Alternatives à Google Analytics : mesurer sans bandeau cookies

Oui, il est possible de mesurer l'audience d'un site sans bandeau cookies et sans recueillir le consentement des visiteurs. La CNIL prévoit une exemption explicite, à des conditions précises. Non, Google Analytics n'y entre pas dans sa configuration standard, pour une raison qui n'a rien à voir avec les transferts de données vers les États-Unis. Matomo, Plausible et Umami, correctement paramétrés, y entrent.

C'est le vrai sujet de 2026, et il est mal posé presque partout. On continue de débattre de la légalité de Google Analytics alors que la question qui change vos chiffres, votre vitesse de chargement et votre expérience utilisateur est ailleurs : mesurez-vous cent pour cent de votre trafic, ou seulement la fraction de visiteurs qui accepte le bandeau ?

Le débat sur les transferts vers les États-Unis s'est refermé

Rappel utile, parce que beaucoup d'entreprises en sont restées là. En février 2022, la CNIL a mis en demeure plusieurs gestionnaires de sites utilisant Google Analytics, au motif que les transferts de données vers les États-Unis n'étaient pas suffisamment encadrés après l'invalidation du Privacy Shield. La CNIL maintient d'ailleurs une page dédiée sur la mise en conformité des outils de mesure d'audience.

Depuis, le cadre a changé. La Commission européenne a adopté le 10 juillet 2023 une nouvelle décision d'adéquation, le cadre de protection des données UE-États-Unis. Elle a été contestée, et le Tribunal de l'Union européenne a rejeté ce recours le 3 septembre 2025 dans l'affaire T-553/23. La décision d'adéquation reste donc valide, sous réserve du réexamen continu que la Commission doit conduire.

Conclusion pratique : l'argument « Google Analytics est illégal » n'est plus le bon angle. Le sujet s'est déplacé, et il est devenu plus intéressant.

Ce que dit exactement la CNIL sur l'exemption de consentement

L'article 82 de la loi Informatique et Libertés impose le consentement pour la lecture ou l'écriture d'informations dans le terminal d'un utilisateur, sauf exceptions. La mesure d'audience en fait partie, à conditions. La page de référence de la CNIL les énonce sans ambiguïté.

Pour être exemptés, les traceurs doivent être utilisés pour une finalité strictement limitée à la seule mesure d'audience du site, pour le compte exclusif de l'éditeur, et servir à produire des données statistiques anonymes uniquement. La CNIL précise ce que recouvre cette finalité : mesure des performances, détection de problèmes de navigation, optimisation technique ou ergonomique, estimation de la puissance des serveurs nécessaires, analyse des contenus consultés.

À l'inverse, trois choses sont interdites. Le recoupement des données avec d'autres traitements ou la transmission de données non anonymes à des tiers. Le suivi global de la navigation d'une personne à travers différents sites ou applications. Et l'usage d'un même identifiant sur plusieurs sites pour mesurer une couverture unifiée, ce que la CNIL exclut explicitement.

S'y ajoutent trois recommandations chiffrées, qu'il faut connaître parce qu'elles se retrouvent telles quelles dans la configuration des outils : informer les utilisateurs, par exemple via la politique de confidentialité ; limiter la durée de vie des traceurs à treize mois sans prorogation automatique à chaque nouvelle visite ; conserver les informations collectées vingt-cinq mois au maximum, ces durées devant faire l'objet d'un réexamen périodique.

Il n'existe plus de liste de solutions labellisées

C'est le point que la plupart des articles ratent, et il change la façon de choisir. La CNIL ne publie pas de liste de solutions exemptées. Elle met à disposition des fournisseurs un outil d'auto-évaluation qui leur permet de déterminer si leur produit peut être configuré pour entrer dans le champ de l'exemption.

La conséquence est double. D'abord, aucun éditeur ne peut se prévaloir d'un label : la CNIL interdit explicitement de présenter une solution comme « certifiée » ou « validée par la CNIL », et interdit l'usage de son logo ou d'un logo dérivé. La formulation qu'elle recommande est nettement plus prudente, du type « d'après notre auto-évaluation, la solution est conforme aux critères établis par la CNIL et peut être mise en œuvre sans requérir le consentement si elle est correctement configurée ».

Ensuite, la charge de la preuve remonte vers vous. La CNIL invite les éditeurs de sites à interroger leurs prestataires, à demander les documents justifiant du respect du cadre et les modalités opérationnelles de mise en œuvre. En cas de contrôle, la responsabilité du responsable de traitement comme celle du sous-traitant peuvent être engagées. Autrement dit, gardez dans un dossier l'auto-évaluation du fournisseur et une capture de votre configuration. C'est le même réflexe documentaire que pour la conformité RGPD d'un site en général.

Pourquoi Google Analytics reste hors du champ

La raison tient en une phrase de la CNIL, et elle ne parle pas de géographie. Certaines offres n'entrent pas dans le périmètre de l'exemption, notamment lorsque leurs fournisseurs indiquent réutiliser les données pour leur propre compte. C'est précisément le modèle de Google Analytics, dont les données alimentent l'écosystème publicitaire de Google au-delà du seul besoin de l'éditeur.

La CNIL nuance : dans certains cas, il est possible de configurer ces outils pour désactiver la réutilisation des données. Mais l'exercice reste fragile, mal documenté du côté du fournisseur, et il vous appartiendra de le démontrer.

Deuxième limite, moins discutée : la conservation. Dans Google Analytics 4, les données au niveau utilisateur ne peuvent être conservées que deux ou quatorze mois, quatorze mois étant le plafond des propriétés standard. Comparer une saison à la même saison de l'année précédente devient donc impossible passé ce délai, sauf à exporter vers un entrepôt tiers. Beaucoup d'équipes découvrent la limite au moment précis où elles en auraient besoin.

Google Analytics reste parfaitement utilisable. Il impose simplement un bandeau de consentement, et donc une mesure partielle.

Ce que le consentement coûte réellement à vos chiffres

C'est l'argument économique, et il est plus fort que l'argument juridique. Avec un outil soumis au consentement, vous ne mesurez que les visiteurs qui ont cliqué sur « accepter ». Le reste disparaît de vos rapports, ou revient sous forme de données modélisées, c'est-à-dire estimées.

Les effets pratiques sont désagréables. Vos chiffres de trafic ne sont pas comparables à ceux de la Search Console, qui elle compte tout. Le taux d'acceptation varie selon les appareils, les navigateurs et la position du bandeau, donc une simple refonte de la bannière déplace vos courbes sans qu'aucun visiteur ait changé de comportement. Et les segments les plus soucieux de leur vie privée, souvent les profils techniques, sont systématiquement sous-représentés.

Avec une solution exemptée, vous mesurez l'intégralité du trafic, sans bandeau, avec des séries temporelles stables. Pour la plupart des sites d'entreprise, c'est un gain de fiabilité bien supérieur à la finesse d'analyse que l'on perd.

Les trois alternatives sérieuses

Matomo est la plus complète, et la seule pour laquelle la CNIL héberge un guide de configuration dédié à l'exemption. La configuration exigée est stricte, et c'est justement ce qui la rend défendable en cas de contrôle : masquage de deux octets de l'adresse IP, suppression des paramètres de campagne à l'ingestion, désactivation des cartes de chaleur, de l'enregistrement de session, des tests A/B et de l'identifiant utilisateur, cookies internes uniquement, conservation plafonnée autour de vingt-cinq mois, et lien de refus intégré à la politique de confidentialité. Côté tarifs, l'offre Cloud démarre à 29 euros par mois avec un stockage à Francfort, et la version auto-hébergée Community reste gratuite et sans limite de volume.

Plausible prend le problème par l'autre bout : il est conçu sans cookie. Sa politique de données indique qu'il n'utilise ni cookie, ni cache navigateur, ni stockage local, et ne génère aucun identifiant persistant. Les visiteurs uniques sont reconnus par un condensat calculé sur un sel quotidien, détruit toutes les vingt-quatre heures, ce qui rend le recoupement impossible d'un jour sur l'autre. Les données sont traitées et stockées dans l'Union européenne. L'offre commence à 9 dollars par mois pour dix mille pages vues, avec un essai de trente jours sans carte bancaire, et le code est ouvert pour qui veut l'héberger.

Umami est l'option la plus légère et la plus économe : open source, auto-hébergeable sur une petite instance, sans cookie lui aussi. C'est un excellent choix quand la mesure sert surtout à suivre des tendances et des pages populaires, et que l'équipe technique est déjà à l'aise avec un déploiement maison. Cette logique rejoint celle que nous décrivons dans notre guide des alternatives aux GAFAM.

L'argument qu'on oublie : le poids du script

La mesure d'audience s'exécute sur le terminal du visiteur, avant tout le reste. Nous avons mesuré le 9 septembre 2026 le poids des scripts effectivement téléchargés, tel que servi par chaque fournisseur, en comptant les octets réellement transmis puis leur taille décompressée.

• Google Analytics 4 via gtag.js : environ 144 kilo-octets transmis, 428 kilo-octets une fois décompressés.
• Matomo : environ 46 kilo-octets transmis, 153 kilo-octets décompressés.
• Umami : environ 2,3 kilo-octets transmis, 4,6 kilo-octets décompressés.
• Plausible : environ 1,2 kilo-octet transmis, 2,8 kilo-octets décompressés.

L'écart est d'un facteur cent vingt entre les deux extrêmes en octets transmis. Ce n'est pas seulement une question de bande passante : c'est du JavaScript à analyser et à exécuter sur le processeur du téléphone, donc du temps ajouté avant l'interactivité. Sur un site déjà tendu côté performance, remplacer la mesure d'audience est l'une des rares optimisations qui ne coûte rien en fonctionnalité visible, et nous la traitons dans notre article sur les Core Web Vitals.

Ce que vous perdez, et quand il ne faut pas migrer

Autant être honnête sur les contreparties, parce qu'elles sont réelles. Vous perdez le parcours individuel visiteur par visiteur, les audiences reconstituées, l'attribution multi-touch fine, et surtout l'intégration native avec Google Ads. La configuration d'exemption elle-même vous prive volontairement des cartes de chaleur et de l'enregistrement de session, qui sont des outils de conception utiles.

Il y a donc un cas où il ne faut pas migrer intégralement : si votre acquisition repose sur des budgets publicitaires Google significatifs, l'import des conversions dans Google Ads a une valeur opérationnelle que rien ne remplace à ce jour. La réponse raisonnable est alors la double mesure. Un outil exempté sans bandeau pour vos chiffres de référence, ceux qui servent au pilotage, et Google Analytics conservé derrière le consentement pour la seule optimisation publicitaire.

Pour tous les autres, sites vitrines, sites de contenu, applications métier, éditeurs de logiciel, le retrait pur et simple est plus simple à tenir et plus confortable à défendre. Il s'inscrit dans la même logique que nos réflexions sur la souveraineté numérique des PME, et il est nettement moins engageant qu'un changement de messagerie ou de suite bureautique, sujet que nous avions traité à propos de Proton.

La marche à suivre, en quatre étapes

Commencez par mesurer votre taux d'acceptation actuel. Si votre bandeau est accepté par une large majorité de visiteurs et que vous vivez de Google Ads, le sujet est moins urgent. S'il tourne autour de la moitié ou en dessous, vous pilotez déjà à moitié aveugle et le calcul est vite fait.

Installez ensuite l'alternative en parallèle, sans rien retirer, pendant deux à quatre semaines. Vous obtiendrez le seul chiffre qui compte vraiment dans cette décision : l'écart entre le trafic réel et le trafic consenti, sur vos données à vous. C'est aussi ce comparatif qui convaincra une direction, bien mieux qu'un argumentaire juridique.

Puis demandez au fournisseur son auto-évaluation et son guide de configuration, appliquez la configuration d'exemption à la lettre, et archivez les deux documents avec une capture de vos réglages. Enfin, retirez le bandeau seulement s'il ne servait qu'à la mesure d'audience. S'il couvre aussi des pixels publicitaires, une carte interactive tierce ou des vidéos embarquées, il reste nécessaire pour ces traceurs-là, et vous devrez traiter chacun séparément.

Ce que nous en retenons

La bonne question n'est plus « ai-je le droit d'utiliser Google Analytics » mais « quelle part de mon trafic est-ce que je mesure réellement ». L'exemption prévue par l'article 82 permet de remonter à cent pour cent, à condition de choisir un outil qui ne réutilise pas les données pour son propre compte et de le configurer strictement.

Trois bénéfices arrivent ensemble : des chiffres complets et stables, un bandeau en moins sur la page d'accueil, et un script d'analyse cent fois plus léger. Trois renoncements aussi : le parcours individuel, l'analyse comportementale fine et l'intégration publicitaire native. Le dossier de preuve, lui, reste à votre charge.

Nous accompagnons ce type de bascule sur les projets où la mesure et la conformité comptent autant que la vitesse, dans le cadre de nos applications souveraines. Si vous voulez savoir ce que vous ne mesurez pas aujourd'hui, parlons-en.