Analytics sans témoins : mesurer son trafic en paix avec la Loi 25

Le site que vous lisez en ce moment n'affiche aucune bannière de consentement. Ce n'est pas un oubli. Il mesure son trafic avec Fathom Analytics, un outil qui ne dépose aucun témoin et ne conserve aucun renseignement personnel, donc il n'a aucun consentement à demander. Nous avons fait ce choix il y a un moment, et il vient avec une contrepartie réelle que nous détaillons plus bas. C'est le prolongement direct de ce que nous décrivons dans notre guide sur la Loi 25 appliquée à votre site web.

La conversation habituelle tourne court. D'un côté, « il faut une bannière ». De l'autre, « on va perdre nos données ». Personne ne pose la question qui compte : qu'est-ce que la bannière vous achète, exactement, et à quel prix. Cet article fait le calcul dans les deux sens, et pour la plupart des sites de PME il penche du côté qu'on n'attend pas.

La réponse courte, pour les pressés

Un outil d'analyse sans témoins mesure votre trafic sans déposer de fichier sur l'appareil du visiteur et sans conserver de renseignement personnel : pages vues, sources de trafic, pays, appareil, événements de conversion. Sous la Loi 25, cette distinction est décisive. La loi encadre les renseignements personnels, définis à l'article 2 comme tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier. Un outil qui n'en collecte aucun ne déclenche ni l'information préalable exigée par l'article 8.1 pour les technologies d'identification, de localisation ou de profilage, ni l'évaluation des facteurs relatifs à la vie privée de l'article 3.3, ni de bannière. Ce que vous perdez : le parcours d'un même visiteur d'une visite à l'autre, et les audiences de reciblage publicitaire. Ce que vous gagnez : la totalité de vos visites mesurées, plutôt que la portion qui accepte la bannière.

Ce que la Loi 25 vise dans un outil de mesure

Trois articles font le travail, et aucun ne parle de bannière.

L'article 2 pose la définition qui commande tout le reste : est un renseignement personnel « tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier ». Un compteur de pages vues agrégé, sans identifiant persistant, ne rentre pas là-dedans. La loi n'a rien à encadrer parce qu'il n'y a rien à protéger.

L'article 8.1 s'active quand vous recueillez des renseignements personnels « en ayant recours à une technologie comprenant des fonctions permettant de l'identifier, de la localiser ou d'effectuer un profilage ». Il faut alors informer la personne au préalable du recours à cette technologie et des moyens offerts pour activer ces fonctions. Notre lecture, prudente, est qu'un Google Analytics 4 standard tombe là-dedans : sa propre documentation décrit le témoin _ga, durée de vie deux ans, comme servant à « distinguer les utilisateurs ». Distinguer un utilisateur d'une visite à l'autre, c'est précisément une fonction d'identification.

L'article 3.3 est celui que les PME oublient. Il exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information « impliquant la collecte, l'utilisation, la communication, la conservation ou la destruction de renseignements personnels ». Installer un outil d'analyse, c'est une acquisition de système d'information. Si l'outil collecte des renseignements personnels, vous devez documenter l'évaluation. S'il n'en collecte aucun, la condition n'est pas remplie et il n'y a pas d'évaluation à produire.

Une nuance contre-intuitive pour finir, parce qu'elle est souvent citée de travers. L'article 9.1 impose que les paramètres de confidentialité d'un produit technologique offert au public assurent par défaut le plus haut niveau de confidentialité. Son deuxième alinéa précise ensuite : « Ne sont pas visés au premier alinéa les paramètres de confidentialité d'un témoin de connexion. » L'article 9.1 n'est donc pas votre fondement pour bloquer les témoins par défaut. C'est l'article 8 et le régime de consentement de l'article 14 qui font ce travail.

Ce qu'un outil sans témoins mesure sans problème

La crainte de base est qu'on troque la conformité contre l'aveuglement. En pratique, ce qui reste mesurable couvre à peu près tout ce qu'une PME regarde. Plausible publie la liste complète de ce qu'il collecte : l'URL de la page, le référent HTTP, le navigateur, le système d'exploitation, le type d'appareil, et le pays, la région et la ville dérivés de l'adresse IP, cette dernière n'étant jamais stockée. Fathom inclut le suivi d'événements, le commerce électronique et les campagnes UTM sur tous ses forfaits, sans supplément. Vous savez donc quelles pages sont lues, d'où viennent les visiteurs, quelles campagnes ramènent du monde et combien de formulaires sont soumis. C'est tout ce qui sert à décider quoi écrire, quoi corriger et où mettre votre budget d'acquisition.

Ce que vous abandonnez, et ce que vous aviez déjà perdu

Voici la partie que les pages de vente des fournisseurs escamotent. Sans témoin, il n'y a pas d'identité stable dans le temps. Plausible le dit dans sa politique de données : les données sont isolées à une seule journée, un seul site et un seul appareil. Le compteur de visiteurs uniques repose sur un hachage combinant un sel quotidien, le domaine, l'adresse IP et le navigateur, et ce sel est remplacé et détruit toutes les 24 heures. Conséquence directe : personne ne peut vous dire que la personne qui a lu trois articles en juillet est celle qui a rempli le formulaire en août.

Deuxième perte, plus sérieuse si elle vous concerne : les audiences de reciblage. Recibler quelqu'un suppose un identifiant publicitaire persistant. Un outil qui n'en crée aucun ne peut pas alimenter Google Ads ou Meta. Si le reciblage est un canal important pour vous, c'est un argument décisif, et il faut l'assumer.

Mais mesurez d'abord ce que vous aviez déjà perdu. La documentation de Google le dit noir sur blanc : les navigateurs limitent la durée de vie des témoins internes quand le visiteur ne revient pas, à 400 jours au maximum pour Chrome et 7 jours pour Safari. Votre statistique de « visiteurs récurrents sur six mois » est donc déjà fictive pour toute la clientèle iPhone. Et une propriété GA4 standard plafonne les données au niveau utilisateur à 2 ou 14 mois. Fathom garde l'historique complet tant que vous êtes client : comparer un mois d'août au précédent est plus facile sans témoins qu'avec.

Le calcul que presque personne ne fait

Reste la vraie question : combien coûte la bannière. L'étude Cookie Consent Benchmark 2025 de l'éditeur allemand etracker mesure l'effet sur un échantillon de sites. Résultat : avec un dialogue conçu conformément aux exigences des autorités (bouton de refus aussi accessible que le bouton d'acceptation), 60 % des données de visite sont perdues en moyenne, et les sites dont le dialogue est conforme enregistrent 14 points de pourcentage de consentement de moins que ceux qui poussent visuellement vers l'acceptation. Ces chiffres viennent d'un fournisseur d'analytique européen, donc partie intéressée, sur un échantillon allemand : lisez-les comme un ordre de grandeur, pas comme une valeur québécoise.

Le biais coûte d'ailleurs plus cher que le volume perdu. Le taux de consentement varie fortement selon le canal et la campagne, alors vos données survivantes ne forment pas un échantillon aléatoire de vos visiteurs. Vos taux de conversion comparent des canaux qui n'ont pas le même taux d'acceptation. Une mesure partielle mais neutre vaut mieux qu'une mesure partielle et penchée.

Google répond à cela par la modélisation comportementale, qui reconstitue statistiquement les visiteurs ayant refusé. Sauf que les conditions d'admissibilité publiées par Google sont hors de portée d'une PME : la propriété doit envoyer au moins 1 000 événements par jour avec analytics_storage='denied' pendant au moins 7 jours, et compter au moins 1 000 utilisateurs quotidiens avec le consentement accordé pendant 7 des 28 derniers jours. Un site qui reçoit 3 000 visites par mois n'atteindra jamais ces seuils. La modélisation est une réponse pour les gros sites, pas pour vous.

Les quatre options, par besoin

Fathom Analytics. 15 $ US par mois pour un maximum de 100 000 pages vues, 50 sites inclus, essai de 7 jours. Société canadienne (Conva Ventures), et l'isolation européenne du trafic UE est incluse sur tous les forfaits. C'est notre choix par défaut.

Plausible. 9 $ par mois jusqu'à 10 000 pages vues, 19 $ à 100 000. Code source ouvert et vérifiable, hébergement européen. Le bon choix si le prix d'entrée compte ou si vous voulez pouvoir auditer l'outil.

Matomo auto-hébergé. La version On-Premise est gratuite et le restera, selon Matomo. Vous l'installez sur votre serveur, donc les données ne quittent jamais votre infrastructure. Gratuit ne veut pas dire sans coût : il faut un serveur, des mises à jour et quelqu'un pour s'en occuper. La version infonuagique commence à 29 $ CA par mois avant taxes pour 50 000 requêtes.

GA4 avec le mode consentement. Le choix rationnel si le reciblage publicitaire est central dans votre acquisition. Vous gardez l'écosystème Google et vous payez en bannière, en données manquantes et en biais.

Ce que nous faisons, et pourquoi

Nous installons de l'analytique sans témoins par défaut chez nos clients et sur nos propres sites. Le raisonnement tient en une phrase : les décisions que nous prenons à partir des chiffres (quelles pages amènent des demandes, quelles sources fonctionnent, quels formulaires calent) ne dépendent pas de l'identité d'un visiteur d'une visite à l'autre.

Si vos décisions en dépendent vraiment, gardez GA4 et faites la bannière correctement, avec une politique de confidentialité qui la soutient. Ce qui ne tient pas, c'est la troisième voie, la plus répandue : garder GA4, poser une bannière décorative qui ne bloque rien, et croire que les chiffres sont complets. Vous récoltez alors le risque de conformité et les données biaisées en même temps.

Le choix de l'outil de mesure fait partie de la même conversation que le reste de vos obligations sous la Loi 25, et c'est un des premiers arbitrages que nous posons quand nous construisons ou refondons un site.

→ Parlons de votre site et de votre mesure, sans engagement

Ce texte explique comment la Loi 25 s'applique aux outils de mesure d'achalandage pour aider une PME à poser les bonnes questions ; ce n'est pas un avis juridique. La qualification d'un outil précis dépend de sa configuration réelle et des données qu'il traite. La Commission d'accès à l'information n'a publié aucune décision visant nommément un outil d'analytique : les lectures proposées ici sont les nôtres. Validez votre situation avec un conseiller juridique avant de retirer une bannière existante.