il faut une base légale, une information des personnes, une conservation limitée et le respect de leurs droits.

Réussir l’un de ces examens ne dit rien de l’autre. La CNIL le dit de sa propre exemption : les traitements de mesure d’audience « sont soumis à l’ensemble des dispositions pertinentes du RGPD ».

Pourquoi « sans cookies » n’est pas le critère

Le document à lire, ce sont les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD), adoptées en octobre 2024. En résumé, et traduit par mes soins :

L’article 5.3 ne s’applique pas uniquement aux cookies (paragraphe 1).
Un code JavaScript qui demande au navigateur d’envoyer des informations entre clairement dans son champ (paragraphe 33).
Collecter des informations par des données de contexte comme le user agent peut entraîner son application (paragraphe 43).
Une adresse IP le déclenche quand elle provient de l’équipement de l’utilisateur. Si vous ne pouvez pas garantir le contraire, vous devez prendre toutes les mesures qu’il prévoit (paragraphe 55).
Le fait que l’article s’applique n’impose pas systématiquement un consentement (paragraphe 56). Les exemptions s’apprécient au cas par cas, selon le droit et les recommandations de chaque pays (paragraphe 4).

Avec un script qui fait envoyer une requête au navigateur et un serveur qui dérive un identifiant de l’adresse et du user agent, partez donc du principe que la règle peut s’appliquer, puis demandez-vous si une exemption joue.

Vous lirez d’autres avis, en novembre 2026 : Plausible écrit qu’on n’a pas besoin de bandeau pour ses statistiques, PostHog que son hash n’est pas une donnée personnelle. C’est la lecture que ces éditeurs font de leur produit, et ils ont peut-être souvent raison. Des lignes directrices ne sont pas non plus un arrêt de justice. Mais la responsabilité de votre site reste la vôtre.

Ce qu’exige l’exemption CNIL

Pour la CNIL, une partie de la mesure d’audience est strictement nécessaire au fonctionnement d’un site, et échappe donc au consentement préalable. D’après ses lignes directrices de 2020 et sa page de juillet 2025, les traceurs doivent :

Avoir « une finalité strictement limitée à la seule mesure de l’audience » du site ou de l’application, pour le compte exclusif de l’éditeur.
Servir à produire des données statistiques anonymes uniquement.
Ne pas conduire à un recoupement avec d’autres traitements, ni à la transmission de données non anonymes à des tiers.
Ne pas permettre « le suivi global de la navigation » de la personne entre sites ou applications. Tout identifiant commun servant à croiser, dédoubler ou mesurer une couverture unifiée est exclu.

La CNIL recommande aussi d’informer les utilisateurs, par exemple dans la politique de confidentialité, de limiter la durée de vie des traceurs (treize mois dans son exemple, sans prolongation automatique), de conserver les informations « pour une durée maximale de vingt-cinq mois », et de réexaminer ces durées.

Depuis juillet 2025, un outil d’auto-évaluation traduit cela en critères. Il s’adresse aux fournisseurs, et c’est le texte le plus concret à lire :

Objectif	Ce que demande la grille
Mesure d’audience seule	La mesure à visée marketing est désactivée par défaut : canaux de conversion, campagnes, canaux d’acquisition. Tout comme les cohortes servant à présenter des contenus différents
Données minimisées	Données d’en-tête HTTP réduites, par exemple aux versions majeures. Trois types d’événements au plus : présence sur une page, usage d’une fonctionnalité, statistiques de temps
Pas de suivi extérieur	Ni identifiant client ou import CRM, ni UTM ou identifiant de campagne dans les URL, référent limité au domaine, aucune intégration avec des outils tiers
Adresse IP	En mode anonyme, actif par défaut : raccourcie avant le hash, IPv4 en /24 et IPv6 en /48, puis abandonnée. Mode coupé, elle y entre entière, puis disparaît. Pays seulement dans les deux cas
Identifiant calculé	Le hash intègre une composante propre au site et une composante temporelle
Statistiques anonymes	Rapports agrégés et présentés à la dizaine la plus proche, ou analyse justifiant l’anonymat. Aucune combinaison de critères ne doit isoler quelqu’un. Pas de suivi de la navigation d’un utilisateur unique, donc pas de rejeu de session
Droit d’opposition	Un bouton ou un lien dans la politique de confidentialité, et un moyen de faire durer le refus
Fournisseur sous-traitant	Un accord de sous-traitance, ni mise en commun des données entre clients, ni réutilisation pour son compte

Les mesures techniques citées sont des recommandations : une alternative est possible si l’on montre qu’elle atteint l’objectif. La grille dit seulement si l’on peut se passer de consentement, et elle n’engage pas la CNIL. Un fournisseur ne peut pas présenter sa solution comme « certifiée » ou « validée par la CNIL », et le responsable de traitement comme le sous-traitant peuvent voir leur responsabilité engagée.

Tout cela reste la position d’un seul régulateur. D’autres peuvent différer, et je ne les ai pas tous vérifiés : si vous ne dépendez pas de la CNIL, partez des recommandations de votre autorité.

Un exemple : Trailic face à la grille

J’ai passé les réglages par défaut de Trailic dans cette grille, parce que l’exercice montre ce que veulent dire les conditions. C’est ma lecture d’une première version, en novembre 2026 : aucune autorité ne l’a examinée, et Trailic n’a pas publié d’auto-évaluation.

Critère	Trailic tel que livré	Lecture
Site et temps dans le hash	Identifiant du site et sel quotidien	Correspond
Référent	Domaine seulement	Correspond
Données d’en-tête	Conserve un type d’appareil, un navigateur et un système. Le user agent complet entre dans le hash, sans être gardé	Proche, à argumenter
Adresse IP	Entre entière dans le hash, puis disparaît. Pays seulement	Diffère de la mesure citée, alternative à démontrer
Tags UTM	Non conservés en mode anonyme. Conservés si le site le coupe	Correspond, mode actif
Chiffres	Comptes exacts, sans arrondi	Ne correspond pas sans analyse d’anonymat
Identifiants clients, parcours d’une personne	Refusés en mode anonyme. Mode coupé, appeler `identify` fait apparaître l’activité de cette personne dans l’écran des personnes	Correspond, mode actif. Le couper et l’appeler vous met dehors
Opposition	`optOut()`, ou un bouton tout prêt pour votre page de confidentialité. Le navigateur du visiteur retient le refus une fois son choix fait	Correspond, une fois indiqué dans votre politique de confidentialité
Assistants, API	Optionnels	Est-ce une intégration ? À vous de voir
Conservation	Événements bruts 90 jours par défaut, 730 au plus. Les comptes quotidiens restent	Dans la limite recommandée pour les données brutes
Sous-traitant	Aucun pour Trailic lui-même. Votre hébergeur en est un, et la CNIL alerte sur les transferts hors de l’Union	À vérifier

Une installation par défaut ne coche donc toujours pas toutes les cases : les chiffres sont des comptes exacts, et je ne vous dirai pas qu’elle est exemptée. L’entonnoir de conversion et la rétention qui suivent quelqu’un d’un jour à l’autre reposent sur identify, qui demande de couper le mode anonyme, site par site, sur la page du site.

Trois configurations

Ce que vous faites	Ce que je supposerais
Cookies ou identifiants partagés avec une régie, données réutilisées par le fournisseur	Consentement nécessaire. La CNIL dit que ces offres sortent du périmètre de l’exemption
Comptage des pages seul, sur votre instance, réglé selon la grille, avec une mention et un lien d’opposition dans la politique de confidentialité	L’exemption CNIL est peut-être à portée. Documentez votre analyse
Personnes identifiées, rétention, mesure des campagnes	Demandez le consentement, ou prenez conseil

Un bandeau cookies concerne aussi rarement la seule mesure d’audience. Un pixel publicitaire ou une vidéo intégrée qui pose ses propres traceurs peut en imposer un de toute façon.

Si vous décidez de demander, la bibliothèque garde tout en mémoire et n’envoie rien avant l’accord :

// accepted vient de votre bandeau, et votre site s'en souvient
<Trailic siteKey="site_…" endpoint="https://your-instance.example/api/e" consent={accepted} />

Ce qu’il faut dire aux visiteurs

Même avec une exemption, vous devez une explication. Un point de départ, à adapter et à vérifier :

Nous mesurons la fréquentation de ce site avec notre propre outil. Il ne dépose aucun cookie. Notre serveur combine une forme raccourcie de votre adresse IP et les caractéristiques de votre navigateur avec une valeur qui change chaque jour, pour produire un identifiant valable un jour et sur ce site seulement. Ni l’une ni les autres ne sont conservées. Nous nous en servons uniquement pour savoir quelles pages sont lues. Vous pouvez vous y opposer ici : [lien].

Les règles peuvent changer

En novembre 2025, la Commission a proposé de modifier ces règles avec l’omnibus numérique, procédure 2025/0360(COD). Au moment de ma vérification, l’Observatoire législatif du Parlement indiquait qu’elle attendait une décision en commission : ce n’est donc pas la loi. Pour votre propre analyse, voyez ce qui est collecté sur la page notre approche de la vie privée et le fonctionnement du hash.

Où en est Trailic

Trailic est une première version. Il fonctionne de bout en bout sur une instance de test, avec de vrais navigateurs, un vrai assistant et cinq millions d’événements synthétiques, mais il n’a encore collecté aucun trafic réel. Son tampon Vercel Queues n’a tourné que contre une doublure de ce service, son modèle de données peut changer et il n’existe pas de chemin de mise à jour entre versions. Il n’y a pas de version hébergée, et la bibliothèque n’est pas encore sur npm : elle se trouve dans le dépôt, sous packages/trailic. N’en faites pas encore votre seule mesure d’audience. Le code est sur GitHub. Si ma lecture de la grille est fausse, dites-le dans les issues.