Vous arrivez sur un site français. Avant de voir la première ligne de contenu, un pavé vous demande d'accepter ou refuser des cookies. Si vous refusez, la moitié des sites cassent visuellement. Si vous acceptez, vos données partent chez Google.
Ce site-ci n'a pas de bandeau. Ce n'est ni un oubli, ni une provocation : c'est une posture juridiquement encadrée — et techniquement précise.
Pourquoi tout le monde affiche un bandeau
La règle par défaut est simple : tout traceur déposé sur le terminal d'un visiteur nécessite son consentement. C'est la directive ePrivacy, transposée en droit français à l'article 82 de la loi Informatique et Libertés.
Le réflexe « j'installe GA4 ou GTM, je colle un bandeau de consentement » est donc juridiquement cohérent. Sauf qu'il a trois effets indésirables :
- Une mesure trouée — entre 30 % et 60 % des visiteurs refusent, selon le secteur.
- Une friction d'entrée pour 100 % des visiteurs, y compris ceux qui s'en fichent.
- Une exposition juridique persistante quand l'outil envoie des données hors UE.
L'exemption CNIL existe — sous conditions
Depuis sa délibération de septembre 2020 (et les ajustements publiés depuis), la CNIL reconnaît une exemption de consentement pour les outils de mesure d'audience strictement limités à cet usage. Cinq conditions cumulatives :
- Finalité strictement limitée à la production de statistiques anonymes. Pas de retargeting, pas de publicité comportementale, pas d'A/B testing qui suit l'utilisateur ailleurs.
- Anonymisation des données qui permettraient de réidentifier la personne. L'IP, en particulier, doit être tronquée ou masquée avant tout enregistrement.
- Pas de croisement avec d'autres traitements (CRM, base prospects, profils marketing) ni transmission à des tiers.
- Durée de conservation limitée : 25 mois maximum pour les données, 13 mois maximum pour les traceurs déposés.
- Information claire des visiteurs dans la politique de confidentialité — outil utilisé, finalité, durée, droit d'opposition.
Si une seule condition saute, le consentement redevient obligatoire. C'est tout ou rien.
La configuration Matomo qui coche les 5 cases
Matomo auto-hébergé est conçu pour ça. La configuration tient en sept réglages — tous accessibles depuis l'admin :
- Anonymiser l'IP sur les deux derniers octets (« Privacy → Anonymize data »).
- Anonymiser les User ID et Order ID dans la même section.
- Désactiver le cookie tiers (« Disable third-party cookies »).
- Respecter Do Not Track du navigateur.
- Désactiver le User Profile (sinon Matomo construit un historique par visiteur — incompatible avec l'exemption).
- Régler la rétention des logs bruts à 13 mois et des rapports agrégés à 25 mois.
- Activer l'opt-out et publier le lien dans la politique de confidentialité.
Côté hébergement : un VPS en France (OVH, Scaleway, Infomaniak), Docker, une sauvegarde quotidienne. Compter 5 à 15 € par mois pour un trafic PME — sans facture SaaS qui s'envole.
Avant / Après
Les pièges qu'on rencontre vraiment
L'exemption est une posture, pas un kit clé en main. Trois pièges classiques dans les missions :
- Activer un module non couvert par l'exemption — heatmaps, session recording, A/B testing comportemental. Si vous en avez besoin, isolez-les sur une couche de consentement séparée.
- Brancher Matomo sur un outil tiers qui en aspire les données. À cet instant, le « pas de croisement » saute. Restez à l'intérieur du périmètre Matomo, ou rebasculez sur du consentement.
- Oublier la politique de confidentialité. L'exemption suppose une information claire et le droit d'opposition. Sans le bloc dédié, vous êtes hors-cadre — même bien configuré.
Ce que ça ne règle pas
L'exemption ne couvre que la mesure d'audience. Publicité ciblée, retargeting, A/B testing comportemental, heatmaps, session recording, intégrations CRM : tout cela reste sous consentement. La pastille verte ne dispense pas d'un bandeau si vous activez ces traitements. Le but n'est pas de « contourner le RGPD » mais d'aligner l'outil sur la seule finalité utile à un site éditorial PME — et de récupérer une mesure honnête.
Vos visiteurs ne sont pas vos produits. Votre mesure d'audience n'a pas besoin de partir chez un tiers — et vous n'avez pas besoin d'un pop-up pour le prouver.