Politique de confidentialité : que mettre pour une mesure d'audience sans consentement

L'exemption de la CNIL dispense du bandeau, pas de l'information. Le RGPD (article 13) demande d'informer les visiteurs de tout traitement de données personnelles, la CNIL recommande de le faire dans la politique de confidentialité, et sa grille de juillet 2025 y place le bouton d'opposition. Voici ce qu'il faut écrire, et un modèle à adapter. C'est une information générale, pas un conseil juridique.

Les mentions à prévoir

• Le responsable du traitement. C'est vous, l'éditeur du site, avec vos coordonnées.
• La finalité. Produire des statistiques anonymes de fréquentation pour votre propre compte. Pas de publicité, pas de profil.
• Les données utilisées. Pages consultées, site référent (le domaine seulement), pays, type d'appareil, navigateur et système. Dites aussi que l'adresse IP transite par le serveur de mesure, même si elle n'est pas conservée.
• La base légale. En général l'intérêt légitime (article 6.1.f du RGPD) : connaître l'audience de votre site. L'exemption de l'article 82 concerne les traceurs ; le traitement des données a quand même besoin d'une base légale.
• La durée de conservation. Celle que vous avez choisie, 25 mois au maximum selon la recommandation de la CNIL.
• Les destinataires. Vous, et le fournisseur de l'outil comme sous-traitant, avec ses propres sous-traitants s'ils voient les données (hébergeur, réseau).
• Les transferts hors de l'Union européenne. S'il y en a, et sur quelle base. Un réseau de diffusion américain voit les requêtes passer, même si les statistiques sont stockées en Europe.
• Les droits. Accès, opposition, réclamation auprès de la CNIL. Pour des statistiques anonymes, l'accès est souvent impossible à exercer en pratique ; l'opposition, elle, doit fonctionner.
• Le bouton d'opposition. Un bouton ou un lien qui arrête la mesure pour ce navigateur.

Un modèle pour Statsdot

Remplacez les éléments entre crochets :

Mesure d'audience. Nous mesurons la fréquentation de [nom du site] avec Statsdot afin de produire des statistiques anonymes sur son utilisation : pages consultées, sites référents, pays, type d'appareil et navigateur. Ce traitement repose sur notre intérêt légitime à connaître l'audience de notre site.

Statsdot ne dépose aucun cookie et n'enregistre pas votre adresse IP. Celle-ci sert uniquement, le temps de la requête, à calculer un code qui change chaque jour ; ce code ne permet pas de vous reconnaître un autre jour ni sur un autre site. Les statistiques sont conservées [24] mois.

Statsdot agit comme notre sous-traitant et ne réutilise pas ces données. Elles sont stockées sur des serveurs en Allemagne ; les requêtes transitent par Cloudflare, Inc. (États-Unis), dans le cadre du Data Privacy Framework UE-États-Unis.

Vous pouvez vous opposer à cette mesure avec le bouton ci-dessous, et adresser toute réclamation à la CNIL (cnil.fr).

Placez ensuite le bouton d'opposition, dont l'extrait de code est dans le guide du mode CNIL.

Les erreurs fréquentes

• Recopier un paragraphe Google Analytics. Un texte qui parle de cookies _ga et de consentement, alors que l'outil n'en dépose pas, induit le visiteur en erreur.
• Écrire « aucune donnée personnelle ». L'adresse IP passe par le serveur, même brièvement. Mieux vaut décrire ce qui est conservé et ce qui ne l'est pas.
• Promettre que tout reste en Europe. Si un réseau américain est sur le chemin, dites-le.
• Oublier le reste du site. Les vidéos intégrées, les pixels publicitaires ou le chat ont leurs propres mentions, et souvent besoin du consentement.
• Un bouton d'opposition introuvable. Il doit être dans la politique de confidentialité, visible, et marcher sans compte.

La liste complète des critères de la CNIL est dans Exemption de consentement CNIL : les critères de juillet 2025, et ce que Statsdot fait pour chacun dans notre auto-évaluation.