L'esenzione dal consenso della CNIL per la misurazione del pubblico: i criteri di luglio 2025

In Francia uno strumento di misurazione del pubblico può funzionare senza banner di consenso se rispetta le condizioni della CNIL. Il 4 luglio 2025 la CNIL ha aggiornato la sua pagina "Cookies : solutions pour les outils de mesure d'audience" e pubblicato uno strumento di autovalutazione che descrive queste condizioni per i fornitori. A lungo la CNIL ha tenuto un elenco di soluzioni valutate; la sua pagina attuale non lo pubblica più e rimanda all'autovalutazione. Questo articolo spiega cosa chiede e cosa deve verificare chi gestisce un sito. È un'informazione generale, non una consulenza legale. In Italia valgono le linee guida del Garante sui cookie.

La regola e la sua eccezione

L'articolo 82 della legge francese sulla protezione dei dati richiede il consenso prima di salvare o leggere informazioni sul dispositivo di un visitatore. Riguarda i cookie, ma anche ogni altra tecnica: pixel, memoria locale, impronte digitali. Una misurazione senza cookie non sfugge quindi alla regola per principio.

L'eccezione vale per i tracker strettamente necessari al servizio. La CNIL vi include la misurazione del pubblico se sono soddisfatte quattro condizioni:

1. misura solo il pubblico del sito, per conto esclusivo del titolare;
2. produce solo statistiche anonime;
3. i dati non vengono incrociati con altri trattamenti né ceduti a terzi in forma non anonima;
4. non consente di seguire una persona da un sito o un'app all'altro.

La CNIL raccomanda inoltre di informare i visitatori (nell'informativa sulla privacy), di limitare la durata dei tracker a 13 mesi senza prolungarla a ogni visita e di conservare i dati al massimo 25 mesi.

Cosa aggiunge l'autovalutazione

Lo strumento di luglio 2025 è per i fornitori. Indica se una soluzione può essere configurata per rientrare nell'esenzione e chiede al fornitore di consegnare ai clienti un documento sul modello della CNIL, con le impostazioni da applicare. Non giudica la conformità dello strumento al GDPR nel suo insieme.

Funzioni consentite

La misurazione deve limitarsi a cinque usi: misurare le prestazioni, individuare problemi di navigazione, ottimizzare le prestazioni tecniche o l'usabilità, stimare la capacità dei server necessaria e analizzare i contenuti consultati.

Funzioni escluse

Tutto ciò che serve al marketing deve essere disattivato per impostazione predefinita. La griglia cita le prestazioni dei canali di conversione e delle campagne pubblicitarie, la misurazione dei canali di acquisizione, la lotta alle frodi pubblicitarie e qualsiasi creazione di coorti di utenti per mostrare loro contenuti diversi. I test A/B rientrano in quest'ultimo caso.

Per una funzione dubbia la CNIL propone una domanda semplice: senza questa misurazione, il sito può ancora fare ciò che il visitatore ha chiesto? L'interesse economico non basta a renderla "strettamente necessaria".

Criteri tecnici, per obiettivo

Obiettivo	Cosa chiede la griglia
Un'unica finalità, la misurazione del pubblico	Istruzioni per disattivare le funzioni fuori ambito; intestazioni HTTP ridotte al minimo (per esempio la versione principale del browser); al massimo tre tipi di evento: presenza su una pagina, uso di una funzione (clic su un pulsante o un link, con la sua etichetta), tempo di caricamento, scorrimento o tempo sulla pagina
Il fornitore è responsabile del trattamento	Un accordo sul trattamento (articolo 28 del GDPR); nessuna messa in comune dei dati grezzi di più clienti; nessun riutilizzo per fini propri; un punto di contatto
Nessun tracciamento fuori dal sito	Nessun ID cliente (CRM), UTM o ID di campagna raccolto dagli URL; referrer limitato al dominio; nessuna integrazione con strumenti di terzi; un cookie di prima parte se c'è; indirizzo IP usato al massimo per la città e poi troncato di almeno un byte; impronta calcolata con una componente propria del sito e una temporale; nessun modulo che raccolga dati personali; nessuna misurazione di copertura unificata
Solo statistiche anonime	Report ed esportazioni arrotondati alla decina più vicina, o un'analisi che ne dimostri l'anonimato; nessuna combinazione di filtri che isoli un utente; nessuna registrazione delle sessioni
Il diritto di opposizione	Un pulsante o un link di opposizione nell'informativa sulla privacy; un rifiuto mantenuto nel tempo (cookie di opposizione o impronta in una lista di esclusione)

Quando la griglia cita una misura tecnica precisa, è una raccomandazione: il fornitore può applicarne un'altra se dimostra che raggiunge lo stesso obiettivo e lo dichiara nella documentazione.

Le trappole più frequenti

• Gli UTM. Un report per campagna o per newsletter è marketing. I parametri vanno scartati, non solo nascosti a schermo.
• I numeri piccoli. Un report filtrato su una città e un browser può descrivere una sola persona. Da qui l'arrotondamento alla decina e le righe nascoste.
• Il registro delle visite. Vedere il percorso di un visitatore preciso, anche senza nome, significa seguire un singolo utente.
• Le integrazioni. Collegare lo strumento a una rete pubblicitaria, a un CRM o a un altro servizio lo porta fuori ambito.
• La configurazione predefinita. La maggior parte degli strumenti non è esente così come viene installata. Google Analytics non è mai stato tra gli strumenti che la CNIL riteneva idonei.

Cosa verifica il titolare del sito

1. Chiedi al fornitore il documento di autovalutazione e applica le impostazioni indicate.
2. Aggiungi il pulsante di opposizione all'informativa sulla privacy e descrivi lì la misurazione.
3. Controlla che la conservazione non superi i 25 mesi.
4. Fai l'inventario degli altri tracker del sito: pubblicità, video incorporati, widget. Richiedono comunque il consenso, e quindi un banner.
5. Ricorda che l'autovalutazione non vincola la CNIL, che può controllare un sito. Un fornitore non può definirsi "certificato" o "validato dalla CNIL" né usarne il logo; può dire che la sua soluzione "può rientrare nell'esenzione".

Per Statsdot il documento è la nostra autovalutazione CNIL, e le impostazioni stanno in una casella, la modalità esenzione CNIL. Per altri strumenti vedi Matomo e l'esenzione CNIL e Google Analytics è illegale in Francia?.