Cookies et consentement : mesurer son audience

L’époque du tracking facile est terminée

Pendant des années, poser un cookie de mesure d’audience relevait de la formalité : une ligne de code, un bandeau vaguement informatif, et les statistiques remontaient toutes seules. Ce temps-là est révolu. La CNIL contrôle désormais activement les bandeaux cookies, Google conditionne l’accès à ses données publicitaires à un signal de consentement normalisé, et le visiteur, lui, refuse de plus en plus souvent d’être suivi.

Résultat : beaucoup de sites se retrouvent dans une position inconfortable sans le savoir. Soit ils continuent de collecter comme avant et s’exposent à une sanction, soit ils respectent le refus des internautes et voient leurs statistiques fondre, au point de piloter leur activité à l’aveugle. Il existe une voie médiane, mais elle demande de comprendre ce qui a réellement changé.

Le consentement est devenu la règle, pas l’exception

Depuis ses lignes directrices sur les cookies, la CNIL a posé un principe simple : refuser un traceur doit être aussi facile que l’accepter. Fini le bandeau où seul le bouton « Tout accepter » saute aux yeux, tandis que le refus se cache derrière trois clics et un menu grisé. Le régulateur français a assorti cette exigence de contrôles réguliers et de sanctions qui ne visent plus seulement les géants du numérique.

Concrètement, un cookie de mesure d’audience non essentiel, comme ceux de Google Analytics, ne peut être déposé qu’après un consentement libre, éclairé et explicite. Tant que le visiteur n’a pas dit oui, aucune donnée personnelle ne doit partir. Cette règle paraît contraignante, mais elle a le mérite d’être claire, et un bandeau bien conçu peut la respecter sans dégrader l’expérience.

Consent Mode v2, ou l’ultimatum de Google

À cette pression réglementaire s’est ajoutée, en mars 2024, une contrainte technique venue de Google. Dans le sillage du Digital Markets Act européen, la firme impose son Consent Mode v2 à tout site qui veut continuer d’exploiter ses données dans Google Ads et Google Analytics pour les internautes de l’Espace économique européen. Sans ce mécanisme, les fonctions de remarketing et d’audiences personnalisées se coupent, et les données cessent tout simplement de remonter.

Le principe du Consent Mode consiste à transmettre à Google l’état du consentement de chaque visiteur, plutôt que de bloquer ou d’autoriser aveuglément les balises. Quand l’internaute accepte, la mesure fonctionne normalement. Quand il refuse, Google ne reçoit plus de cookie mais un signal anonyme, à partir duquel il reconstitue statistiquement une partie du trafic perdu. Ce n’est pas un contournement du refus, c’est une modélisation : on estime des tendances sans réidentifier personne.

Le vrai coût d’un consentement mal géré

L’enjeu n’est pas théorique. Les sanctions prononcées ces dernières années pour des manquements liés aux cookies donnent la mesure du risque, et les taux de refus observés rappellent qu’une part importante du trafic échappe désormais à toute mesure directe.

Réalité de terrain	Ordre de grandeur
Sanctions CNIL notables pour non-respect des règles cookies	de quelques dizaines à plusieurs centaines de millions d’euros
Consent Mode v2 requis pour les données publicitaires (EEE)	depuis mars 2024
Part des visiteurs qui refusent ou ignorent le bandeau	souvent 30 à 50 % selon les secteurs
Données récupérables par modélisation en cas de refus	partielles, jamais l’intégralité

Le message est double. D’un côté, un bandeau non conforme expose à une sanction bien réelle, y compris pour une PME. De l’autre, même en toute légalité, une fraction croissante du trafic ne sera jamais mesurée nominativement. Continuer à raisonner comme si l’on voyait 100 % des visiteurs est la meilleure façon de prendre de mauvaises décisions.

Cet angle mort produit un effet pervers, observé à chaque mise en conformité. Quand une entreprise règle enfin son bandeau, ses statistiques Google Analytics chutent brutalement, parfois de trente ou quarante pour cent, non pas parce que le trafic a baissé, mais parce qu’une partie des visiteurs a cessé d’être comptée. Un dirigeant mal préparé y voit un effondrement de son audience, s’alarme et remet en cause ses investissements, alors qu’il découvre simplement l’ampleur du refus. Comprendre cette mécanique évite des décisions coûteuses fondées sur une lecture faussée des chiffres.

Retrouver une mesure fiable malgré le refus

La première réponse consiste à activer proprement le Consent Mode v2, le plus souvent via Google Tag Manager, afin de récupérer la part modélisée des visiteurs qui refusent. C’est un gain immédiat pour qui utilise déjà l’écosystème Google, à condition que le bandeau et les balises soient correctement reliés.

La seconde réponse est complémentaire : ajouter une mesure d’audience qui ne dépend pas du consentement parce qu’elle ne dépose aucun cookie et ne collecte aucune donnée personnelle. Des solutions comme Cloudflare Web Analytics fonctionnent ainsi et donnent une vision fiable du volume de trafic, des pages vues et des sources, indépendamment de ce que l’internaute accepte. On perd le suivi individuel fin, mais on gagne une base stable que le refus n’érode pas. Combiner les deux approches, mesure consentie détaillée d’un côté, mesure agrégée sans cookie de l’autre, redonne une lecture crédible de l’activité.

La fin des cookies tiers rebat les cartes

À cette recomposition s’ajoute une tendance de fond : le déclin des cookies tiers, ces traceurs qui suivaient l’internaute d’un site à l’autre pour alimenter la publicité ciblée. Longtemps annoncée puis repoussée par les navigateurs, leur disparition pousse tout l’écosystème vers des méthodes moins intrusives, fondées sur la donnée que chaque site recueille lui-même avec l’accord de ses visiteurs. Le ciblage à l’aveugle sur le dos de l’internaute cède la place à une logique où la relation directe reprend de la valeur.

Pour une PME, ce basculement a une conséquence très concrète : la donnée de première main, celle que l’on collecte sur son propre site et dans sa propre base clients, devient un actif stratégique. Un commerçant qui sait mesurer proprement ses conversions et entretenir un lien direct avec ses acheteurs dépendra moins des plateformes publicitaires que celui qui a bâti toute son acquisition sur le ciblage tiers. Vue sous cet angle, la conformité cesse d’être une contrainte subie pour devenir un investissement : elle force à construire aujourd’hui ce qui aura le plus de valeur demain.

Une conformité qui se prouve

Reste la partie la moins visible mais la plus scrutée en cas de contrôle : la documentation. Un site en règle sait dire quels cookies il dépose, à quelle fin, pour combien de temps, et il peut montrer que le refus est aussi accessible que l’acceptation. Cela suppose de cartographier les traceurs réellement présents, souvent plus nombreux qu’on ne le croit une fois additionnés les outils de mesure, de chat et de publicité, puis de les ranger par catégories dans un bandeau qui bloque tout tant que le visiteur n’a pas choisi.

C’est un travail d’articulation entre le juridique et le technique, exactement le terrain sur lequel se joue une bonne stratégie de visibilité. Notre service de stratégie SEO et SEA intègre cette mise en cohérence entre mesure d’audience, conformité et pilotage, parce qu’une donnée propre vaut mieux qu’une donnée abondante mais hors la loi.

Si vous ne savez pas exactement ce que votre site collecte aujourd’hui, ni si votre bandeau tiendrait face à un contrôle, c’est le bon moment pour faire le point. Contactez-nous pour un état des lieux.

Sources : CNIL, Cookies et traceurs : que dit la loi ? · Google, À propos du mode Consentement