Google Analytics reste l'outil de mesure d'audience le plus utilisé sur les sites web français, y compris sur des sites de TPE/PME qui n'ont jamais réellement interrogé sa conformité RGPD. Ce n'est pourtant pas un détail technique secondaire : c'est un point que la CNIL a explicitement traité, et qui expose l'éditeur du site à un risque juridique réel, pas seulement théorique.
Le problème n'est pas l'outil, c'est le transfert de données
Google Analytics n'est pas problématique en soi parce qu'il mesure des visites. Il l'est parce que les données collectées (adresse IP, identifiants, comportement de navigation) transitent par des serveurs soumis au droit américain, chez un hébergeur qui peut être contraint de communiquer des données à des autorités américaines (loi FISA notamment). Depuis l'arrêt "Schrems II" de la Cour de justice de l'Union européenne en 2020, ce type de transfert vers les États-Unis, sans garanties suffisantes, est juridiquement fragile. Plusieurs autorités de protection des données en Europe, dont la CNIL en France, ont mis en demeure des sites utilisant Google Analytics pour cette raison précise.
Ce que ça change concrètement pour un site de TPE/PME
Concrètement, utiliser Google Analytics tel quel expose à trois risques cumulés :
- Une mise en demeure de la CNIL en cas de contrôle ou de plainte, avec obligation de mise en conformité sous délai.
- Une politique de cookies qui doit expliquer un transfert de données hors UE difficile à justifier simplement auprès des visiteurs.
- Une dépendance à la politique de confidentialité de Google, qui peut évoluer sans que l'éditeur du site en garde la maîtrise.
Pour une petite structure, le risque réel n'est pas nécessairement une sanction financière immédiate — c'est surtout le temps perdu en cas de mise en demeure, et l'image dégradée si la situation devient publique.
Matomo auto-hébergé : la même mesure d'audience, sans le transfert de données
Matomo est un outil de mesure d'audience open-source qui fait globalement la même chose que Google Analytics (visites, pages vues, sources de trafic, conversions), mais avec une différence structurante : il peut être installé sur un serveur que vous maîtrisez entièrement, en Europe. Les données ne quittent jamais votre infrastructure. Il n'y a donc plus de question de transfert vers un pays tiers, puisqu'il n'y a pas de tiers.
C'est exactement le choix fait sur ce site : miicom.fr utilise Matomo auto-hébergé sur un serveur Miicom (matomo.miicom.fr), pas Google Analytics. Les statistiques de visites, le suivi des objectifs (comme la soumission du formulaire de contact) et l'analyse du trafic sont mesurés avec le même niveau de détail qu'avec un outil propriétaire, mais sans dépendre d'un hébergeur extra-européen.
Est-ce plus compliqué à mettre en place ?
L'installation initiale de Matomo demande un serveur et une configuration technique, ce qui explique pourquoi Google Analytics reste plus répandu : son installation se limite à coller un identifiant de suivi. Une fois Matomo installé, en revanche, l'usage au quotidien est identique — tableaux de bord, rapports, objectifs, export de données. Pour une TPE/PME qui fait développer ou héberger son site par un prestataire, l'installation de Matomo se fait en général en même temps que la mise en ligne du site, sans surcoût de gestion notable ensuite.
Ce qu'il faut aussi faire évoluer : la politique de confidentialité
Changer d'outil de mesure d'audience ne suffit pas à lui seul : la politique de confidentialité et la bannière de consentement cookies doivent être mises à jour pour refléter l'outil réellement utilisé et la localisation réelle des données. Une politique de confidentialité qui mentionne encore un outil qui n'est plus utilisé sur le site expose à la même incohérence qu'un site qui n'aurait jamais traité le sujet — un document légal doit rester le reflet exact de ce qui tourne réellement sur le site.
Faut-il redemander le consentement des visiteurs après une migration ?
Oui, dans la plupart des cas. Le consentement recueilli pour un outil donné (Google Analytics) ne vaut pas automatiquement pour un autre outil (Matomo), même si la finalité — mesurer l'audience — est identique. La bannière de consentement cookies doit être mise à jour pour nommer le nouvel outil, et un nouveau recueil du consentement est en général nécessaire lors du prochain passage du visiteur sur le site. C'est l'occasion, au passage, de vérifier que la durée de conservation du consentement (13 mois maximum, recommandation CNIL) est bien respectée.
Peut-on utiliser Matomo sans bannière de cookies ?
Sous certaines conditions, oui. Configuré en mode "sans cookie" (anonymisation complète de l'adresse IP, pas de traceur déposé sur le poste du visiteur), Matomo peut être qualifié d'exempté de consentement au sens des recommandations de la CNIL sur les cookies de mesure d'audience. C'est une nuance importante à faire vérifier par un professionnel avant de retirer une bannière de consentement existante, la qualification exacte dépendant de la configuration technique retenue.
Comment nous le faisons chez Miicom
Nous n'envoyons pas nos clients ouvrir un compte chez un éditeur : nous exploitons notre propre instance Matomo, hébergée en France, chez un hébergeur français. Les données d'audience des sites que nous suivons ne quittent donc pas le territoire, et ne transitent par aucune société soumise à une législation extraterritoriale.
Concrètement, un client qui nous confie son site n'a rien à installer ni à administrer : nous ajoutons son site à l'instance, nous posons le traceur, et il reçoit ses statistiques. L'instance est tenue à jour et supervisée comme le reste de notre infrastructure.
On y retrouve tout ce qu'on attend d'un outil de mesure d'audience : le trafic dans le temps, les pages consultées, les sources d'acquisition, les conversions. Rien n'a été sacrifié en passant de Google Analytics à Matomo — c'est la même finesse d'analyse, sur une donnée qui reste en France.
Elle est configurée pour relever de l'exemption de consentement prévue par la CNIL pour la mesure d'audience — anonymisation de l'adresse IP, absence de recoupement avec d'autres traitements, absence de suivi entre sites, durée de conservation encadrée. C'est ce qui permet, dans la plupart des cas, de se passer de bandeau cookie pour la partie mesure d'audience. Comme expliqué plus haut, la qualification exacte dépend de la configuration retenue et mérite d'être validée avant de retirer une bannière existante : nous le vérifions site par site, nous ne le promettons pas d'avance.
En résumé
Google Analytics n'est pas illégal en soi, mais son usage sans précaution particulière pose une vraie question de conformité RGPD liée au transfert de données vers les États-Unis. Matomo auto-hébergé permet de conserver une mesure d'audience tout aussi complète, en gardant la donnée en Europe et sous votre propre maîtrise — c'est le choix retenu sur ce site depuis sa mise en place.