Analytics et acquisition : comment mesurer ses performances sans enfreindre les règles RGPD

Le web analytics historique a vécu. Beaucoup d’équipes marketing ont espéré repousser l’échéance du suivi sans restriction, mais cet espoir est désormais mort. Les navigateurs bloquent désormais les signaux par défaut. En parallèle, la CNIL et les régulateurs européens multiplient les contrôles sur pièces. L’attentisme est devenu un danger immédiat pour la viabilité des entreprises numériques. Le défi quotidien des équipes d’acquisition est direct. Il faut piloter la rentabilité des investissements publicitaires, tout en évitant les sanctions publiques et les amendes administratives. Accumuler les bannières ou chercher des astuces de contournement ne fonctionne plus. La seule réponse viable consiste à refondre l’architecture de collecte avec lucidité et rigueur…

1. Le cadre légal du tracking : fini la tolérance, place à la preuve écrite

Installer un bandeau de cookies standard ne protège plus personne par défaut. L’illusion de la conformité passive a définitivement disparu.

1.1. L’illusion du logiciel « garanti conforme »

La CNIL et le CEPD ne valident aucun outil de manière abstraite. La conformité n’est jamais attachée au logiciel en lui-même. Elle dépend uniquement de son intégration technique réelle et des paquets de données envoyés vers l’extérieur.

Le RGPD impose l’obligation d’accountability, ce qui renverse la charge de la preuve. Celle-ci pèse désormais entièrement sur l’exploitant du site internet. En cas d’audit, brandir la simple certification d’un prestataire américain au titre du Data Privacy Framework ne suffit pas : la conformité du transfert n’exonère jamais de l’obligation de recueillir un consentement préalable pour le traceur. Si le réseau montre des dépôts ou des flux d’identifiants sans base légale valide, l’infraction est constituée sur-le-champ. L’entreprise doit donc pouvoir prouver la neutralité de ses flux par écrit. Pour mieux appréhender ces exigences légales et leurs évolutions, vous pouvez relire nos explications sur les enjeux de la conformité RGPD avec Google Analytics et la CNIL.

1.2. Ce que permet réellement l’article 82 de la loi Informatique et Libertés

Poser un traceur sans consentement reste possible en droit français. L’article 82 de la loi Informatique et Libertés préserve cette option pour la seule mesure d’audience. Toutefois, les conditions d’accès fixées par le régulateur sont strictes et cumulatives.

Le traceur doit répondre à une finalité exclusive. Il sert uniquement à produire des statistiques globales pour l’éditeur du site. Vous pouvez compter les visites, analyser un parcours ou repérer une erreur technique d’affichage. En revanche, l’exemption tombe dès que vous tentez de recibler l’internaute ou d’alimenter un fichier commercial.

Ces informations ne doivent jamais être croisées avec votre propre CRM. Elles ne peuvent pas non plus être transmises à des régies publicitaires externes. Tout suivi inter-sites annule automatiquement le bénéfice de cette exemption. Observer un internaute hors de votre domaine principal exige obligatoirement un accord préalable.

Les règles de conservation sont tout aussi strictes. Le cookie d’audience ne doit pas dépasser treize mois. Il ne peut pas non plus se renouveler automatiquement lors d’une nouvelle session. Les données de fréquentation associées à un identifiant doivent disparaître au bout de vingt-cinq mois. Seuls les agrégats globaux, sans lien avec une machine, peuvent être conservés sans limite de temps.

1.3. Pourquoi la documentation technique devient la première ligne de défense

Lors d’un contrôle, la CNIL examine d’abord les registres obligatoires. Vous devez justifier chaque balise présente dans votre gestionnaire de tags. Vous devez également expliquer le procédé d’anonymisation des adresses IP. Enfin, vous devez prouver les purges programmées dans vos bases de données. Structurer méthodiquement son registre des traitements permet d’aligner le travail des développeurs sur l’article 30 du RGPD. Un site techniquement vertueux mais dépourvu de preuve écrite reste sanctionnable.

2. Navigateurs contre publicitaires : le rapport de force a basculé

Le modèle historique de la publicité sur le web s’effondre. L’espoir d’un remplaçant universel au cookie tiers est définitivement enterré.

2.1. L’agonie lente du suivi tiers

Google a renoncé à supprimer brutalement les cookies tiers de Chrome. La firme préfère laisser l’internaute choisir directement dans les options. Les annonceurs ont cru à un répit, mais c’est un très mauvais calcul commercial.

Les signaux tiers s’épuisent vite face aux comportements des internautes. Les utilisateurs refusent massivement le suivi sur les bannières. Ils installent des bloqueurs de publicité et adoptent des navigateurs centrés sur la vie privée. Le volume de traceurs tiers exploitables est donc devenu résiduel. Fonder sa stratégie d’acquisition sur cette base revient à piloter à l’aveugle.

2.2. La politique de la terre brûlée sur Safari et Firefox

Apple et Mozilla bloquent les traceurs tiers par défaut. Leurs technologies ITP et ETP fonctionnent sans jamais solliciter l’utilisateur.

Safari va encore plus loin sur les traceurs propriétaires posés via JavaScript. Le système réduit d’office leur espérance de vie à sept jours. Il abaisse même ce plafond à vingt-quatre heures si l’internaute arrive avec des variables de suivi publicitaire. Les paramètres UTM ou les identifiants de clics comme gclid et fbclid déclenchent cette purge immédiate. L’attribution des conversions sur plusieurs semaines est donc devenue fausse par défaut sur Safari.

2.3. L’impasse du « tout first-party »

Certaines agences recommandent de basculer tous les cookies sous son propre nom de domaine. Ce conseil technique est juridiquement trompeur. La loi ne s’arrête pas au domaine technique d’écriture, elle juge avant tout l’objectif du marqueur. Poser un cookie propriétaire pour recibler un internaute exige un consentement préalable. Le caractère propriétaire d’un fichier n’offre aucune dérogation magique.

3. Les pratiques courantes passées au crible

Les équipes marketing recourent à quatre approches fréquentes. Leurs régimes juridiques sont pourtant radicalement différents.

La mesure d’audience classique avec Matomo par exemple peut fonctionner sans consentement préalable. Mais elle impose une configuration technique sans faille. L’adresse IP doit impérativement être tronquée à la volée dès sa réception. Les identifiants ne doivent croiser aucune donnée publicitaire externe. De plus, la durée de vie du traceur ne doit pas excéder treize mois et les données de fréquentation associées doivent être purgées au bout de vingt-cinq mois. À ces conditions strictes, l’exemption légale est totale. Pour aller plus loin dans la pratique, il est conseillé de consulter un guide sur la mesure de performances d’un site web via les outils d’analytics.

Le suivi multi-terminaux exige une rigueur absolue. Vouloir rapprocher la navigation sur mobile et sur ordinateur impose d’identifier formellement l’internaute. Cette pratique ne peut exister que dans un espace sécurisé où l’utilisateur s’est connecté. Elle demande un accord explicite préalable et documenté. L’adresse e-mail ne doit jamais circuler en clair sur le réseau public. Enfin, les choix enregistrés sur un compte ne doivent pas contaminer la navigation partagée du foyer.

Les pixels invisibles dans les newsletters sont désormais encadrés par les lignes directrices du CEPD. L’image invisible capte l’adresse IP, le logiciel de messagerie et l’heure de consultation. Cette collecte touche directement au terminal de l’abonné. Suivre la délivrabilité globale d’un serveur d’envoi reste toléré pour la technique. En revanche, traquer la lecture individuelle pour noter un prospect exige son accord préalable.

À l’opposé, le Marketing Mix Modeling change totalement de logique d’analyse. Cette méthode n’observe jamais les parcours individuels des acheteurs. Elle analyse les données agrégées à l’échelle macroéconomique. Elle calcule les corrélations statistiques entre les investissements par canal et les ventes globales. Elle ne pose aucun traceur et ne stocke aucun identifiant. De fait, elle échappe intégralement au RGPD tout en apportant une vue budgétaire claire.

4. Balisage côté serveur et proxyfication : sortir du piège technique

Le balisage côté serveur est souvent présenté comme la solution universelle. C’est une profonde erreur de perspective. Il s’agit d’un outil d’assainissement technique, mais il n’annule jamais le droit applicable.

4.1. Déplacer le script ne change pas la règle

Exécuter un script sur un serveur distant au lieu du navigateur ne blanchit pas la donnée. La CNIL le rappelle d’ailleurs très fermement. Si vous envoyez une donnée personnelle vers un tiers sans accord via votre serveur, l’infraction demeure entière. Le serveur cloud joue le rôle de simple relais technique. Il ne confère donc aucune immunité légale.

4.2. Ce qu’impose la CNIL pour sécuriser un proxy analytics

Un serveur proxy peut sécuriser les transferts de données hors de l’Union européenne. Cependant, l’autorité impose des garde-fous très lourds avant toute réémission.

La machine mandataire doit impérativement être hébergée en Europe. Le fournisseur d’infrastructure ne doit pas être soumis aux lois extraterritoriales comme le Cloud Act. L’éditeur du site doit conserver la maîtrise exclusive des clés de chiffrement et des accès.

Le filtrage des données réseau doit être total. L’adresse IP d’origine de l’internaute doit être détruite et remplacée par celle du serveur proxy. Les identifiants visiteurs doivent être pseudonymisés via un algorithme à clé secrète tournante (HMAC renouvelé périodiquement) pour empêcher toute réidentification dans le temps.  L’adresse web de consultation doit être débarrassée de tous ses paramètres de campagne publicitaire. Le champ d’en-tête technique Referer doit être vidé pour masquer l’origine du trafic. Enfin, les détails du User-Agent doivent être raccourcis pour bloquer tout calcul d'empreinte numérique.

5. Quatre priorités opérationnelles pour assainir sa mesure

Les équipes web doivent abandonner les expédients précaires. La mise en conformité repose sur quatre chantiers pragmatiques menés de front.

Le premier chantier consiste à auditer la configuration de votre mesure d’audience. Vérifiez point par point si votre outil coche tous les critères d’exemption de l’article 82. Bloquez immédiatement tout partage de données avec d’autres services tiers.

Le deuxième chantier concerne l’infrastructure technique globale. Si vous utilisez du Server-Side, synchronisez vos flux avec la bannière de cookies. Aucun paquet ne doit partir de votre serveur relais sans un accord enregistré sur le navigateur.

Le troisième chantier touche directement à l’e-mailing. Séparez la surveillance technique d’infrastructure du profilage individuel des destinataires. Gardez les métriques globales de délivrabilité pour vos serveurs d’envoi. Réservez le scoring par contact aux seuls abonnés volontaires et informés.

Le quatrième chantier invite à passer à la mesure agrégée. Reconstituer le parcours individuel d’un acheteur sur plusieurs semaines est désormais illusoire. C’est l’occasion de revoir globalement l’attribution des investissements et de découvrir comment mettre en place sa stratégie webmarketing globale et mesurer son ROI. Les approches statistiques de type MMM vous donneront une vision budgétaire bien plus stable, sans risquer la moindre sanction légale.

Mesurer moins de signaux individuels permet de mesurer avec plus de justesse statistique. C’est la réalité imposée par le web moderne. Les équipes qui s’y adaptent dès aujourd’hui sécurisent leur activité sur des bases saines et durables.

À propos de l’auteur

Alix Froissart est juriste spécialisé en droit du numérique et éditeur de solutions de conformité web. Il accompagne les professionnels du digital, agences et créateurs d’entreprise dans l’évaluation de leurs plateformes et la sécurisation juridique de leurs traitements de données. Retrouvez ses publications sur ITWATCHYOU ainsi que sur son profil LinkedIn.