La promesse du “aucune bannière nécessaire”

Les outils d’analytique axés sur la vie privée se présentent souvent comme sans cookies, et certains vont plus loin en laissant entendre que vous n’avez plus besoin de bannière de consentement. Pour un éditeur à la stack allégée, l’idée est séduisante. La réalité est plus nuancée. La nécessité du consentement dépend de ce que fait réellement l’outil sur l’appareil, des données qu’il traite, de l’endroit où se trouvent vos utilisateurs et de ce qui s’exécute d’autre sur vos pages.

Cet article présente les questions à se poser avant de retirer l’analytique de votre configuration de consentement. Il s’agit d’un guide général, pas d’un avis juridique.

Les cookies ne sont pas le seul déclencheur

Dans l’UE, la règle du consentement pour les appareils découle de l’article 5, paragraphe 3, de la directive ePrivacy. Elle couvre le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à des informations qui s’y trouvent — et pas seulement les cookies. Le stockage local, le stockage de session, les pixels qui provoquent la lecture d’informations et les techniques qui dérivent des identifiants à partir des caractéristiques de l’appareil peuvent tous en relever. Le Comité européen de la protection des données a exposé cette lecture large dans ses lignes directrices 2/2023 sur le champ d’application technique de l’article 5, paragraphe 3.

Ainsi, “nous ne déposons pas de cookies” est le début de l’analyse, pas sa fin. Vous devez savoir si l’outil stocke ou lit quoi que ce soit sur l’appareil.

Quatre questions à poser à tout outil d’analytique

1. Stocke-t-il ou lit-il quelque chose sur l’appareil ?

Consultez les panneaux de stockage du navigateur après le chargement d’une page : cookies, stockage local, stockage de session, IndexedDB. Examinez le script pour y repérer du code qui collecte les caractéristiques de l’appareil afin de construire un identifiant. Si quoi que ce soit est stocké ou lu à des fins d’analytique, la règle ePrivacy s’applique, sauf exemption.

2. Traite-t-il des données personnelles ?

Même sans stockage sur l’appareil, l’analytique traite généralement des adresses IP, des user agents et des URL de pages. Au titre du RGPD, ces éléments peuvent être des données personnelles. Cela exige une base juridique — qui peut être l’intérêt légitime plutôt que le consentement — ainsi que de la transparence dans votre politique de confidentialité, une minimisation des données et une conservation appropriée. “Pas de bannière” ne signifie jamais “pas d’obligations”.

3. Une exemption s’applique-t-elle dans les pays de vos utilisateurs ?

Certaines autorités de contrôle reconnaissent qu’une mesure d’audience limitée peut être exemptée de consentement si des conditions strictes sont remplies. La CNIL française a publié des conditions d’exemption pour les traceurs de mesure d’audience et tient un programme identifiant les outils pouvant être configurés pour les respecter. Ces conditions comprennent généralement un usage strictement en première partie, des statistiques agrégées uniquement, aucun suivi intersites et une conservation limitée. La loi britannique Data (Use and Access) Act 2025 a introduit de nouvelles exceptions à l’exigence de consentement du PECR, notamment pour certaines finalités statistiques, sous réserve de conditions telles qu’une information claire et un moyen de s’opposer. Tous les pays n’adoptent pas la même position ; vérifiez donc la situation dans chaque marché que vous servez et quelles dispositions sont en vigueur.

4. Les données sont-elles partagées avec quelqu’un d’autre ?

Si l’outil envoie des données à un fournisseur qui les utilise pour ses propres finalités, ou les combine entre clients, les exemptions tombent généralement. Lisez les conditions de traitement, pas seulement la page marketing.

Ce qui nécessite encore généralement un consentement

• Les balises publicitaires. Les éditeurs financés par la publicité ont besoin du consentement pour la publicité personnalisée et pour le stockage sur l’appareil par les fournisseurs publicitaires, quel que soit leur outil d’analytique.
• Les outils à identifiants persistants entre sessions. Des identifiants de visiteur persistants, même en première partie, tendent à placer un outil hors de la plupart des exemptions.
• La relecture de session et les cartes de chaleur. Ils capturent un comportement détaillé et sont rarement considérés comme une mesure exemptée.
• Les contenus intégrés et les widgets sociaux. Ils déposent leurs propres cookies et identifiants.
• Les pixels de conversion et de remarketing. Ils existent pour relier le comportement à la publicité.

Pour la plupart des sites financés par la publicité, la bannière est de toute façon requise pour la pile publicitaire. La vraie question est de savoir si l’analytique doit faire partie des catégories soumises au consentement ou si elle peut fonctionner indépendamment au titre d’une exemption étroite.

Une méthode pratique pour décider

1. Listez chaque script d’analytique et ce qu’il stocke, lit et envoie.
2. Identifiez les pays où se trouve la majorité de vos utilisateurs.
3. Pour chaque outil, vérifiez si sa configuration répond à une exemption reconnue dans ces pays.
4. Configurez l’outil selon la version la plus stricte dont vous avez besoin : troncature des IP, aucun identifiant persistant, conservation courte, aucun partage de données.
5. Documentez le raisonnement et gardez l’outil d’analytique mentionné dans votre politique en matière de cookies et votre politique de confidentialité dans tous les cas.
6. Revérifiez lorsque le fournisseur modifie son produit ou que vos marchés changent.

Faire fonctionner une analytique exemptée à côté d’un CMP

Si vous décidez qu’un outil remplit les conditions, déclarez-le dans votre CMP comme strictement nécessaire ou exempté, afin qu’il soit communiqué mais non soumis au consentement, et veillez à ce que sa configuration reste dans le cadre de l’exemption. De nombreux éditeurs conservent aussi une configuration d’analytique dépendante du consentement pour une mesure plus riche, et utilisent Google Consent Mode v2 ou des signaux similaires pour l’ajuster selon le choix de l’utilisateur. FlexyConsent prend en charge Google Consent Mode v2 en plus de l’IAB TCF 2.4 et de l’IAB GPP v1.1.

Points clés à retenir

• “Sans cookies” ne signifie pas automatiquement “consentement inutile” ; l’article 5, paragraphe 3, couvre tout stockage ou accès sur l’appareil.
• Une analytique sans stockage sur l’appareil peut quand même traiter des données personnelles et nécessite une base juridique et de la transparence.
• Des exemptions pour la mesure d’audience existent dans certains pays, mais elles s’accompagnent de conditions strictes.
• La publicité, la relecture de session et les balises de remarketing nécessitent toujours un consentement.
• Documentez pourquoi un outil est traité comme exempté et revérifiez régulièrement.