Matomo ou GA4 : éviter le consentement exige une configuration précise

Pour mesurer la fréquentation d’un site en France sans recueillir de consentement préalable, Matomo est une option si la collecte reste limitée à des statistiques anonymes pour le seul éditeur. Les conditions d’exemption de la CNIL excluent le recoupement avec d’autres traitements, le suivi entre sites et la réutilisation des données par le fournisseur pour son propre compte. Le choix du logiciel ne suffit donc pas : sa finalité et sa configuration déterminent ce qui peut être collecté.

GA4 répond plus directement à un besoin d’analyse des campagnes, des conversions et des parcours commerciaux. Une organisation qui recherche ces fonctions doit organiser le recueil et le respect des choix des visiteurs. Pour choisir entre les deux outils, il faut d’abord décider quelles données sont nécessaires, puis comparer la maîtrise de leur hébergement, les fonctions utilisables et le coût complet.

La finalité fixe le périmètre de la mesure

Une mesure d’audience limitée peut renseigner l’éditeur sur les contenus consultés, les problèmes de navigation ou les ressources nécessaires au fonctionnement de son site. Suivre l’efficacité d’une publicité, rapprocher une visite d’un autre fichier ou constituer une audience exploitable pour le marketing poursuit une autre finalité. Ces usages ne deviennent pas exemptés parce qu’ils figurent dans un outil appelé « analytics ».

Le résultat recherché compte autant que la méthode de collecte. Si l’organisation peut reconstituer le parcours d’une personne ou accéder à des profils individuels, elle s’éloigne des statistiques anonymes attendues dans le cadre de l’exemption. Supprimer les cookies ne suffit pas non plus : des informations peuvent encore être transmises par d’autres moyens. Même lorsque le consentement préalable n’est pas requis pour la mesure retenue, les visiteurs doivent être informés de sa mise en œuvre.

Propriété des données et hébergement : deux décisions distinctes

Matomo existe en auto-hébergement et en service Cloud. L’auto-hébergement permet à l’organisation de choisir son infrastructure et l’emplacement de ses données, mais lui confie l’exploitation technique. Avec le Cloud, elle délègue cette exploitation et doit examiner les engagements du prestataire ainsi que les accès accordés aux données. La propriété des données ne répond pas, à elle seule, à la question de leur utilisation effective.

GA4 fonctionne comme un service fourni par Google : l’éditeur ne peut pas installer sa propre instance sur le serveur de son choix. Pour une organisation qui impose la maîtrise de l’infrastructure, cette différence peut décider du choix avant même la comparaison des rapports. Quel que soit l’hébergement, une éventuelle réutilisation des données par le fournisseur doit être vérifiée séparément de la finalité poursuivie par l’éditeur. L’exemption de consentement aux traceurs ne dispense pas non plus d’examiner les obligations du RGPD applicables au traitement et aux transferts de données.

Les réglages à vérifier avant d’invoquer l’exemption

La notice de configuration de Matomo prévoit un mode destiné à l’exemption pour Cloud et pour l’auto-hébergement, tout en laissant certaines vérifications à la charge de l’éditeur. Il s’agit d’une auto-évaluation de la configuration proposée, pas d’une validation générale de toutes les installations. Un réglage favorable dans l’outil ne renseigne pas à lui seul sur les paramètres effectivement envoyés par le site.

Le contrôle doit porter sur les identifiants d’utilisateur, l’anonymisation des adresses IP, les cookies tiers et toute possibilité de suivi entre domaines. Les journaux de visites, les profils individuels et les exports de données brutes ne doivent pas réintroduire des parcours identifiables. Il faut aussi vérifier les champs que l’éditeur ajoute lui-même : une adresse électronique dans une URL, un identifiant de commande dans un événement ou une dimension personnalisée trop précise peut compromettre une configuration par ailleurs restreinte.

Le mode prévu pour l’exemption désactive les cartes de chaleur et les enregistrements de session, écarte les fonctions de mesure publicitaire et restreint l’analyse du commerce en ligne, notamment les identifiants de commande exploitables. L’éditeur doit vérifier que ses événements et ses paramètres de campagne restent dans le périmètre autorisé. Enfin, il lui revient de rendre accessible un moyen de s’opposer à cette mesure et de s’assurer que l’opposition continue d’être respectée. Ces contrôles forment un ensemble : cocher une seule option de confidentialité ne suffit pas.

Ce que le mode Consentement de GA4 change réellement

Le fonctionnement du mode Consentement décrit par Google distingue une mise en œuvre de base, qui bloque les balises jusqu’au choix du visiteur, et une mise en œuvre avancée, qui peut envoyer des signaux sans cookie malgré un refus. L’outil adapte le comportement des balises aux choix reçus ; il ne fournit pas à lui seul la bannière ni une justification juridique de la finalité poursuivie.

Cette distinction oblige à vérifier ce qui quitte effectivement le site après un refus. Un signal sans cookie reste une transmission, et le réglage du mode Consentement ne démontre pas que toutes les conditions d’une mesure exemptée sont réunies. Pour utiliser GA4 sans accord préalable au titre de cette exemption, l’éditeur devrait pouvoir documenter la finalité, les données collectées et les usages du fournisseur dans sa configuration précise. À défaut, les analyses soumises au consentement doivent respecter le choix du visiteur.

Comparer le coût des fonctions réellement utilisables

La version standard de GA4 est gratuite. Son prix d’accès ne comprend toutefois ni le travail de définition des événements, ni la gestion des balises et des choix de consentement. Ces tâches pèsent dans le budget d’une équipe qui veut exploiter les analyses marketing de manière fiable.

La grille des offres Matomo distingue une édition Community auto-hébergée gratuite et des formules Cloud par abonnement ; elle présente aussi les rapports comme non échantillonnés. L’auto-hébergement suppose de financer et d’assurer le serveur, les sauvegardes, les mises à jour et l’administration. Le Cloud prend en charge une partie de cette exploitation, avec un tarif lié au volume de trafic. L’absence d’échantillonnage ne rend pas utilisables, dans une configuration exemptée, les fonctions détaillées qui dépassent la finalité autorisée.

Choisir selon l’usage, puis selon les moyens disponibles

Si le besoin se limite à des statistiques anonymes pour exploiter un site, Matomo mérite d’être retenu sous réserve de maintenir ses réglages restreints et de contrôler les données envoyées. L’auto-hébergement convient à une organisation capable d’exploiter son infrastructure ; le Cloud déplace cette charge vers un abonnement et un examen des engagements du prestataire. Le bon arbitrage porte sur le coût total de cette maîtrise, pas seulement sur la licence.

Si la priorité est de relier les visites aux campagnes et aux conversions, GA4 offre un cadre d’analyse adapté à ce travail, avec une gestion effective du consentement. Une organisation qui a besoin des deux finalités peut définir une mesure d’audience limitée et une analyse marketing séparées, chacune avec ses données et ses règles de déclenchement. Cette séparation permet de conserver les fonctions utiles sans attribuer à l’ensemble de la collecte une exemption qui ne concerne qu’un périmètre précis.

À lire aussi :

• Precisify rejoint l’API YouTube, mais seulement avec des données consenties
• ExploitGym mesure le passage d’une faille à un exploit, pas une attaque réelle
• GPT‑5.6‑Cyber s’ouvre aux défenseurs, mais exige une identité vérifiée