Mesure d'audience sans bandeau cookies : l'exemption CNIL, ce qu'elle permet et ce que vous perdez

La plupart des sites français mesurent leur audience avec un outil qui exige le consentement, affichent un bandeau pour l'obtenir, puis prennent des décisions sur la fraction des visiteurs qui ont cliqué « accepter ». La CNIL autorise, depuis sa délibération de 2020, un outil de mesure d'audience à fonctionner sans consentement quand il respecte des conditions strictes, et elle a remplacé en 2025 sa liste de solutions approuvées par une autoévaluation que les éditeurs signent. Matomo a livré une configuration en un clic en avril 2026 ; Plausible, Umami et d'autres documentent les mêmes réglages. Cet article explique les conditions, montre ce que vous mesurez et ce à quoi vous renoncez, compare les outils, et donne la liste de contrôle d'audit à garder avec la configuration.

Où vont les visiteurs aujourd'hui

Les parts varient selon le secteur, le dessin du bandeau et l'appareil, et nous n'avons volontairement pas cité de moyenne de marché, car celles qui sont publiées viennent des éditeurs de plateformes de consentement. La forme, elle, ne varie pas : un outil soumis au consentement voit une minorité des visites, et une minorité biaisée (les personnes qui acceptent les bandeaux ne sont pas un échantillon aléatoire). Chaque taux de conversion, chaque « le mobile fait 60 % du trafic » et chaque test A/B bâti sur cet échantillon hérite du biais.

Un outil exempté voit les 100 cases, avec moins d'information par case. C'est l'échange.

Ce qu'exige l'exemption

La base juridique est l'article 82 de la loi Informatique et Libertés et la délibération 2020-091 de la CNIL ; la page de la CNIL sur les solutions de mesure d'audience, mise à jour en juillet 2025, énonce les conditions et propose aux éditeurs une grille d'autoévaluation. La CNIL ne publie plus de liste d'outils conformes : un éditeur qui satisfait la grille peut dire que sa solution « peut faire l'objet de l'exemption », ne peut pas la dire « certifiée » ni « validée par la CNIL », et le responsable du site doit obtenir la documentation de l'éditeur et reste responsable en cas de contrôle.

Deux points échouent dans un premier audit type, et les deux relèvent de la paperasse plutôt que de la technique : la rétention par défaut et le document d'autoévaluation de l'éditeur. Corrigez-les avant de retirer le bandeau.

Les outils, côte à côte

Google Analytics n'a pas de mode exempté : il est construit autour d'identifiants inter-sites et des traitements propres de Google. Le choix pratique pour un éditeur français se fait entre Matomo (riche en fonctions, le plus long historique avec la CNIL) et les outils légers sans cookie (Plausible, Umami) dont toute la conception épouse la grille ; Piano Analytics sert les grands groupes de médias.

Ce que le bandeau coûte au-delà des données

Le dernier maillon est celui que les juristes remarquent : un bandeau est lui-même réglementé (refuser doit être aussi facile qu'accepter, les interfaces trompeuses sont sanctionnées), donc garder un bandeau pour un outil qui n'en a pas besoin ajoute une surface de conformité au lieu d'en retirer une.

Quand le consentement reste nécessaire

La mesure d'audience exemptée est un outil de mesure, pas une pile marketing. Dès que le même outil alimente l'attribution publicitaire, construit des audiences, relie un visiteur à une fiche CRM, mène des tests A/B marketing ou partage des identifiants avec un partenaire, il sort de l'exemption et le consentement revient, pour ce traitement-là. Le schéma propre, c'est deux outils : un outil exempté qui tourne toujours et donne des chiffres de trafic complets et non biaisés, et un outil soumis au consentement (si vous en avez vraiment besoin) pour les usages marketing, avec le bandeau limité à lui. Le rapport entre les deux vous dit quelle part de vos données marketing est un échantillon.

En résumé

Pour la plupart des sites, les chiffres d'audience honnêtes et l'absence de bandeau viennent de la même décision : un outil exempté, configuré selon la grille de la CNIL, avec l'autoévaluation de l'éditeur dans le dossier de conformité et la rétention de 25 mois réglée. Gardez le consentement pour ce qui en a vraiment besoin, et cessez d'échantillonner votre propre trafic. Nos articles sur la protection des données et la conformité et les cadres de KPI couvrent la réglementation et ce qu'il faut mesurer une fois les chiffres complets.

Sources : CNIL, « Cookies : solutions pour les outils de mesure d'audience » (page datée du 4 juillet 2025) et délibération 2020-091 ; notes de version de Matomo (5.9.0, avril 2026) et documentation ; documentation de Plausible, Umami et Piano. Les déclarations d'exemption sont celles des éditeurs ; les parts des schémas sont illustratives. Lus le 19 octobre 2026.