Exemption de consentement CNIL pour la mesure d'audience : les critères de juillet 2025

En France, un outil de mesure d'audience peut fonctionner sans bandeau de consentement s'il respecte les conditions de la CNIL. Le 4 juillet 2025, la CNIL a mis à jour sa page « Cookies : solutions pour les outils de mesure d'audience » et publié un outil d'auto-évaluation qui détaille ces conditions pour les fournisseurs. La CNIL a longtemps tenu une liste de solutions évaluées ; sa page actuelle n'en publie plus et renvoie à cette auto-évaluation. Cet article explique ce qu'elle demande et ce que l'éditeur d'un site doit vérifier. C'est une information générale, pas un conseil juridique.

La règle et son exception

L'article 82 de la loi Informatique et Libertés impose le consentement avant de déposer ou de lire des informations sur le terminal d'un visiteur. Il vise les cookies, mais aussi toute autre technique : pixels, stockage local, calcul d'empreinte. Une mesure d'audience sans cookies n'échappe donc pas à la règle par principe.

L'exception vaut pour les traceurs strictement nécessaires au service. La CNIL y range la mesure d'audience si quatre conditions sont réunies :

1. elle sert uniquement à mesurer l'audience du site, pour le compte exclusif de l'éditeur ;
2. elle ne produit que des statistiques anonymes ;
3. les données ne sont ni recoupées avec d'autres traitements ni transmises à des tiers sous forme non anonyme ;
4. elle ne permet pas de suivre une personne d'un site ou d'une application à l'autre.

La CNIL recommande en plus d'informer les visiteurs (dans la politique de confidentialité), de limiter la durée de vie des traceurs à 13 mois sans la prolonger à chaque visite, et de conserver les données 25 mois au maximum.

Ce que l'auto-évaluation ajoute

L'outil de juillet 2025 s'adresse aux fournisseurs. Il dit si une solution peut être configurée pour entrer dans l'exemption, et demande au fournisseur de remettre à ses clients un document sur le modèle de la CNIL, avec les réglages à appliquer. Il ne juge pas la conformité de l'outil au RGPD dans son ensemble.

Les fonctions autorisées

La mesure doit se limiter à cinq usages : mesurer les performances, détecter les problèmes de navigation, optimiser les performances techniques ou l'ergonomie, estimer la puissance des serveurs nécessaires et analyser les contenus consultés.

Les fonctions exclues

Tout ce qui sert le marketing doit être désactivé par défaut. La grille cite la mesure de performance des canaux de conversion et des campagnes publicitaires, la mesure des canaux d'acquisition, la lutte contre la fraude publicitaire, et toute création de cohortes d'utilisateurs pour leur présenter des contenus différents. Les tests A/B entrent dans ce dernier cas.

Pour une fonction douteuse, la CNIL propose une question simple : sans cette mesure, le site peut-il encore répondre à la demande du visiteur ? L'intérêt économique ne suffit pas à la rendre « strictement nécessaire ».

Les critères techniques, par objectif

Objectif	Ce que la grille demande
Une seule finalité, la mesure d'audience	Des instructions pour couper les fonctions hors cadre ; des en-têtes HTTP minimisés (version majeure du navigateur, par exemple) ; trois types d'événements au plus : présence sur une page, utilisation d'une fonction (clic sur un bouton ou un lien, avec son libellé), temps de chargement, défilement ou temps passé
Le fournisseur est sous-traitant	Un accord de traitement (article 28 du RGPD) ; aucune mise en commun des données brutes de plusieurs clients ; aucune réutilisation pour son propre compte ; un point de contact
Aucun suivi hors du site	Pas d'identifiant client (CRM), d'UTM ni d'identifiant de campagne collecté dans les URL ; référent limité au domaine ; aucune intégration avec des outils tiers ; cookie interne (first-party) s'il y en a un ; adresse IP utilisée au plus pour la ville, puis tronquée d'au moins un octet ; empreinte calculée avec une composante propre au site et une composante temporelle ; aucun formulaire qui collecte des données personnelles ; aucune mesure de couverture unifiée
Des statistiques anonymes seulement	Rapports et exports arrondis à la dizaine la plus proche, ou une analyse qui prouve leur caractère anonyme ; aucune combinaison de filtres qui isole un utilisateur ; pas de rejeu de session
Le droit d'opposition	Un bouton ou un lien d'opposition dans la politique de confidentialité ; un refus conservé dans la durée (cookie d'opposition ou empreinte mise sur liste repoussoir)

Quand la grille cite une mesure technique précise, c'est une recommandation : le fournisseur peut en appliquer une autre s'il démontre qu'elle atteint le même objectif et le dit dans sa documentation.

Les pièges les plus fréquents

• Les UTM. Un rapport par campagne ou par newsletter relève du marketing. Les paramètres doivent être écartés, pas seulement masqués à l'écran.
• Les petits chiffres. Un rapport filtré sur une ville et un navigateur peut décrire une seule personne. D'où l'arrondi à la dizaine et les lignes masquées.
• Le journal des visites. Voir le parcours d'un visiteur précis, même sans nom, c'est suivre un utilisateur unique.
• Les intégrations. Relier l'outil à une régie publicitaire, à un CRM ou à un autre service sort du cadre.
• La configuration par défaut. La plupart des outils ne sont pas exemptés tels qu'installés. Google Analytics n'a jamais fait partie des outils que la CNIL considérait comme pouvant l'être.

Ce que doit vérifier l'éditeur

1. Demandez au fournisseur son document d'auto-évaluation et appliquez les réglages qu'il indique.
2. Installez le bouton d'opposition dans votre politique de confidentialité et décrivez-y la mesure d'audience.
3. Vérifiez que la conservation ne dépasse pas 25 mois.
4. Faites l'inventaire des autres traceurs du site : publicité, vidéos intégrées, widgets. Ils demandent toujours le consentement, et donc un bandeau.
5. Gardez en tête que l'auto-évaluation n'engage pas la CNIL, qui peut contrôler un site. Un fournisseur ne peut pas se dire « certifié » ou « validé par la CNIL », ni utiliser son logo ; il peut dire que sa solution « peut faire l'objet de l'exemption ».

Pour Statsdot, le document est notre auto-évaluation CNIL, et les réglages tiennent en une case, le mode exemption CNIL. Pour d'autres outils, voyez Matomo et l'exemption CNIL et Google Analytics est-il illégal en France ?.