Votre fournisseur d’outil pour la mesure d’audience vous a peut-être envoyé un étrange message concernant une évaluation CNIL récemment.
En effet, depuis juillet 2025, la CNIL a publié une grille d’auto-évaluation à destination des fournisseurs, afin de les aider à vérifier leur éligibilité à l’exemption de consentement.
Voici un guide express pour en saisir rapidement les enjeux.
Méthode d’auto-évaluation de la CNIL : de quoi s’agit-il ?
Depuis le nouveau règlement RGPD de 2021, tout dépôt de traceurs de mesure d’audience requiert le recueil du consentement utilisateur.
Tout dépôt, sauf les traceurs qui “sont strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur, conformément à l’article 82 de la loi Informatique et Libertés.” (source : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ).
Sur sa FAQ, la CNIL précise que les traceurs doivent :
- Être strictement limités à la seule mesure d’audience sur le site pour le compte exclusif de l’éditeur ;
- Servir uniquement à produire des données statistiques anonymes ;
- Ne pas permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web ;
- Ne pas permettre le recoupement des données avec d’autres traitements ou à ce que les données soient transmises à des tiers.
Dans le cas où un fournisseur réutilise les données collectées à des fins propres et pas uniquement pour le site de l’éditeur, alors, l’outil doit recueillir le consentement de l’utilisateur.
Pour aider les fournisseurs à mieux déterminer si leurs outils peuvent être exempts de consentement ou non, la CNIL a publié en juillet 2025 un outil d’auto-évaluation à leur disposition en ligne.
Comment fonctionne l’outil d’auto-évaluation de la CNIL ?
En libre accès au format PDF sur le site de la CNIL, la méthodologie consiste en une vérification de plusieurs éléments mentionnés spécifiquement dans une grille de vérification, critère par critère.
Concrètement, le fournisseur s’auto-évaluant doit répondre aux 5 objectifs et 14 critères détaillés dans la grille pour s’affranchir du recueil du consentement des utilisateurs.
Lorsqu’un critère nécessite une configuration technique précise, alors cette dernière est détaillée dans la grille.
Par exemple pour l’objectif “L’outil ne permet pas un suivi de la personne en dehors du site ou de l’application visée”, le premier critère relatif à l’import de données externes précise 3 mesures techniques :
Qu’est-ce que ça change ?
En cas de respect de l’intégralité des critères
En cas de respect de l’intégralité des critères , le fournisseur doit en informer ses prospects et clients, notamment en utilisant le modèle de déclaration suivante :
D’après notre auto-évaluation, la solution [nom de la solution] est conforme aux critères établis par la CNIL [mettre un lien vers la page officielle], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée. Pour ce faire, elle doit être configurée de la manière décrite dans ce document.
Le fournisseur doit être en mesure de prouver qu’il respecte chacun des critères proposés dans la méthode d’auto-évaluation de la CNIL.
En cas de non-respect des critères
Dans le cas où un fournisseur ne respecte pas l’ensemble des critères, alors :
- Le fournisseur doit en informer ses prospects et clients
- L’éditeur du site doit explicitement informer ses utilisateurs de la présence du traceur, ses finalités et modalités de conservation, etc.
- L’éditeur doit recueillir le consentement des utilisateurs en amont de la récolte des données
En conclusion
La CNIL propose depuis juillet 2025 une grille d’auto-évaluation pour les outils de mesure d’audience.
L’objectif : permettre aux fournisseurs d’évaluer eux-mêmes si leurs outils relèvent de l’exemption de consentement ou non.
Concrètement, deux cas de figure se présentent :
- Un fournisseur qui coche les 5 objectifs et 14 critères peut déclarer son outil exempté de consentement, à condition de respecter scrupuleusement la configuration recommandée.
- S’il manque un seul critère, l’éditeur doit informer ses visiteurs et obtenir leur consentement avant tout dépôt de traceur.
En résumé : fournisseurs = preuve de conformité, éditeurs = consentement obligatoire si l’outil n’est pas 100 % dans les clous.
