La exención de consentimiento de la CNIL para la medición de audiencia: los criterios de julio de 2025

En Francia, una herramienta de medición de audiencia puede funcionar sin banner de consentimiento si cumple las condiciones de la CNIL. El 4 de julio de 2025 la CNIL actualizó su página "Cookies : solutions pour les outils de mesure d'audience" y publicó una herramienta de autoevaluación que detalla esas condiciones para los proveedores. La CNIL mantuvo durante mucho tiempo una lista de soluciones evaluadas; su página actual ya no la publica y remite a la autoevaluación. Este artículo explica qué pide y qué debe comprobar quien gestiona una web. Es información general, no asesoramiento jurídico. En España rigen los criterios de la AEPD, que resumimos en ¿Necesito un banner de cookies para la analítica?.

La regla y su excepción

El artículo 82 de la ley francesa de protección de datos exige consentimiento antes de guardar o leer información en el dispositivo de un visitante. Cubre las cookies, pero también cualquier otra técnica: píxeles, almacenamiento local, huellas digitales. Una medición sin cookies no se libra de la regla por principio.

La excepción vale para los rastreadores estrictamente necesarios para el servicio. La CNIL incluye la medición de audiencia si se cumplen cuatro condiciones:

1. solo mide la audiencia del sitio, para el titular del sitio y nadie más;
2. solo produce estadísticas anónimas;
3. los datos no se cruzan con otros tratamientos ni se pasan a terceros de forma no anónima;
4. no permite seguir a una persona de un sitio o aplicación a otro.

La CNIL recomienda además informar a los visitantes (en la política de privacidad), limitar la vida de los rastreadores a 13 meses sin prolongarla en cada visita y conservar los datos 25 meses como máximo.

Qué añade la autoevaluación

La herramienta de julio de 2025 es para proveedores. Indica si una solución se puede configurar para entrar en la exención y pide al proveedor que entregue a sus clientes un documento según la plantilla de la CNIL, con los ajustes que deben aplicar. No juzga si la herramienta cumple el RGPD en su conjunto.

Funciones permitidas

La medición debe limitarse a cinco usos: medir el rendimiento, detectar problemas de navegación, optimizar el rendimiento técnico o la usabilidad, estimar la capacidad de servidor necesaria y analizar los contenidos consultados.

Funciones excluidas

Todo lo que sirve al marketing debe estar desactivado por defecto. La plantilla cita el rendimiento de los canales de conversión y de las campañas publicitarias, la medición de los canales de adquisición, la lucha contra el fraude publicitario y cualquier creación de cohortes de usuarios para mostrarles contenidos distintos. Los tests A/B entran en este último caso.

Para una función dudosa, la CNIL propone una pregunta sencilla: sin esta medición, ¿puede el sitio seguir haciendo lo que el visitante pidió? El interés económico no basta para que sea "estrictamente necesaria".

Criterios técnicos, por objetivo

Objetivo	Qué pide la plantilla
Una sola finalidad, la medición de audiencia	Instrucciones para apagar las funciones fuera de ese marco; cabeceras HTTP minimizadas (la versión principal del navegador, por ejemplo); como máximo tres tipos de evento: presencia en una página, uso de una función (clic en un botón o enlace, con su etiqueta), tiempo de carga, desplazamiento o tiempo en la página
El proveedor es encargado del tratamiento	Un acuerdo de encargo (artículo 28 del RGPD); ninguna puesta en común de datos brutos de varios clientes; ninguna reutilización para fines propios; un punto de contacto
Ningún seguimiento fuera del sitio	Ni identificador de cliente (CRM), ni UTM, ni identificador de campaña recogidos de las URL; referente limitado al dominio; ninguna integración con herramientas de terceros; cookie propia (first-party) si la hay; dirección IP usada como mucho para la ciudad y luego truncada al menos un byte; huella calculada con un componente propio del sitio y otro temporal; ningún formulario que recoja datos personales; ninguna medición de alcance unificado
Solo estadísticas anónimas	Informes y exportaciones redondeados a la decena más cercana, o un análisis que demuestre que son anónimos; ninguna combinación de filtros que aísle a un usuario; sin grabación de sesiones
El derecho de oposición	Un botón o enlace de oposición en la política de privacidad; una negativa que se mantenga en el tiempo (cookie de oposición o huella en una lista de exclusión)

Cuando la plantilla cita una medida técnica concreta, es una recomendación: el proveedor puede aplicar otra si demuestra que logra el mismo objetivo y lo indica en su documentación.

Las trampas más frecuentes

• Las UTM. Un informe por campaña o por newsletter es marketing. Los parámetros se tienen que descartar, no solo ocultar en pantalla.
• Las cifras pequeñas. Un informe filtrado por una ciudad y un navegador puede describir a una sola persona. De ahí el redondeo a la decena y las filas ocultas.
• El registro de visitas. Ver el recorrido de un visitante concreto, aunque sea sin nombre, es seguir a un único usuario.
• Las integraciones. Conectar la herramienta con una red publicitaria, un CRM u otro servicio la saca del marco.
• La configuración por defecto. La mayoría de herramientas no están exentas tal como se instalan. Google Analytics nunca ha estado entre las herramientas que la CNIL consideraba aptas.

Qué comprueba el titular del sitio

1. Pide al proveedor su documento de autoevaluación y aplica los ajustes que indica.
2. Añade el botón de oposición a tu política de privacidad y describe allí la medición.
3. Comprueba que la conservación no supera los 25 meses.
4. Haz inventario de los demás rastreadores del sitio: publicidad, vídeos incrustados, widgets. Siguen necesitando consentimiento, y por tanto un banner.
5. Recuerda que la autoevaluación no vincula a la CNIL, que puede inspeccionar un sitio. Un proveedor no puede decirse "certificado" ni "validado por la CNIL" ni usar su logotipo; puede decir que su solución "puede acogerse a la exención".

En el caso de Statsdot, el documento es nuestra autoevaluación CNIL, y los ajustes caben en una casilla, el modo exención CNIL. Para otras herramientas, mira Matomo y la exención de la CNIL y ¿Es ilegal Google Analytics en Francia?.