Sur beaucoup de sites Drupal, le bandeau de consentement n'existe que pour une seule chose : l'outil de statistiques. Pas de publicité, pas de pixel social, aucun partage avec une régie. Juste des pages vues et des sources de trafic. Et pourtant une fenêtre qui s'interpose avant la première lecture, puis une mesure qui ne porte plus que sur les visiteurs ayant accepté.
La CNIL prévoit pourtant une dérogation au consentement pour certaines mesures d'audience. Elle est documentée, et elle est étroite. Voici ce qu'elle couvre réellement, et comment la mettre en œuvre sur un site Drupal. Cet article décrit un cadre public et des pratiques d'implémentation : il ne constitue pas un conseil juridique, et l'analyse de votre situation revient à votre DPO ou à votre conseil.
Pourquoi la mesure d'audience exige en principe un consentement
L'article 82 de la loi Informatique et Libertés
Le point de départ n'est pas le RGPD seul, mais le texte issu de la directive ePrivacy. L'article 82 de la loi Informatique et Libertés impose un consentement préalable avant toute action visant à lire ou à écrire des informations dans le terminal de l'utilisateur (délibération CNIL n° 2020-091, article 2).
Le consentement est donc le principe, et l'exemption pour la mesure d'audience une dérogation encadrée. On ne retire pas un bandeau parce que l'outil « ne fait que des statistiques » : on le retire après avoir vérifié, condition par condition, que la configuration entre dans le périmètre.
Les conditions réelles de l'exemption
Finalité strictement limitée, statistiques anonymes
L'exemption suppose une finalité strictement limitée à la seule mesure d'audience du site, pour le compte exclusif de l'éditeur, et la production de données statistiques anonymes uniquement (CNIL). Le mot « exclusif » fait tout le travail : dès que le même traceur alimente du ciblage publicitaire ou du profilage, l'exemption ne s'applique plus.
Aucun croisement, aucune transmission non anonyme
Deux interdictions complètent la première : pas de suivi de la navigation sur plusieurs sites ou applications à partir d'un même identifiant, et pas de transmission de données non anonymisées à des tiers (CNIL). C'est souvent ici que les projets décrochent sans le savoir : si le fournisseur de l'outil réutilise les données pour son propre compte, la mesure sort du cadre, quel que soit le paramétrage côté site.
Des durées encadrées : 13 mois et 25 mois
La CNIL recommande une durée de vie des cookies de 13 mois au maximum, sans reconduction automatique à chaque nouvelle visite, et une conservation des données de 25 mois au maximum (CNIL). Ce sont des durées recommandées dans le cadre de l'exemption, et non des maxima légaux applicables à tous les traitements : elles donnent une cible à régler dans l'outil, puis à documenter.
Informer les personnes
La CNIL recommande que les utilisateurs soient informés de la présence de ces traceurs exemptés, par exemple via la politique de confidentialité du site (CNIL). Son texte formule une recommandation et n'en fait pas une obligation. Autant la traiter comme un prérequis : c'est l'élément le moins coûteux du dispositif.
Le choix de l'outil : auto-évaluation, pas certification
La CNIL met à disposition des fournisseurs un outil d'auto-évaluation permettant de déterminer si leur solution peut être configurée pour entrer dans le périmètre de l'exemption. Elle ne délivre aucune certification ni validation officielle (CNIL), et une auto-évaluation favorable n'empêche pas une requalification lors d'un contrôle. Méfiez-vous donc de toute solution présentée comme « certifiée CNIL » : demandez la documentation de conformité du fournisseur, puis vérifiez vous-même la configuration déployée.
La CNIL invite également à être attentif aux éventuels transferts de données hors de l'Union européenne que votre prestataire pourrait réaliser (CNIL). En pratique, ce point se traite comme les autres : une question écrite au prestataire, et la réponse consignée dans votre dossier.
Mise en œuvre sur un site Drupal
Installer et configurer l'outil
Le module Matomo publié sur drupal.org intègre le code de suivi et expose les réglages utiles : exclusion de certains rôles ou de certaines pages, prise en compte de l'en-tête DoNotTrack, chargement asynchrone. Installer le module ne suffit pas à bénéficier de l'exemption : il facilite la configuration, il ne la garantit pas.
Côté outil, une entrée de la FAQ Matomo portant sur la conformité CNIL du suivi e-commerce décrit une mesure de performance sans lien avec les individus, avec des cookies de 13 mois et une conservation des données de 25 mois (FAQ Matomo). Vérifiez dans votre propre instance les réglages d'anonymisation et le lieu d'hébergement des données, puis refaites ce contrôle après chaque mise à jour susceptible d'ajouter un script tiers.
La page d'information
Ajoutez à la politique de confidentialité une section courte et factuelle : quel outil, pour quelle finalité, quelles durées de cookie et de conservation, et où les données sont hébergées. Sur Drupal, un nœud dédié lié depuis le pied de page suffit, à condition de le maintenir à jour.
Avant de retirer le bandeau
La vérification se fait dans le navigateur, pas dans la documentation. En navigation privée, inspectez les cookies et les requêtes réseau, puis confirmez qu'aucun traceur situé hors du périmètre de l'exemption ne subsiste derrière le bandeau que vous voulez retirer. Un seul traceur soumis au consentement suffit à le rendre nécessaire. Gardez une trace de ce contrôle : liste des cookies observés, réglages de l'outil, date.
La checklist avant de supprimer le bandeau
- Finalité limitée à la seule mesure d'audience du site, pour le compte exclusif de l'éditeur.
- Données produites statistiques et anonymes uniquement.
- Aucun croisement avec d'autres traitements, aucune transmission non anonymisée à des tiers.
- Aucun suivi de la navigation sur plusieurs sites ou applications via un même identifiant.
- Cookies à 13 mois maximum sans reconduction automatique et données à 25 mois maximum, selon les durées recommandées par la CNIL.
- Documentation de conformité du fournisseur obtenue, aucune « certification CNIL » retenue comme preuve.
- Transferts de données hors de l'Union européenne vérifiés auprès du prestataire.
- Politique de confidentialité à jour, mentionnant les traceurs exemptés.
- Contrôle navigateur réalisé : aucun traceur hors exemption présent sans consentement.
Si une seule ligne reste incertaine, gardez le bandeau et traitez l'écart. Le gain d'une mesure complète ne vaut pas une non-conformité.
Vous voulez savoir si votre mesure d'audience entre dans le périmètre de l'exemption, et ce qu'il faudrait changer pour y entrer ? DrupaLabs réalise un audit de conformité de la mesure d'audience sur votre site Drupal : inventaire des traceurs, configuration, durées, information des personnes et plan de correction priorisé.