Beaucoup d’éditeurs de sites appliquent un principe simple par excès de prudence : tout outil de mesure déclenche une demande de consentement, cookies de suivi ou pas. Ce réflexe part d’une bonne intention et produit un mauvais résultat — une bannière que la majorité des visiteurs referme sans répondre, et une mesure d’audience amputée d’une bonne part de ses données, alors que le RGPD lui-même prévoit une exemption pour certains usages de mesure strictement nécessaires.
Le consentement, et l’exemption qui existe à côté
Le principe général veut qu’un cookie ou un traceur déposé sur l’appareil d’un visiteur nécessite son consentement préalable, sauf exception prévue par les textes. Une de ces exceptions concerne les outils de mesure d’audience qui répondent à des critères précis : ils doivent servir une finalité strictement limitée à la mesure de la performance du site pour son seul exploitant, ne pas permettre de suivre un visiteur d’un site à un autre, et ne pas conduire à un recoupement avec d’autres traitements de données personnelles. Un outil de mesure d’audience qui respecte ces critères peut être déployé sans bannière de consentement préalable.
« Les outils de mesure d’audience qui respectent des conditions strictes peuvent être dispensés du recueil du consentement préalable des utilisateurs. » — Commission nationale de l’informatique et des libertés, recommandations relatives aux cookies et autres traceurs
Les critères posés par la CNIL, un par un
Trois conditions reviennent systématiquement dans les critères que pose la CNIL pour qu’un outil de mesure d’audience bénéficie de cette exemption. D’abord, l’absence de recoupement : les données collectées ne doivent pas être croisées avec d’autres traitements qui permettraient d’identifier précisément un individu au-delà de son comportement sur le site mesuré. Ensuite, l’absence de transfert : les données ne doivent pas être communiquées à des tiers, ce qui exclut de fait une bonne partie des outils dont le modèle économique repose sur la publicité. Enfin, une finalité strictement limitée : le seul usage autorisé est l’amélioration du site pour son propre exploitant — pas le ciblage publicitaire, même indirect.
Mesure d’audience et publicité ciblée, deux régimes qui n’ont rien à voir
La différence tient à l’usage fait des données, pas à la nature technique du cookie lui-même. Un outil qui compte les pages vues, la provenance du trafic et le temps passé, sans revendre ni recouper ces données, relève de la mesure d’audience exemptable. Un outil qui alimente un profil publicitaire, même partiellement, ou qui partage des données avec un réseau publicitaire tiers, sort immédiatement du cadre de l’exemption et retombe dans l’obligation de consentement classique, quelle que soit la présentation commerciale de l’outil utilisé.
Ce qu’une bannière mal faite coûte réellement
Une bannière de consentement conçue pour maximiser les refus — bouton d’acceptation en évidence, refus caché derrière plusieurs clics — expose à un risque de non-conformité qui peut être sanctionné. Mais l’excès inverse coûte aussi cher, silencieusement : un site qui soumet au consentement un outil de mesure qui aurait pu en être exempté perd une part significative de ses données de fréquentation dès qu’une bannière s’affiche, simplement parce qu’une majorité de visiteurs ferme une bannière sans y répondre activement. Le résultat est un pilotage à l’aveugle, sur une base de données tronquée, pour un outil qui n’avait pourtant pas besoin de cette friction.
Les lignes directrices et les critères précis de l’exemption sont publiés par la CNIL, qui reste la référence à consulter avant de choisir la configuration d’un outil de mesure d’audience. Bien régler cet arbitrage relève directement de la boîte à outils d’acquisition d’un site : une mesure d’audience fiable est la condition pour juger correctement si un levier fonctionne, avant même de discuter de son coût.
