Liste outils analytics exemptés CNIL : le guide de conformité

Consulter une liste d'outils analytics dits exemptés par la CNIL procure un faux sentiment de sécurité. On imagine qu'installer une solution répertoriée suffit pour s'affranchir du consentement sur le web français. C'est faux. Aucun logiciel de mesure d'audience n'est exempté par nature. Seule une configuration technique chirurgicale et restrictive permet de bénéficier de la dispense prévue par le régulateur.

Une question revient sans cesse dans les directions techniques et juridiques.

Quels sont les outils analytics exemptés de consentement par

En bref : La CNIL évalue des solutions techniques pouvant bénéficier d'une exemption de consentement selon l'article 82 de la loi Informatique et Libertés. Cette sélection comprend notamment Matomo Analytics, Piano Analytics (ex-AT Internet), Piwik PRO, Plausible Analytics, Eulerian Analytics, Wysistat Pro et Abla Analytics, sous condition stricte d'un paramétrage conforme excluant tout recoupement intersites.

L'inscription d'un éditeur dans les guides d'évaluation de la CNIL valide uniquement un potentiel technique. Si votre équipe marketing déploie le tag sans brider ses fonctionnalités natives, la protection juridique s'effondre instantanément. La délibération n° 2020-091 de la CNIL détaille ce cahier des charges rigide. Le régulateur exige une finalité strictement limitée à la production de statistiques anonymes pour le seul compte de l'éditeur du site.

Les données collectées ne doivent en aucun cas suivre l'internaute à travers différentes applications ou domaines distincts. Le régulateur prohibe tout croisement avec des fichiers clients ou des identifiants tiers. Dès qu'un connecteur synchronise ces métriques avec un CRM externe, le régime dérogatoire disparaît.

Le mythe de la conformité par défaut des solutions certifiées

Installer Matomo ou Piano Analytics ne protège personne par automatisme. L'amende silencieuse guette les architectures mal configurées. Un simple paramètre marketing passé dans l'URL suffit à réactiver l'obligation légale de consentement.

Injecter des variables comme gclid, fbclid ou des identifiants d'emails dans vos requêtes analytics transforme une mesure anonyme en traitement de données directement identifiantes. Le Comité Européen de la Protection des Données (CEPD) rappelle régulièrement que l'unicité d'une chaîne de caractères suffit à caractériser une donnée personnelle.

Beaucoup d'équipes conservent les adresses IP brutes pendant le traitement initial sous prétexte d'obtenir une résolution géographique fine. C'est une infraction directe aux lignes directrices. L'adresse IP doit être tronquée avant toute écriture en base, en supprimant au minimum les deux derniers octets pour IPv4.

Le piège des bannières cookies et l'abandon massif d'une part

Selon les observatoires d'acceptation CMP en e-commerce français, une part significative des internautes cliquent sur « Tout refuser ». En un clic, ils disparaissent des tableaux de bord standards, créant un trou noir statistique où les parcours d'achat deviennent invisibles.

Ce gouffre force les équipes marketing à piloter leurs budgets à l'aveugle, ce qui pousse des ingénieurs vers des bricolages serveur hasardeux. On pense contourner le problème avec une rustine, mais la mécanique juridique ne pardonne pas.

L'angle mort de Google Analytics 4 et du Consent Mode v2

GA4 ne bénéficiera jamais de la moindre dispense de recueil de consentement. La raison est structurelle, gravée dans l'architecture même de la régie publicitaire.

Le CEPD et les directives de la CNIL imposent une condition éliminatoire : les données de mesure d'audience doivent servir exclusivement à l'éditeur du site, sans recoupement avec des ensembles tiers. Or, l'écosystème de Mountain View repose sur l'enrichissement continu de profils publicitaires globaux.

L'illusion du Consent Mode v2 dit « avancé » induit en erreur de nombreux e-commerçants. Des pings anonymisés partiraient vers les serveurs sans déposer de cookies, autorisant un modèle prédictif basé sur l'apprentissage automatique. Dans les faits, ces requêtes réseau transmettent toujours l'empreinte de la machine de l'internaute, son adresse IP d'origine et des identifiants éphémères persistants, comme nous l'avons documenté dans notre analyse de Google Consent Mode v2 face à la CNIL.

Certains pensent résoudre le problème en installant un serveur proxy intermédiaire pour hacher l'adresse IP via SHA-256 avant d'expédier le payload. Cette approche trahit les exigences techniques réelles. Un condensat sans sel dynamique tournant à chaque milliseconde reste une donnée pseudonymisée, pas une donnée anonyme. L'autorité de contrôle inspecte les logs réseau et requalifie ce transit en traitement direct de données à caractère personnel, démontrant les failles du server-side tracking face au consentement RGPD.

Ces dérives techniques masquent souvent les règles de base du cadre légal français.

Les critères stricts de l'article 82 de la loi Informatique et Libertés

En bref : Selon l'article 82 de la loi Informatique et Libertés et la CNIL, l'exemption exige : une finalité strictement cantonnée à la production de statistiques anonymes pour le seul éditeur, l'interdiction de tout recoupement inter-sites, une durée de vie des traceurs limitée à 13 mois sans prorogation automatique, et l'exclusion formelle de données brutes d'adresses IP ou d'identifiants publicitaires.

Ces obligations forment un verrou technique étanche. Pour rester dans le cadre dérogatoire, la plateforme d'analyse doit tronquer l'adresse IP au niveau des deux derniers octets avant toute écriture en base, tout en interdisant le stockage du User-Agent complet.

Les balises ne peuvent pas ingérer les paramètres de requêtes d'URL à visée publicitaire. Un hit contenant un paramètre gclid, fbclid ou même des segments UTM individualisés fait immédiatement sauter l'exemption, reliant l'action sur site à un historique externe.

Pour un site marchand, s'entêter à forcer l'usage d'outils non conformes revient à perdre une part critique de données d'achat réelles tout en s'exposant à des sanctions directes. Le choix est arithmétique.

Le pivot d'ingénierie : passer de la collecte aveugle à la

L'inspection d'un payload réseau ne ment jamais.

Quand un navigateur transmet une requête analytique, chaque octet compte devant un contrôleur technique. Les équipes produit pensent souvent qu'activer une case « anonymisation » dans une interface suffit. C'est faux. L'analyse forensique des trames HTTP montre que des identifiants uniques persistent dans les en-têtes ou le corps de requête sous forme de condensats SHA-256 calculés à partir de l'User-Agent, de la résolution d'écran et des polices système.

Ce fingerprinting probabiliste détruit le bénéfice de l'exemption légale. Selon les directives publiées par la CNIL sur les traceurs et cookies de mesure d'audience, la collecte doit servir exclusivement à produire des statistiques purement agrégées pour le compte exclusif de l'éditeur du site.

La suppression de l'identifiant inter-sites et le cloisonnement des données

Isoler le périmètre technique impose d'éradiquer tout mécanisme de synchronisation de traceurs tiers.

Un outil exempté n'a pas le droit de corréler la navigation d'un internaute entre deux domaines distincts. Renvoyer un hash d'IP combiné à un sel fixe sur plusieurs applications clientes recrée de facto un traceur persistant interdit sans consentement.

Le script de mesure doit opérer en vase clos. Le cookie déposé ne doit jamais dépasser une durée de vie de 13 mois, sans prorogation automatique lors des nouvelles visites. Si votre collecteur injecte un identifiant utilisateur synchronisé avec un CRM ou un réseau externe, le régime dérogatoire saute sur-le-champ.

Le recalibrage de la géolocalisation à l'échelle de la ville

La précision spatiale représente le second point de rupture lors des audits d'infrastructure.

L'extraction des coordonnées GPS ou la résolution d'adresse IP vers un code postal précis constitue un traitement de données à caractère personnel intrusif. Pour respecter le standard d'anonymisation défini dans les recommandations du Comité Européen de la Protection des Données (CEPD), la chaîne de traitement doit tronquer les adresses IP avant toute persistance sur disque. L'algorithme doit masquer les deux derniers octets d'une adresse IPv4 (ou l'équivalent /64 en IPv6) dès la réception du paquet réseau.

Cette troncature limite la résolution géographique au niveau de la commune ou de la région, interdisant le croisement avec des fichiers cadastraux ou des bases tierces.

Ce dégraissage architectural produit un effet direct sur le navigateur : la vitesse d'exécution. Les bundles de télémétrie traditionnels dépassent fréquemment 50 Ko de JavaScript bloquant le fil d'exécution principal. En basculant vers des collecteurs sobres pesant moins de 3 Ko, les scores Interaction to Next Paint (INP) s'améliorent de façon spectaculaire selon les standards d'audit de performance de l'Internet Engineering Task Force (IETF).

Moins de données collectées signifie moins de surface d'attaque, une facture d'infrastructure allégée et une vitesse de chargement restaurée.

Le banc d'essai technique

Installer un outil étiqueté « exemptable » ne protège personne sans configuration stricte. L'exemption dépend d'un pipeline d'ingestion fermé.

Voici le schéma fonctionnel imposé par les exigences de la CNIL sur les traceurs et cookies pour éviter toute requalification :

[Requête HTTP brute] ──> [Filtre Edge : Strip UTM/Query IDs] ──> [Vérification Opt-out Cookie] ──> [Hachage IP salé avec rotation journalière] ──> [Base Analytics Conforme]

Matrice d'évaluation des outils exemptables selon le cahier des charges CNIL

Chaque éditeur met en avant sa conformité. Un audit de charge utile réseau révèle les écarts techniques réels entre les annonces et l'exécution en production.

La conformité ne réside pas dans l'interface logicielle. Elle s'exécute dans les en-têtes réseau envoyés à chaque événement.

Cas pratique résolu : configuration pas à pas d'un tracker Matomo ou Plausible conforme

Examinons une implémentation réelle. Les régies publicitaires injectent des identifiants click-level (gclid, fbclid, msclkid, dclid) et des balises de campagne marketing (utm_source, utm_campaign).

Ces paramètres brisent l'anonymat. Selon les spécifications d'ePrivacy et de l'EDPB, suivre un internaute depuis une publicité payante sans consentement constitue un détournement de finalité.

Voici le script JavaScript d'interception à injecter avant l'envoi de la charge utile analytics :

// Assainissement de la charge utile avant collecte
(function() {
  var forbiddenParams = ['utm_source', 'utm_medium', 'utm_campaign', 'utm_term', 'utm_content', 'gclid', 'fbclid', 'msclkid', 'dclid'];
  var url = new URL(window.location.href);
  var cleaned = false;

  forbiddenParams.forEach(function(param) {
    if (url.searchParams.has(param)) {
      url.searchParams.delete(param);
      cleaned = true;
    }
  });

  // Réécriture de la query string dans l'URL transmise au tracker
  window._cleanTrackUrl = url.pathname + (url.searchParams.toString() ? '?' + url.searchParams.toString() : '');
})();

Dans Matomo, associez ce nettoyage au tracker :

var _paq = window._paq = window._paq || [];
_paq.push(['setCustomUrl', window._cleanTrackUrl]);
_paq.push(['disableCookies']); // Élimination totale du stockage persistant
_paq.push(['trackPageView']);

Voici le snippet d'opt-out minimaliste basé sur un stockage de désactivation strict :

function setAnalyticsOptOut() {
  localStorage.setItem('analytics_optout', 'true');
  if (window._paq) {
    window._paq.push(['optUserOut']);
  }
  document.getElementById('optout-status').innerText = 'Mesure désactivée avec succès.';
}

Si le filtre d'exclusion saute, l'exemption saute avec lui. Le contrôleur CNIL ne jugera pas votre intention, uniquement la présence de traceurs résiduels dans l'onglet réseau de DevTools.

L'automatisation du contrôle légal et l'ère du zéro traceur

L'époque des déclarations sur l'honneur est révolue.

Les régulateurs ne se contentent plus de lire vos mentions légales. Ils exécutent des protocoles de capture automatisée headless directement sur vos flux de production. Les scripts d'audit analysent chaque en-tête HTTP, décortiquent les payloads des requêtes POST et tracent la moindre persistance locale avant toute interaction utilisateur.

La fin du déclaratif face aux robots de contrôle automatisés de la CNIL

Le régulateur inspecte le DOM sans sommation.

Ces vérifications s'appuient sur l'outillage officiel documenté par la CNIL sur sa méthodologie de contrôle des traceurs, déployant des instances Chromium instrumentées pour enregistrer l'intégralité du trafic réseau via le protocole CDP (Chrome DevTools Protocol), un processus analysé en détail dans notre guide sur le robot de contrôle automatique de cookies de la CNIL.

[Chromium Headless] ──> [Capture HAR / WebSocket] ──> [Parser d'en-têtes Set-Cookie] ──> [Score d'infraction immédiat]

L'algorithme de contrôle ne négocie pas. Si un cookie doté d'une entropie supérieure à 32 bits est écrit sans consentement préalable, l'alerte technique tombe instantanément.

// Exemple de vérification brute exécutée lors d'un crawl réglementaire
const unconsentedCookies = document.cookie.split('; ').filter(cookie => {
  const [name, value] = cookie.split('=');
  return !['tarteaucitron', 'axeptio_authorized_vendors'].includes(name);
});
if (unconsentedCookies.length > 0) throw new Error("FLAG_UNCONSENTED_STORAGE");

Le piège réside dans les variables injectées via des balises CDN mal isolées. Un simple pixel orphelin ou un identifiant de session résiduel annule l'exemption de votre instance analytique, vous exposant aux sanctions de l'article 82.

Cas pratique résolu : assainissement d'un payload réseau pour valider l'exemption

Pour empêcher qu'un crawler d'audit ne sanctionne votre collecte, voici l'exercice d'ingénierie appliqué sur un payload sortant vers votre point de collecte analytics.

Étape 1 : Interception de la charge réseau brute

La requête contient des variables parasites injectées par un tag manager :

POST /collect?dt=Home&uid=USR_9921&uip=192.168.1.45&res=1920x1080

Étape 2 : Purge chirurgicale des identifiants directs

Supprimez tout champ exposant une signature unique : supprimez uid, tronquez l'adresse IP sur les deux derniers octets et bannissez la résolution d'écran exacte pour bloquer le fingerprinting.

Étape 3 : Payload d'audience conforme validé

POST /collect?dt=Home&uip=192.168.0.0

Le traceur répond aux critères stricts d'isolation. L'anonymisation n'est pas une option cosmétique, mais un verrou cryptographique obligatoire.

Au lieu de disséquer manuellement chaque mise à jour de tag marketing au risque de briser votre configuration d'exemption, une infrastructure d'audit forensique continu comme CookieDetox isole les fuites réseau avant que les crawlers des autorités ne constatent la dérive.

L'Union européenne converge vers les standards d'audit du Comité Européen de la Protection des Données (EDPB), rendant les modèles intrusifs d'attribution publicitaire obsolètes au profit d'une mesure sobre, déterministe et imperméable aux identifiants personnels persistants.