En bref
- L’exemption de consentement existe, mais elle est étroite. Elle couvre la seule mesure d’audience strictement nécessaire au fonctionnement du site, réalisée pour le compte exclusif de l’éditeur, sans recoupement ni transmission à des tiers.
- Google Analytics 4 n’y entre pas dans sa configuration standard. Les données collectées servent aussi à Google, ce qui suffit à faire tomber l’exemption. Le consentement préalable est donc requis.
- Le tracking server-side ne dispense pas du consentement. Il déplace l’endroit où la donnée transite, pas la nature juridique du traitement. C’est l’erreur la plus coûteuse que nous rencontrons en audit.
- Le risque immédiat n’est pas l’amende, c’est la mise en demeure. Elle arrive avec un délai court, elle mobilise vos équipes, et elle peut être rendue publique.
Nous ouvrons un site en navigation privée. Nous cliquons sur « Refuser ». Puis nous regardons l’onglet réseau du navigateur : dans une majorité des audits que nous menons, des requêtes partent quand même vers un outil de mesure ou vers une régie publicitaire.
Dans presque tous les cas, personne n’a triché. L’équipe marketing a installé une plateforme de gestion du consentement, coché ce qui semblait logique, et considéré le sujet comme réglé. Le problème vient d’un malentendu sur un seul mot : « exemption ».
Beaucoup de dirigeants ont retenu de 2021 que la CNIL autorisait la mesure d’audience sans consentement. C’est vrai, mais à des conditions si précises que la plupart des configurations réelles ne les remplissent pas. Cet écart entre ce que l’on croit autorisé et ce qui l’est réellement est aujourd’hui le premier motif de non-conformité que nous observons sur les sites de PME et d’ETI.
Le texte qui s’applique n’est pas celui que vous croyez
Quand on parle de cookies, le réflexe est de citer le RGPD. Le texte qui régit le dépôt et la lecture d’un traceur sur le terminal d’un internaute est en réalité l’article 82 de la loi Informatique et Libertés, transposition française de la directive dite ePrivacy.
Cette distinction n’est pas un détail de juriste. L’article 82 se déclenche dès qu’une information est inscrite ou lue dans le terminal de l’utilisateur, que cette information soit une donnée personnelle ou non. Un identifiant technique anonyme stocké dans le navigateur relève de l’article 82, même s’il ne permet d’identifier personne.
La règle par défaut est simple : consentement préalable, libre, spécifique, éclairé et univoque. L’exemption est l’exception. La CNIL a précisé dans ses lignes directrices et sa recommandation cookies, adoptées en 2020, ce que recouvrent ces exceptions et comment recueillir un consentement valable. Un consentement clair et réellement révocable reste la base de tout le reste.
Deux catégories seulement échappent au consentement : les traceurs strictement nécessaires à la fourniture du service expressément demandé par l’utilisateur (panier, session, préférence de langue, sécurité) et ceux dont la finalité exclusive est de permettre ou faciliter la communication électronique. La mesure d’audience, elle, ne bénéficie d’une exemption que si elle est configurée pour devenir strictement nécessaire au fonctionnement du site.
Les six conditions concrètes de l’exemption
L’exemption ne s’attache pas à un logiciel, elle s’attache à une configuration. Le même outil peut être exempté dans une version paramétrée et soumis à consentement dans une autre. Voici les conditions à réunir simultanément.
- Une finalité strictement limitée. Mesure de performance du site, détection de problèmes de navigation, ergonomie, popularité des contenus, dimensionnement des serveurs. Ni ciblage publicitaire, ni personnalisation, ni scoring commercial.
- Pour le compte exclusif de l’éditeur. Le prestataire agit comme sous-traitant et n’utilise les données pour aucune finalité qui lui soit propre. C’est le point de rupture le plus fréquent.
- Aucun recoupement. Les données ne sont croisées avec aucun autre traitement, aucun fichier client, aucune base tierce.
- Aucun suivi inter-sites et aucune transmission. Le traceur ne suit pas la navigation d’un site à l’autre, et les données ne sont pas transmises à des tiers. L’adresse IP doit être tronquée et la géolocalisation ne doit pas descendre sous le niveau de la ville.
- Des durées bornées. La CNIL retient un ordre de grandeur de treize mois pour la durée de vie du traceur et de vingt-cinq mois pour la conservation des données, sans prolongation automatique à chaque visite, avec un réexamen périodique.
- Information et droit d’opposition. L’exemption dispense du consentement, jamais de l’information des personnes ni d’un moyen simple de s’opposer à la mesure.
Certains tests A/B destinés à améliorer l’ergonomie peuvent entrer dans le même périmètre, s’ils ne modifient pas substantiellement le service et restent limités dans le temps. La frontière tombe dès qu’un résultat de test sert à personnaliser l’expérience d’un individu identifié.
Un mot sur les listes de solutions dites « validées ». La CNIL publie et met à jour des guides de configuration en mode exempté pour des versions précises de certains outils. Une liste recopiée dans un article se périme vite : la référence à consulter est la page officielle de la CNIL, à la date où vous configurez votre outil.
Le cas Google Analytics 4
C’est la question qui revient à chaque rendez-vous : « GA4 est-il légal ? ». La réponse tient en deux temps.
Premier temps : dans sa configuration standard, GA4 ne remplit pas les conditions de l’exemption. Les données alimentent l’écosystème Google, servent aux signaux publicitaires, à la modélisation et aux audiences, et Google ne se limite pas au rôle de sous-traitant agissant pour le compte exclusif de l’éditeur. La condition « compte exclusif » et la condition « pas de transmission à des tiers » tombent toutes les deux.
Second temps : cela ne rend pas GA4 illégal, cela le rend soumis à consentement. Vous pouvez parfaitement l’utiliser, à condition qu’aucune requête ne parte avant un consentement explicite, et que le refus soit respecté dans les faits. Nos audits montrent que le second point est bien plus souvent défaillant que le premier.
La question des transferts hors Union européenne s’est ajoutée à ce dossier à partir de 2022, avec une série de mises en demeure adressées par la CNIL à des éditeurs utilisant Google Analytics. L’adoption du cadre d’adéquation entre l’Union européenne et les États-Unis en juillet 2023 a détendu ce point particulier, sans effacer le sujet du consentement, qui reste entier. Si vous vous interrogez sur les apports réels de GA4 pour votre entreprise, la question du consentement doit entrer dans l’arbitrage dès le départ.
Ce qu’il faut retenir Le partage entre exempté et soumis à consentement ne dépend pas du logiciel mais de sa configuration et de l’usage que le prestataire fait des données. La question utile n’est donc pas « cet outil est-il légal » mais « qui exploite mes données, et pour quelle finalité ».
Consent Mode : ce qu’il règle, ce qu’il ne règle pas
Le Consent Mode de Google est un mécanisme qui transmet aux balises l’état du consentement de l’utilisateur, via des paramètres comme le stockage analytique, le stockage publicitaire, les données utilisateur publicitaires et la personnalisation. Depuis mars 2024, Google en exige la version 2 pour continuer à alimenter les audiences et les conversions dans l’Espace économique européen.
Ce que le Consent Mode règle : la cohérence technique entre votre bandeau et vos balises. Sans lui, un refus reste souvent déclaratif et les tags continuent de s’exécuter.
Ce qu’il ne règle pas : la validité juridique de votre recueil de consentement. Le Consent Mode obéit à l’information que votre plateforme de consentement lui envoie. Si ce signal est mal câblé, ou si votre bandeau ne propose pas un refus aussi simple que l’acceptation, le Consent Mode transmettra fidèlement un consentement invalide.
Un point mérite votre attention. Le mode dit avancé envoie des requêtes à Google avant même le consentement, en principe sans cookie et sans identifiant, pour permettre la modélisation statistique des conversions manquantes. Ce fonctionnement n’est pas neutre juridiquement : tout dépend de ce qui est réellement transmis dans ces requêtes, adresse IP comprise. Ce n’est pas un choix à faire par défaut dans une interface.
Le server-side ne supprime pas le consentement
L’erreur à ne pas commettre Croire que le passage en server-side supprime le bandeau. Cette phrase nous est présentée comme une solution plusieurs fois par trimestre. Elle expose l’entreprise à un manquement sur la totalité de ses traceurs, avec un dispositif technique refait pour rien.
| Point | Effet du passage en server-side |
|---|---|
| Obligation de consentement | Aucun changement. Le déclencheur reste l’écriture ou la lecture d’une information dans le terminal. |
| Cookie déposé par votre propre serveur | Toujours un cookie, toujours soumis à l’article 82, quel que soit le domaine qui le dépose. |
| Données personnelles traitées sans traceur | Toujours soumises au RGPD, avec une base légale à justifier. |
| Fiabilité de la mesure | Restaurée face aux bloqueurs et aux limites imposées par les navigateurs sur la durée de vie des cookies. |
| Maîtrise des flux sortants | Vous décidez quel champ part vers quelle plateforme, ce que vous filtrez, ce que vous journalisez. |
| Démonstration de la conformité | Simplifiée, parce que tout passe par un point unique que vous contrôlez. |
Nous avons détaillé ce décalage entre ce que montrent les outils et ce qui se passe réellement dans notre article sur le mensonge silencieux du tracking.
Autrement dit, le server-side est un instrument de qualité et de maîtrise de la donnée, pas un contournement du consentement. C’est sur ce principe que Datafirefly Limited, éditeur du même groupe que notre agence, a construit sa plateforme de tracking server-side, dont le fonctionnement reste conditionné au signal de consentement transmis par le site.
Ce que risque concrètement une entreprise
Le scénario type ne commence pas par une amende.
| Étape | Ce qui la déclenche | Ce qui se passe | Issue |
|---|---|---|---|
| Contrôle | Plainte d’un utilisateur, signalement associatif, campagne thématique annoncée par la CNIL | Chargement du site et observation des requêtes avant et après un refus, souvent sans déplacement | Clôture, ou mise en demeure |
| Mise en demeure | Manquement constaté | Décision de la présidente de la CNIL, avec un délai de mise en conformité. Ce n’est pas une sanction mais un avertissement formel | Procédure close si vous vous exécutez dans le délai, le plus souvent sans publicité |
| Formation restreinte | Délai non respecté | Examen du dossier par l’organe de sanction | Rappel à l’ordre, injonction sous astreinte, limitation du traitement ou amende |
| Amende administrative | Manquement caractérisé et maintenu | Plafonds exprimés en pourcentage du chiffre d’affaires annuel mondial | Procédure simplifiée possible pour les manquements de faible complexité, avec des montants nettement plus modestes |
Pour une PME, le coût réel se situe rarement dans le montant. Il se situe dans le temps de mobilisation des équipes sous délai contraint, dans la remise à plat d’un plan de marquage construit par sédimentation depuis cinq ans, et dans la publicité éventuelle de la décision. C’est un sujet de gouvernance et de transformation digitale autant qu’un sujet juridique.
Votre plan de mise en conformité en six étapes
Voici ce que vous pouvez lancer cette semaine, sans budget, avant même d’appeler qui que ce soit.
- Testez avant de croire. Ouvrez votre site en navigation privée, refusez tout, puis inspectez l’onglet réseau et le stockage local du navigateur. Notez chaque requête sortante et chaque traceur déposé malgré le refus.
- Classez chaque traceur en trois piles. Strictement nécessaire, mesure d’audience potentiellement exemptable, soumis à consentement. Tout ce qui touche à la publicité, au retargeting ou à la personnalisation va dans la troisième pile, sans discussion.
- Vérifiez la symétrie du bandeau. Refuser doit demander le même nombre de clics qu’accepter, et le choix doit pouvoir être modifié à tout moment depuis une page accessible.
- Documentez. Registre des traitements à jour, durées de conservation écrites, destinataires listés, preuve du consentement horodatée et conservée. Sans documentation, une configuration correcte reste indémontrable.
- Prévoyez une mesure de repli. Configurez un outil en mode exempté pour conserver une vision du trafic quand le consentement est refusé, plutôt que de piloter à l’aveugle. C’est le sujet de fond de notre travail sur la fiabilité de la donnée et la performance.
- Reprenez le test tous les trimestres. Chaque nouveau tag, chaque changement de thème, chaque plugin installé peut réintroduire un traceur non consenti. La conformité n’est pas un état, c’est une routine.
Questions fréquentes
Puis-je utiliser Google Analytics sans bandeau cookies ?
Non, pas dans sa configuration standard. Google Analytics 4 ne remplit pas les conditions de l’exemption de consentement, notamment parce que les données ne sont pas traitées pour le compte exclusif de l’éditeur. Vous devez donc recueillir un consentement préalable et vous assurer qu’aucune requête ne part avant ce consentement.
Quelle différence entre exemption de consentement et absence d’obligation RGPD ?
Ce sont deux choses distinctes. L’exemption porte uniquement sur l’obligation de recueillir un consentement avant de déposer un traceur, au titre de l’article 82 de la loi Informatique et Libertés. Vous restez soumis au RGPD pour tout le reste : information des personnes, durées de conservation, registre, droits d’accès et d’opposition, sécurité.
Le tracking server-side permet-il de se passer du consentement ?
Non. Le server-side change le chemin technique de la donnée, pas la qualification juridique du traitement. Dès qu’une information est écrite ou lue dans le terminal de l’utilisateur, le consentement reste exigé, que le cookie soit posé par un script tiers ou par votre propre serveur. Le server-side améliore la fiabilité de la mesure et votre maîtrise des flux, ce qui est déjà une raison suffisante de l’adopter.
Combien de temps puis-je conserver mes données de mesure d’audience ?
Dans le cadre de l’exemption, la CNIL retient des durées de l’ordre de treize mois pour la durée de vie du traceur et de vingt-cinq mois pour les données collectées, sans renouvellement automatique à chaque visite. Ces durées doivent être réexaminées régulièrement et justifiées par votre besoin réel. Hors exemption, vous fixez une durée proportionnée à votre finalité et vous la documentez.
Que se passe-t-il si la CNIL contrôle mon site ?
Le contrôle en ligne consiste souvent à charger votre site et à observer ce qui se déclenche avant et après un refus. S’il constate un manquement, le service peut adresser une mise en demeure assortie d’un délai de mise en conformité. Se mettre en conformité dans ce délai clôt généralement la procédure, sans sanction et le plus souvent sans publicité.
Mesurer moins, mais mesurer juste
Le réflexe défensif consiste à tout collecter et à espérer que personne ne regarde. Le réflexe efficace consiste à décider ce que vous avez réellement besoin de savoir pour piloter, puis à construire une collecte qui tient debout juridiquement et techniquement. Une mesure exemptée bien configurée, doublée d’une mesure consentie plus riche, est presque toujours plus exploitable qu’un empilement de tags.
La disparition progressive des cookies tiers pousse de toute façon dans cette direction, et les entreprises qui ont anticipé ce mouvement ne subissent pas la contrainte réglementaire, elles s’en servent pour nettoyer leur dispositif. Nous avons abordé cette bascule sous l’angle opportunité dans notre article sur la fin du règne des cookies tiers.
Un doute sur la conformité de votre mesure d’audience ? Nous commençons toujours par le même geste : ouvrir votre site en navigation privée, refuser les cookies, et lister ce qui part quand même. Parlons-en.