Le bandeau cookies est devenu l'un des symboles les plus irritants de l'internet contemporain. Il s'affiche en plein écran, demande un choix immédiat, propose des options complexes, et souvent — quand on refuse — laisse un sentiment d'avoir raté quelque chose ou d'avoir fait quelque chose de mal.

Pour les organisations qui gèrent un site web — commune, association, TPE, PME — il génère une question légitime : est-ce vraiment obligatoire ? Faut-il vraiment imposer ça à ses visiteurs pour simplement compter combien de personnes lisent ses articles ou consultent ses pages ?

La réponse, souvent mal connue, est non. Pas systématiquement. Et la CNIL a publié en juillet 2025 des informations claires sur les conditions dans lesquelles certains outils de mesure d'audience peuvent être utilisés sans bandeau de consentement.

Ce que dit la CNIL sur les cookies analytics en 2025

La CNIL distingue deux grandes catégories de cookies et traceurs analytics :

Les traceurs soumis au consentement : il s'agit des outils qui collectent des données personnelles, croisent les informations avec d'autres sources, permettent de reconstituer des profils, ou servent à des fins publicitaires. Google Analytics 4, dans sa configuration standard, entre dans cette catégorie — c'est pourquoi un bandeau de consentement est nécessaire lorsqu'il est utilisé.

Les traceurs exemptés de consentement : la CNIL reconnaît qu'une mesure d'audience strictement limitée à la production de statistiques agrégées, sans croisement de données, sans transmission à des tiers, et limitée à un seul site, peut être exemptée du recueil du consentement — à condition que les personnes soient informées et que le droit d'opposition soit respecté.

Cette exemption n'est pas automatique. Elle nécessite que la solution utilisée remplisse des conditions précises.

Matomo : l'alternative sobre et conforme

Matomo (anciennement Piwik) est un outil de mesure d'audience open source. Il peut être hébergé sur votre propre serveur ou sur un serveur que vous contrôlez — ce qui signifie que les données de fréquentation ne quittent pas votre infrastructure.

La CNIL a précisé que Matomo, configuré correctement et hébergé en propre, peut bénéficier de l'exemption de consentement. Les conditions à respecter sont les suivantes :

  • les données collectées ne servent qu'à produire des statistiques anonymes ;
  • les adresses IP sont anonymisées avant tout stockage ;
  • aucun croisement avec d'autres sources de données n'est effectué ;
  • les données ne sont pas transmises à des tiers ;
  • la durée de conservation est limitée (13 mois maximum pour les statistiques) ;
  • les visiteurs sont informés de l'existence de cette mesure dans la politique de confidentialité ;
  • un mécanisme d'opposition simple est proposé.

Si ces conditions sont remplies, Matomo peut fonctionner sans bandeau de consentement. C'est un avantage considérable pour l'expérience utilisateur et pour la qualité des données — un site sans bandeau intrusif obtient des statistiques bien plus représentatives qu'un site où 80 % des visiteurs refusent les cookies avant même d'avoir lu une ligne.

Google Analytics : que faire ?

Google Analytics reste l'outil le plus utilisé, y compris par des petites structures qui l'ont installé parce que c'était le plus connu ou le plus simple à configurer.

Google Analytics 4, dans sa configuration standard, envoie des données vers des serveurs situés aux États-Unis. Cela pose des questions au regard du droit européen des données personnelles (RGPD) et des décisions de la CJUE sur les transferts de données vers des pays tiers.

La CNIL a sanctionné des organisations françaises pour l'utilisation de Google Analytics sans garanties suffisantes. En 2025, la situation évolue avec les nouvelles certifications de Google sous le Data Privacy Framework, mais elle reste complexe et nécessite une configuration minutieuse.

Pour une petite collectivité, une association ou une TPE qui souhaite une solution simple, sobre et sans risque juridique, migrer vers Matomo auto-hébergé est la recommandation la plus solide. La solution est plus légère à expliquer aux visiteurs, plus simple à conformer aux exigences CNIL, et elle garde les données de fréquentation en interne.

Les pixels de suivi dans les emails : un sujet connexe

En avril 2026, la CNIL a publié une recommandation sur les pixels de suivi dans les courriers électroniques. Ces petits éléments invisibles permettent de savoir si un email a été ouvert, quand et depuis quel appareil.

Cette pratique est courante dans les outils de newsletter (Mailchimp, Brevo, etc.). Elle soulève des questions similaires à celles des cookies : les destinataires doivent en être informés, et leur consentement peut être requis selon le contexte.

Pour une newsletter d'une commune ou d'une association, la recommandation est de vérifier les paramètres de suivi de l'outil utilisé et d'informer les abonnés de cette pratique dans la politique de confidentialité.

Ce qu'un site vitrine de collectivité ou de TPE a vraiment besoin de mesurer

Avant de choisir un outil analytics, la question utile est : qu'avez-vous réellement besoin de savoir ?

Pour la grande majorité des petites structures, les informations utiles sont :

  • combien de visiteurs uniques viennent sur le site chaque mois ;
  • quelles pages sont les plus consultées ;
  • d'où viennent les visiteurs (moteur de recherche, réseau social, lien direct) ;
  • quels appareils sont utilisés (mobile, desktop, tablette) ;
  • combien de formulaires sont soumis.

Ces données sont largement suffisantes pour piloter une communication web. Elles ne nécessitent pas de profils individualisés, de suivi inter-sites, ni de croisement avec d'autres données. Elles s'obtiennent parfaitement avec Matomo configuré en mode sobre.

Comment mettre en place une mesure d'audience conforme

Option 1 — Matomo auto-hébergé (recommandé)

L'installation de Matomo sur votre hébergement Drupal ou sur un serveur dédié permet de :

  • garder toutes les données de fréquentation sur votre infrastructure ;
  • configurer l'anonymisation des IP (option native dans Matomo) ;
  • désactiver le cookie de suivi (mode « cookieless ») ;
  • se passer de bandeau de consentement pour les analytics (sous réserve de respecter toutes les conditions CNIL) ;
  • avoir accès à des rapports clairs et personnalisables.

Coût : l'outil est gratuit (open source). L'installation et la configuration représentent un travail initial, mais la maintenance est légère.

Option 2 — Matomo Cloud

Matomo propose une version hébergée sur ses propres serveurs (en Europe). Elle est payante mais simplifie l'installation. Elle reste dans le cadre européen, ce qui la distingue de Google Analytics.

Option 3 — Solution minimaliste sans analytics

Si la mesure d'audience n'est pas une priorité opérationnelle, la solution la plus simple est de ne pas installer d'outil analytics du tout. Les statistiques serveur (logs Apache ou Nginx) peuvent fournir des informations basiques sans aucun cookie ni consentement.

Et le bandeau de consentement existant ?

Si votre site dispose déjà d'un bandeau de consentement pour les cookies, voici comment l'évaluer.

Il est nécessaire si :

  • vous utilisez Google Analytics sans configuration spécifique ;
  • vous avez des boutons de partage social qui chargent des scripts tiers (Facebook, Twitter/X) ;
  • vous utilisez des publicités ou du remarketing ;
  • vous avez des outils de chat en direct (Intercom, Zendesk) ;
  • vous intégrez des vidéos YouTube sans paramètre « no-cookie ».

Il peut être allégé ou supprimé (pour la partie analytics) si :

  • vous migrez vers Matomo auto-hébergé configuré en mode sobre ;
  • vous supprimez les scripts tiers non essentiels ;
  • vous remplacez les vidéos YouTube par des alternatives (hébergement propre, Peertube) ou utilisez le mode « privacy-enhanced ».

Un site de collectivité ou d'association sobre, sans publicité ni tracking commercial, peut souvent se passer de bandeau complexe avec une configuration correcte.

La politique de confidentialité : ne pas l'oublier

Même avec une solution exemptée de consentement, les visiteurs doivent être informés de l'existence d'une mesure d'audience. Cette information doit figurer dans la politique de confidentialité du site :

  • quel outil est utilisé ;
  • quelles données sont collectées ;
  • durée de conservation ;
  • comment s'y opposer (lien vers la page d'opt-out Matomo, par exemple).

La politique de confidentialité est aussi le bon endroit pour mentionner les pixels de suivi éventuels dans les emails, les formulaires de contact et leur traitement, ainsi que les durées de conservation de toutes les données collectées.

À retenir

Mesurer l'audience de son site web n'implique pas nécessairement d'imposer un bandeau cookies intrusif à ses visiteurs. La CNIL a clarifié les conditions dans lesquelles une mesure d'audience peut être exemptée de consentement, à condition d'utiliser un outil sobre, correctement configuré, hébergé en interne ou en Europe.

Matomo auto-hébergé est aujourd'hui la solution la plus adaptée aux petites structures qui veulent des statistiques utiles sans complexité juridique excessive et sans dépendance à un prestataire américain.

La bonne démarche consiste à auditer ce qui est actuellement installé sur le site, à supprimer les outils non essentiels, à configurer correctement la mesure d'audience, et à mettre à jour la politique de confidentialité en conséquence.

Comment Stoelabs peut aider

Stoelabs propose un accompagnement analytics sobre & conforme pour les collectivités, associations, TPE et PME :

  • audit des outils de mesure et des traceurs actuellement installés ;
  • installation et configuration de Matomo en mode sobre (anonymisation IP, mode cookieless) ;
  • suppression ou remplacement des outils tiers non conformes ;
  • révision ou rédaction de la politique de confidentialité ;
  • mise à jour ou simplification du bandeau de consentement ;
  • vérification des pixels de suivi dans les emails.

Vous ne savez pas ce que votre site collecte vraiment sur ses visiteurs ? Commençons par un audit rapide.

Demander un audit analytics →

Sources

  1. CNIL — Cookies : solutions pour les outils de mesure d'audience — Conditions d'exemption de consentement pour les analytics, juillet 2025.
  2. CNIL — Recommandation pixels de suivi dans les courriers électroniques — Obligations de transparence sur le tracking email, avril 2026.
  3. CNIL — Cookies et traceurs : que dit la loi ? — Cadre réglementaire général.
  4. Matomo — Documentation officielle — Configuration de l'anonymisation et du mode sans cookie.
  5. CNIL — Les contrôles de la CNIL en 2025 — Priorités de contrôle incluant les cookies et la cybersécurité des collectivités.