Prenons un exemple fictif. Une entreprise de dépannage commande une refonte pour mieux présenter trois services. Dans le devis, une ligne paraît rassurante : « Statistiques sans cookies, aucun bandeau nécessaire ». Lors de la livraison, le tableau de bord propose aussi de reconnaître les prospects et de créer des audiences publicitaires. Le dirigeant voulait savoir quelles pages étaient consultées. Il découvre un dispositif dont les usages dépassent cette demande.
Le problème n’est pas la couleur du tableau de bord. C’est l’écart entre une promesse commerciale et le traitement effectivement installé. Avant d’accepter la prestation, il faut préciser ce qui est collecté, pour quelle finalité, qui peut l’utiliser et quelles preuves accompagnent les réglages.
« Sans cookies » ne décrit ni la finalité ni toutes les obligations
L’absence de cookie est une caractéristique technique. Elle ne démontre pas, à elle seule, qu’un dispositif est exempté de consentement ni qu’il respecte l’ensemble des règles applicables. À l’inverse, certains traceurs de mesure d’audience peuvent bénéficier d’une exemption sous conditions : l’expression « sans consentement » ne signifie donc pas nécessairement « sans traceur ».
La CNIL explique les conditions de cette exemption. Les traceurs doivent être strictement nécessaires au service demandé et avoir une finalité limitée à la mesure de l’audience, pour le compte exclusif de l’éditeur. Ils doivent servir uniquement à produire des statistiques anonymes, sans suivi global de la navigation entre différents sites ou applications, sans recoupement avec d’autres traitements ni transmission des données à des tiers.
Concrètement, compter les consultations d’une page de service n’a pas le même objectif que rattacher chaque consultation à une fiche nominative. Une finalité décrit le but ; un destinataire désigne celui qui reçoit les données ; une réutilisation correspond à un autre usage, par exemple pour les besoins propres du fournisseur. Ces différences doivent apparaître dans le dossier, pas seulement dans une conversation commerciale.
Enfin, un compteur correctement cadré ne règle pas le cas des autres composants : publicité, vidéos intégrées ou services tiers peuvent appeler une analyse distincte. Ne réceptionnez pas une promesse de suppression générale du bandeau sur la seule base du choix de l’outil analytics.
Au devis, remplacer le nom du logiciel par un périmètre
Une PME n’a pas besoin de devenir experte en traceurs pour poser de bonnes questions. Elle peut demander une annexe courte : les domaines concernés, les événements mesurés, les exclusions et les responsables. Par exemple, « consultation des pages services et comptage agrégé des clics sur le bouton de contact » est plus vérifiable que « suivi complet du parcours client ». Ce périmètre proposé reste à examiner au regard de la configuration réelle ; ce n’est pas une validation automatique de l’exemption.
Le fournisseur doit également expliquer ce qu’il fait des données. La CNIL demande, pour bénéficier de l’exemption, un engagement contractuel de non-réutilisation ainsi que les indications de paramétrage à suivre. Un hébergement annoncé en Europe ne remplace pas ces documents. Les éventuels transferts hors de l’Union européenne doivent aussi être examinés.
Pour plusieurs sites, demandez comment les données et traceurs sont séparés. La CNIL envisage un service comparatif entre éditeurs sous réserve d’une collecte, d’un traitement et d’un stockage indépendants pour chacun, avec des traceurs indépendants. Un tableau de bord commun ne prouve donc ni une séparation correcte ni, à lui seul, une irrégularité : il faut regarder ce qu’il rassemble réellement.
Le tableau de réception à joindre à la livraison
Voici un modèle pédagogique, et non le compte rendu d’un audit client. Chaque preuve doit correspondre à la version effectivement livrée.
| Point à réceptionner | Preuve à demander | Ce qui ne suffit pas |
|---|---|---|
| Finalité et périmètre | Sites concernés, événements utiles, exclusions et responsable | « Analytics inclus » |
| Destinataires et réutilisation | Engagement fournisseur, sous-traitance et usages décrits | Logo connu ou hébergement européen annoncé |
| Séparation des sites | Réglages des identifiants et explication des périmètres | Capture du tableau de bord du groupe |
| Durées | Réglages des traceurs, conservation des données, renouvellement et purge | Valeurs par défaut non expliquées |
| Données transmises | Exemple expurgé des URL, événements et destinations réseau | Courbe de fréquentation |
| Information des visiteurs | Texte cohérent avec le dispositif réellement installé | Politique copiée d’un autre site |
| Recette et maintenance | Date, version, responsable, limites et contrôle après changement | « Installé donc conforme pour toujours » |
Le bénéfice est aussi opérationnel. Si l’agence change, la suivante doit pouvoir comprendre le dispositif. Si un graphique devient vide, vous devez savoir quelle collecte était attendue. Et si une nouvelle fonction est ajoutée, le dossier permet de repérer qu’elle n’appartient pas au périmètre accepté.
Treize mois et vingt-cinq mois : deux objets différents
Dans sa page de référence, la CNIL recommande une durée de vie des traceurs permettant une comparaison pertinente des audiences, comme treize mois, sans prorogation automatique lors des nouvelles visites. Elle recommande également une conservation des informations collectées limitée à vingt-cinq mois maximum, avec un réexamen périodique pour rester au strict nécessaire.
Ces chiffres ne sont pas interchangeables. Le premier concerne la durée du traceur ; le second, celle des informations collectées. Ils ne constituent pas une permission générale de conserver toute donnée pendant vingt-cinq mois. Demandez où les durées sont configurées, ce qui déclenche l’effacement et comment la nécessité d’une conservation est réévaluée.
La page consultée porte la date du 27 janvier 2020 : ces recommandations ne sont pas une nouvelle règle annoncée en septembre 2026. Il faut les appliquer au dispositif réel, sans transformer un seuil cité dans un article en certificat de conformité.
Rejouer une visite : observer sans fabriquer de données sensibles
Sur un environnement autorisé, le prestataire peut rejouer un parcours simple : ouvrir une page de service, consulter une seconde page et cliquer sur le bouton de contact. Il décrit les événements attendus, observe les requêtes émises et compare le résultat au périmètre convenu. Aucun besoin de transmettre une véritable demande client pour ce contrôle.
Les vérifications utiles portent sur les destinations réseau, les noms d’événements et leurs paramètres, ainsi que sur les URL transmises. Une adresse email dans un paramètre de page, le contenu d’un formulaire ou un identifiant CRM ne doivent pas se glisser dans ce scénario de mesure agrégée. Les captures partagées sont expurgées ; aucun accès secret ni donnée de prospect n’est nécessaire dans un premier échange.
Lorsque d’autres outils sont soumis au choix du visiteur, le parcours doit également être examiné dans les états pertinents, notamment avant choix et après refus. Le but est de vérifier que le comportement observé correspond à la séparation annoncée, pas de conclure qu’un outil exempté dispense tous les autres de leurs obligations.
Ce test a une limite importante : le navigateur montre ce qui part, pas tout ce que le fournisseur fera ensuite. La conservation réelle et l’absence de réutilisation ne se prouvent pas uniquement avec une capture réseau. Les observations doivent être rapprochées des réglages, des engagements et des informations contractuelles.
Trois scènes à ajouter à la recette du prestataire
Ces situations sont fictives et servent à préparer les tests, pas à déclarer un site conforme. Utilisez uniquement des valeurs de démonstration dans un environnement autorisé.
La page de remerciement trop bavarde. Après un formulaire de devis, l’adresse affichée contient un paramètre email=VALEUR_TEST. Si l’outil transmet l’URL complète, une donnée inutile au comptage peut rejoindre la collecte. Demandez une correction à la source et un contrôle du paramétrage de collecte : masquer une colonne du tableau de bord ne prouve pas que la donnée n’a pas été envoyée. La preuve attendue est une nouvelle observation de la requête, rapprochée du réglage appliqué. Une mesure prise aujourd’hui ne démontre pas non plus l’effacement d’un historique éventuel ; celui-ci doit être examiné séparément.
Le clic qui raconte plus que prévu. Un bouton « Demander un devis » peut être compté sans recopier le texte saisi dans le formulaire. Le prestataire relève le nom de l’événement et ses paramètres : décrit-il le bouton et la page, ou emporte-t-il aussi le message du visiteur et un identifiant de contact ? Dans notre scénario de mesure agrégée, le second résultat appelle une correction, puis un nouveau test. Ne remplissez pas le formulaire avec une demande réelle pour obtenir cette preuve.
Le refus qui ne concerne qu’une partie du site. Le compteur présenté comme exempté continue éventuellement à fonctionner après refus, mais cela ne justifie pas le démarrage d’une balise publicitaire. Demandez deux observations distinctes, dans des sessions de test séparées : avant tout choix, puis après refus. Identifiez les requêtes de chaque composant au lieu de conclure « tout passe » ou « tout doit s’arrêter » à partir d’un seul graphique. L’exemption du compteur reste à établir par le dossier complet ; le test du navigateur ne la crée pas.
Pour chaque scène, la fiche de recette garde le résultat attendu, le résultat observé, la date, la version et la référence de la preuve expurgée. Si une correction est nécessaire, elle reste ouverte jusqu’au nouveau contrôle. Si la collecte passe par votre propre serveur, faites également documenter les envois réalisés ensuite : le seul nom de domaine visible dans le navigateur ne décrit pas tous les destinataires.
Ne pas transformer le compteur de visites en CRM invisible
Revenons à notre entreprise fictive. Elle peut vouloir savoir si sa page dépannage est consultée ; elle peut aussi vouloir relancer une personne identifiée. Ce sont deux besoins à distinguer. Retargeting, profilage et rapprochement individuel avec le CRM ne doivent pas être inclus artificiellement dans une exemption présentée comme de la simple mesure d’audience.
Une collecte correctement installée ne prouve d’ailleurs pas qu’une visite a produit une vente. Notre article sur la différence entre impressions, visites et clients traite cette interprétation commerciale. Ici, l’enjeu vient en amont : savoir ce que les indicateurs mesurent et comment ils sont produits. Pour une démarche d’optimisation SEO, quelques indicateurs fiables et bien définis valent mieux qu’un suivi étendu dont personne ne peut expliquer les limites.
Accepter la prestation, demander une correction ou différer la réception
La réception peut tenir dans une fiche : version livrée, périmètre, preuves, limites connues, personne responsable et point de contrôle après évolution. Une ligne concrète pourrait indiquer : « Consultation de page service ; événement attendu : consultation agrégée ; preuve : requête expurgée et réglage correspondant ; résultat : à tester ». Tant que le test n’a pas été exécuté, cette ligne reste un exemple, pas un résultat acquis.
Si une destination réseau inattendue apparaît, demandez une explication et, si nécessaire, une correction suivie d’un nouveau contrôle ciblé. Si le fournisseur ne documente pas la réutilisation ou les durées, ne remplacez pas la pièce manquante par une coche verte. Différez la réception du volet concerné jusqu’à clarification. Une question juridique non résolue doit être soumise à un interlocuteur compétent ; cet article fournit un cadre de discussion et de preuve technique, pas un avis juridique individualisé.
Questions fréquentes
Sans cookies signifie-t-il automatiquement sans consentement ?
Non. Il faut examiner la finalité, les données, les usages et les conditions applicables. Le nom du produit ou une formule commerciale ne suffit pas.
Peut-on ajouter du retargeting ou relier chaque visite à un contact ?
Pas en affirmant que l’exemption audience couvre automatiquement ces usages. Il faut les séparer et faire examiner leur propre cadre avant installation.
Une capture du tableau de bord suffit-elle ?
Non. Elle montre un résultat affiché, pas l’ensemble de la collecte ou des usages aval. Demandez le périmètre, les réglages, les engagements fournisseur et une recette documentée.
Quel premier échange avec 1Design ?
Présentez votre site et ce que vous souhaitez mesurer. Nous pourrons cadrer les réglages à examiner, les preuves de réception et les limites à documenter avant de modifier votre installation. Il n’est pas nécessaire d’envoyer des identifiants d’accès ou des données clients pour décrire le besoin.
Vous voulez un site plus clair, plus crédible ou mieux pensé pour convertir ?