Mesurer son audience sans cookies ni bandeau RGPD

Le bandeau cookies n'est pas une obligation légale

C'est le malentendu le plus répandu chez les TPE que j'accompagne : « il faut bien mettre un bandeau, c'est le RGPD ». Non. Le bandeau n'est pas imposé par la loi, il est imposé par les outils que vous avez installés. Aucun traceur soumis à consentement sur votre site, aucun bandeau à afficher.

Google Analytics tombe sous consentement pour une raison précise, et ce n'est pas « parce que c'est américain » : c'est parce que la mesure d'audience n'y est qu'une finalité parmi d'autres. Les données alimentent aussi l'écosystème publicitaire de Google, avec un recoupement possible entre sites et un identifiant qui vous suit au-delà du vôtre. Ce croisement est exactement ce qui fait sortir l'outil du régime d'exemption.

Et le bandeau coûte cher, dans les deux sens :

• Il abîme vos chiffres. Toute personne qui refuse — ou qui ferme la fenêtre sans répondre — disparaît de vos statistiques. Sur un site vitrine, cela peut représenter une part majeure du trafic réel.
• Il abîme votre site. C'est la première chose que voit un visiteur : une demande d'autorisation, avant même votre proposition de valeur.
• Il crée une obligation de preuve. Un consentement doit être recueilli, tracé et révocable. C'est un traitement de données de plus à documenter.

Autrement dit : vous dégradez l'expérience et la qualité de vos données pour collecter des informations que vous ne regarderez jamais.

Ce que la CNIL autorise sans consentement

La CNIL prévoit une exemption pour les traceurs de mesure d'audience, à condition qu'ils restent strictement au service de l'éditeur du site (critères d'exemption publiés par la CNIL, en application de l'article 82 de la loi Informatique et Libertés, dont la CNIL précise la portée dans ses lignes directrices et sa recommandation « cookies et autres traceurs »). Les critères tiennent en quelques lignes :

• finalité limitée à la mesure d'audience et à l'amélioration du site, pour le seul compte de l'éditeur ;
• aucun recoupement avec d'autres traitements, aucun suivi de la navigation sur d'autres sites ;
• données agrégées, non transmises à des tiers ;
• durée de vie des traceurs plafonnée à 13 mois, sans prolongation automatique à chaque visite — sans objet si l'outil ne dépose rien ;
• durée de conservation des données limitée — la CNIL retient 25 mois comme repère ;
• information des visiteurs et possibilité de s'opposer à la mesure, même sans consentement à recueillir.

Un outil qui coche ces cases peut fonctionner sans demander l'autorisation. Certains, comme celui que j'utilise, vont plus loin en ne déposant aucun cookie. Attention au raccourci fréquent : l'article 82 ne parle pas de « cookies » mais de toute écriture ou lecture dans le terminal du visiteur — le stockage local du navigateur y est soumis au même titre. On ne sort donc pas du champ de la loi en supprimant les cookies : on entre dans le régime d'exemption, parce que la finalité reste la seule mesure d'audience du site. Beaucoup d'outils qui se présentent comme « sans cookie » s'arrêtent au mot au lieu de regarder la finalité.

Le point de bascule n'est pas technique, il est contractuel : à qui profitent les données ? Tant que la réponse est « à vous seul », l'exemption s'applique.

Ce qui tourne sur ce site : un analytics sans cookies auto-hébergé

Un analytics sans cookies est un outil de mesure d'audience qui ne dépose ni cookie ni identifiant persistant sur le terminal du visiteur, et qui n'exploite les données que pour le compte de l'éditeur du site.

Chez Phénix Tech, ce blog sert de banc d'essai. La mesure d'audience de phenix-tech.fr repose sur Umami, un outil open source que j'héberge moi-même sur mon serveur en France, à côté des autres services de l'entreprise. Trois décisions structurent l'installation.

1. Le script est servi par le site lui-même

Le script de mesure n'est pas appelé sur un domaine tiers : il est distribué par le site, sous un chemin qui lui appartient, et le reverse proxy le relaie en interne vers l'outil. Conséquence directe : aucune requête ne part vers un serveur externe, le navigateur ne contacte que phenix-tech.fr. Cela règle au passage le problème des bloqueurs de publicité, qui filtrent les domaines d'analytics connus et créent des trous béants dans les statistiques.

Le poids compte aussi. Loader plus tracker, l'ensemble pèse environ 7 Ko, mesuré le 24 août 2026 (3,4 Ko une fois compressé) — le script de Google Analytics 4 se compte, lui, en dizaines de kilo-octets, chargés depuis un domaine tiers avec la latence associée.

2. L'adresse IP n'est jamais enregistrée — mais elle est bien reçue

Umami ne stocke pas les adresses IP. Ce n'est pas une option à cocher, c'est une propriété du schéma : en interrogeant la base de mon instance, on ne trouve aucune colonne d'adresse IP dans les dix-neuf tables. Il n'y a rien à désactiver, parce qu'il n'y a nulle part où l'écrire.

En revanche — et c'est le genre de nuance qu'on trouve rarement écrite — l'outil reçoit l'adresse IP. Elle lui sert à deux choses : dériver un identifiant de session, et déterminer une localisation approximative. Elle est ensuite écartée sans être conservée. J'ai longtemps cru le contraire, jusqu'à vérifier : mon reverse proxy retire bien un en-tête d'IP, mais pas pour anonymiser. Il retire celui qu'un visiteur pourrait falsifier, pour que personne ne puisse maquiller l'IP vue par l'outil. La preuve que l'adresse arrive quand même ? Les statistiques affichent des villes. Sans IP, ce serait impossible.

Et puisqu'on y est, autant aller au bout. Cet identifiant de session est un hachage non réversible, mais il reste le même tant que l'adresse IP et le navigateur ne changent pas : sur mes propres données, certaines sessions réapparaissent jusqu'à vingt jours plus tard. Les statistiques qui en sortent sont agrégées ; les données qui servent à les produire, elles, sont pseudonymisées, pas anonymes. Ça ne change rien à l'exemption de bandeau — elle porte sur ce qu'on écrit dans le terminal du visiteur, et j'y écris un seul indicateur de session. Ça change en revanche une chose : le RGPD s'applique, la base légale est l'intérêt légitime, et un droit d'opposition est dû. Il est en bas de ma politique de confidentialité, en un clic, sans formulaire.

Ce qui reste collecté est volontairement pauvre : page consultée, source du trafic, type d'appareil, navigateur, langue, et localisation à l'échelle de la ville — la granularité maximale que la CNIL admet pour un outil exempté. De quoi savoir si un article intéresse ou pas, rien de plus. Aucun événement personnalisé n'est enregistré sur ce site : sur les 359 visites mesurées depuis avril 2026, 359 sont de simples pages vues.

3. Le vrai bruit, ce sont les robots

C'est l'enseignement le moins attendu de ces derniers mois. Le principal ennemi de la fiabilité des chiffres n'est ni le RGPD ni les bloqueurs : ce sont les robots. Beaucoup se déclarent honnêtement et sont filtrés d'office ; les crawlers d'IA et les outils d'analyse SEO, eux, se font passer pour de vrais navigateurs.

En juillet 2026, en creusant des pics de trafic incohérents, le profil était sans ambiguïté : des visites de moins de six secondes, sans le moindre mouvement de souris, de défilement ou de frappe clavier. Un humain ne se comporte pas ainsi. J'ai donc ajouté deux filtres successifs avant même le chargement du script de mesure : un contrôle des marqueurs d'automatisation du navigateur, puis une attente d'un signal d'interaction réel — un déplacement de pointeur, un défilement, une touche. Sans interaction, pas de visite comptabilisée.

Le résultat est un tableau de bord ennuyeux, avec des chiffres plus petits. Ce sont les bons.

Ce qu'on perd, ce qu'on gagne

Par honnêteté, l'échange n'est pas gratuit. Ce que vous perdez en quittant Google Analytics :

• l'attribution multi-canal fine et les entonnoirs de conversion complexes ;
• la connexion native aux régies publicitaires (Google Ads, remarketing) ;
• le suivi fiable d'un même visiteur dans la durée — l'identifiant ne tient qu'aussi longtemps que son adresse IP et son navigateur, et se rompt au premier changement de réseau.

C'est le même arbitrage que pour le stockage de fichiers, où quitter Google Drive impose de renoncer à quelques automatismes en échange du contrôle : je l'ai raconté dans mon retour d'expérience sur Nextcloud.

Ce que vous gagnez : plus de bandeau, un site plus rapide, une conformité qui tient en un paragraphe, des données qui restent en France, et surtout des chiffres qui ne dépendent plus du taux d'acceptation d'une fenêtre modale.

Le poids d'Umami a été mesuré le 24 août 2026 sur les fichiers réellement servis par ce site ; celui de Matomo sur le fichier distribué par son éditeur, à la même date. Celui de Google Analytics 4 varie selon les modules activés.

L'arbitrage se tranche en une question : faites-vous de l'acquisition payante ? Si vous pilotez des campagnes Ads avec un budget conséquent, l'écosystème Google garde un intérêt réel. Pour un site vitrine, un blog ou une activité de service qui vit du référencement naturel et du bouche-à-oreille — l'immense majorité des TPE — l'outil complexe ne sert à rien d'autre qu'à imposer un bandeau.

Par où commencer, concrètement

1. Inventoriez ce qui se charge vraiment. Ouvrez l'onglet réseau de votre navigateur sur votre page d'accueil et listez les domaines contactés. Les polices Google, les vidéos embarquées et les pixels sociaux se cachent souvent derrière un site « sans analytics ».
2. Choisissez un outil exempté — Umami, Plausible ou Matomo correctement configuré — hébergé en Europe, ou chez vous. Si l'auto-hébergement vous tente, le calcul économique n'est pas toujours celui qu'on croit : je l'ai détaillé sur le coût réel du self-hosted face au cloud.
3. Rapatriez les ressources externes (polices, scripts) sur votre propre domaine. Une police chargée chez Google ne dépose pas de cookie — elle ne déclenche donc pas le bandeau — mais elle transmet l'adresse IP de chaque visiteur à un serveur américain, ce qui pose un autre problème : le transfert hors Union européenne. Une vidéo embarquée, elle, dépose bien des cookies et suffit à imposer un bandeau à elle seule.
4. Mettez à jour vos documents : politique de confidentialité et registre des activités de traitement. L'exemption de consentement n'est pas une exemption d'information.
5. Retirez le bandeau, et vérifiez pendant un mois que vos chiffres restent cohérents.

Comptez une demi-journée sur un site vitrine standard. La partie longue n'est jamais l'installation de l'outil : c'est la chasse aux ressources tierces héritées du thème ou de l'agence précédente.

Questions fréquentes

Cet article décrit une configuration réelle et l'état des critères d'exemption publiés par la CNIL en août 2026. Il ne constitue pas un conseil juridique : chaque site a ses propres traceurs, et seule une revue de ce qui se charge réellement chez vous permet de conclure.