En bref
Un bandeau cookies n'est pas obligatoire pour compter ses visites. La CNIL dispense de consentement les traceurs de mesure d'audience à condition qu'ils servent uniquement à produire des statistiques anonymes pour le seul compte de l'éditeur du site, sans recoupement avec d'autres traitements, sans transmission de données non anonymes à des tiers et sans suivre la personne d'un site à l'autre. Un outil dont le fournisseur réutilise les données pour son propre compte sort de ce cadre. Même sans bandeau, il faut informer les visiteurs de la présence de ces traceurs, par exemple dans la politique de confidentialité.
Les points essentiels
- Compter ses visites et suivre les gens pour de la publicité sont deux choses différentes. Seule la première peut se passer du consentement.
- Quatre conditions à réunir : finalité limitée à la mesure d'audience du site, pour le compte exclusif de l'éditeur, statistiques anonymes uniquement, aucun suivi d'un site à l'autre (CNIL, 2025).
- La CNIL ne certifie et ne valide aucun outil. Depuis juillet 2025, c'est le fournisseur qui s'auto-évalue et doit vous remettre sa documentation.
- En France, 71 % des personnes qui répondent à un bandeau acceptent, la proportion la plus basse d'Europe de l'Ouest (Didomi, 2026).
Votre site affiche un bandeau cookies. Vous l’avez installé parce qu’on vous a dit qu’il fallait le faire, et personne ne vous a demandé pourquoi.
Depuis, deux choses vous agacent. Le bandeau est la première chose que voit un visiteur, avant votre offre. Et les chiffres qui remontent ensuite ne collent pas : votre outil annonce trois cents visites quand votre boîte mail raconte une tout autre histoire.
Les deux problèmes ont la même origine. Le bandeau n’est pas une obligation qui pèse sur tous les sites : il dépend de ce que vous mesurez et de l’outil que vous avez choisi. Cet article explique dans quels cas vous pouvez vous en passer, ce qui vous en empêche, et comment vérifier avant de retirer quoi que ce soit.
Compter ses visites, ce n’est pas suivre les gens
La confusion vient d’un raccourci répandu : « on met des cookies, donc il faut un bandeau ». La loi ne dit pas cela.
L’article 82 de la loi Informatique et Libertés impose de recueillir le consentement avant de déposer ou de lire une information sur le terminal d’un visiteur, sauf quand l’opération est strictement nécessaire à la fourniture du service. C’est cette exception qui compte ici.
Deux usages se cachent derrière le même mot :
- Compter. Savoir combien de personnes sont venues, par quelles pages elles sont entrées, quels contenus elles ont lus, si quelque chose casse sur téléphone. Cela sert à faire tourner le site.
- Suivre. Reconnaître une personne d’un site à l’autre, lui montrer une publicité ailleurs, attribuer une vente à une campagne, alimenter un profil publicitaire. Cela ne sert pas à faire tourner le site.
Le second usage exige un consentement, sans discussion possible. Le premier peut en être dispensé, à condition de rester dans un cadre précis.
Les conditions posées par la CNIL
La CNIL les a rassemblées dans une page de référence publiée le 4 juillet 2025. Elles se lisent en deux colonnes.
| Le traceur doit | Le traceur ne doit pas |
|---|---|
| Servir une finalité strictement limitée à la mesure d’audience du site ou de l’application : performances, détection de problèmes de navigation, ergonomie, analyse des contenus consultés, estimation de la puissance serveur nécessaire | Conduire à un recoupement des données avec d’autres traitements, ni à la transmission de données non anonymes à des tiers |
| Travailler pour le compte exclusif de l’éditeur du site | Permettre de suivre la navigation d’une personne sur plusieurs sites ou applications |
| Produire des données statistiques anonymes, et rien d’autre | Utiliser un identifiant commun à plusieurs sites pour croiser les visites ou mesurer une couverture unifiée |
Le dernier point exclut mécaniquement toute solution qui pose un traceur sur un domaine tiers chargé par des milliers de sites. C’est le principe même de plusieurs outils gratuits du marché.
Les durées à tenir
Trois recommandations complètent le cadre : une durée de vie des traceurs limitée à ce qui permet de comparer les audiences dans le temps, treize mois étant cité en exemple, sans prorogation automatique à chaque nouvelle visite ; une conservation des informations collectées de vingt-cinq mois au maximum ; un réexamen périodique de ces deux durées (CNIL, 2025).
Sans bandeau ne veut pas dire sans rien dire
C’est le point que la plupart des sites oublient. Même dispensé de consentement, l’éditeur doit informer ses visiteurs de la présence de ces traceurs et de ce à quoi ils servent. La politique de confidentialité est l’endroit prévu pour cela.
Retirer le bandeau vous dispense de demander une autorisation. Cela ne vous dispense pas d’être transparent, au même titre que les informations d’identification que votre site doit publier par ailleurs, détaillées dans notre article sur les mentions légales.
Le raccourci qui coûte cher. Retirer le bandeau sans changer d'outil ne rend pas l'outil conforme : cela supprime simplement la seule chose qui le rendait acceptable. L'ordre correct est d'abord de vérifier l'outil, ensuite de retirer le bandeau.
Pourquoi les outils les plus répandus n’entrent pas dans cette case
La CNIL ne cite aucune marque, mais elle est explicite sur le critère : certaines offres de mesure d’audience sortent du périmètre de l’exemption, notamment lorsque leurs fournisseurs indiquent réutiliser les données pour leur propre compte. Elle ajoute que, dans certains cas, il est possible de configurer ces outils pour désactiver cette réutilisation.
Traduit pour un dirigeant : un outil gratuit l’est rarement sans contrepartie. Quand le fournisseur se réserve le droit d’exploiter les données de fréquentation pour améliorer ses propres services ou ses produits publicitaires, la condition du « compte exclusif de l’éditeur » tombe, et le consentement redevient obligatoire.
La question à poser à votre prestataire est donc simple, et elle tient en une phrase : est-ce que le fournisseur de cet outil réutilise mes données pour son compte, oui ou non, et où est-ce écrit ?
L’exemption ne règle pas la question des transferts
C’est le piège le plus fréquent, parce que les deux sujets sont voisins sans être liés.
La CNIL le dit sans détour : le fait qu’un outil de mesure d’audience soit exempté de consentement est sans incidence sur les questions relatives aux transferts de données hors de l’Union européenne (CNIL, 2023). Un outil peut donc être dispensé de bandeau et poser malgré tout un problème sur les données envoyées à l’étranger.
Il existe des parades techniques, notamment le passage par un serveur intermédiaire qui coupe le contact direct entre le navigateur du visiteur et les serveurs de l’outil. La CNIL en détaille les conditions, et prévient qu’elles sont coûteuses et complexes. Elle indique dans le même document qu’il est aussi possible de recourir à une solution qui ne réalise aucun transfert en dehors de l’Union européenne.
Pour une PME, la deuxième voie est la seule raisonnable. Monter un serveur intermédiaire correctement configuré coûte plus cher que toute l’analyse d’audience d’un site vitrine sur cinq ans.
Comment vérifier avant de choisir
Depuis juillet 2025, la CNIL a changé de méthode. Elle n’évalue plus les solutions une par une : elle met à disposition des fournisseurs un outil d’auto-évaluation, à eux de déterminer si leur solution peut être configurée pour entrer dans le champ de l’exemption.
Trois conséquences pratiques pour vous :
- Aucun outil n’est « certifié CNIL ». La CNIL interdit expressément à un fournisseur de présenter sa solution comme certifiée ou validée par elle, et d’utiliser son logo ou un logo qui en dériverait. Une page commerciale qui affiche l’un ou l’autre vous renseigne déjà sur le sérieux de la maison.
- La formule correcte est balisée. La CNIL recommande aux fournisseurs d’écrire que, d’après leur auto-évaluation, leur solution est conforme aux critères qu’elle a établis et peut être mise en œuvre sans consentement si elle est correctement configurée. Rien de plus.
- Demandez les documents. Le fournisseur doit pouvoir vous remettre une documentation démontrant le respect des critères, et vous aider à configurer la solution : guide de paramétrage, prestation de conseil ou réglage effectué par ses soins.
Ce dernier point n’est pas une formalité. En cas de contrôle, la CNIL vérifie si les conditions de l’article 82 sont effectivement respectées, et la responsabilité de l’éditeur du site peut être engagée au même titre que celle du fournisseur. Autrement dit, vous ne pouvez pas vous retrancher derrière la promesse commerciale de votre outil.
Ce que le bandeau vous coûte en visibilité sur vos propres chiffres
Un argument revient souvent : « de toute façon les gens acceptent ». Les chiffres disent autre chose.
D’après le baromètre annuel de Didomi, publié en janvier 2026 à partir des choix collectés en 2025 sur plusieurs centaines de millions d’interactions en Europe, la France affiche un taux de consentement de 71 %, le plus bas d’Europe de l’Ouest, région déjà dernière du continent à 75,1 % face à 89,3 % en Europe de l’Est.
Ce taux ne compte que les personnes qui répondent. Rapporté au nombre de bandeaux affichés, le taux d’acceptation tombe à 55,7 % en Europe de l’Ouest, parce que 21,7 % à 27,4 % des visiteurs, selon les régions, ne répondent pas du tout et laissent le bandeau sans réponse (Didomi, 2026).
Le point à retenir. Un taux de consentement bas ne veut pas dire que votre trafic a baissé. Les visiteurs sont là, ils ne sont simplement pas comptés. Un outil dispensé de consentement mesure tout le monde ; un outil soumis au bandeau mesure à peu près la moitié des visites et vous laisse deviner le reste.
Pour un site qui reçoit trente demandes par mois, cette différence n’est pas théorique. Elle décide si vous savez ou non d’où viennent vos clients, et c’est exactement le genre de zone d’ombre qui rend impossible le suivi mois par mois dont nous parlons dans notre article sur les délais pour être visible sur Google.
Les quelques indicateurs qui servent vraiment
Une fois la question de l’outil réglée, reste celle des chiffres à regarder. Sur le site d’une PME, quatre suffisent.
Les pages d’entrée. Par quelle page les visiteurs arrivent-ils ? Sur le site d’un restaurant, si tout le monde entre par la carte et personne par la page d’accueil, cela change ce que vous mettez en avant et ce que vous faites vivre. Le principe vaut pour n’importe quelle activité : chez un artisan du bâtiment, ce sera plutôt une page de prestation précise. La page qui reçoit le trafic mérite votre attention avant les autres.
Les demandes reçues, comptées à la source. Le nombre d’appels et de formulaires se compte dans votre boîte mail et sur votre téléphone, pas dans un outil de mesure. C’est le seul chiffre que le consentement n’abîme jamais.
Les requêtes de la Search Console. L’outil gratuit de Google vous dit sur quelles recherches votre site apparaît, combien de fois, et combien de personnes cliquent. Il compte du côté du moteur de recherche et ne dépose rien chez vos visiteurs : le bandeau n’a aucune prise dessus.
L’évolution, pas le niveau. Une visite de plus ou de moins ne veut rien dire. Comparez un mois au même mois de l’année précédente, c’est la seule lecture qui tienne quand l’activité est saisonnière.
Tout le reste, taux de rebond, durée moyenne de session, carte de chaleur, sert à alimenter des tableaux de bord que personne ne lit. Nous détaillons dans notre audit SEO comment relier ces quelques indicateurs à des décisions concrètes plutôt qu’à des rapports mensuels.
En résumé
La question n’est pas « faut-il un bandeau ». Elle est « qu’est-ce que je mesure, et avec quel outil ».
Si vous vous contentez de compter vos visites, avec un outil qui ne travaille que pour vous, ne recoupe rien et ne suit personne d’un site à l’autre, vous pouvez retirer le bandeau et gagner à la fois en clarté pour vos visiteurs et en précision sur vos chiffres. Si vous faites de la publicité en ligne, ou si vous avez intégré des vidéos et des cartes qui déposent leurs propres traceurs, le bandeau reste obligatoire, et le sujet rejoint la mise en conformité d’ensemble que nous traitons dans notre article sur le RGPD appliqué au site d’une PME.
Dans les deux cas, l’ordre des opérations est le même : on vérifie l’outil, on documente, puis seulement on touche au bandeau. C’est un des points que nous passons en revue quand nous reprenons un site existant, au même titre que sa vitesse et sa structure, dans notre travail de création et de refonte de site.
Vous ne savez pas dans quelle case vous vous trouvez ? Dites-nous quels outils tournent aujourd’hui sur votre site, nous vous dirons ce qui peut sauter et ce qui doit rester.
