La CNIL

En France, la CNIL admet que certains traceurs de mesure d’audience soient déposés sans le consentement du visiteur, à des conditions strictes. Ses lignes directrices et sa recommandation « cookies et autres traceurs » (2020) et sa page consacrée aux solutions de mesure d’audience les décrivent. eodia analytics est conçu pour permettre de rester dans ce cadre, en mode sans cookie comme en mode cookie de mesure.

Ce qui suit n’est pas un avis juridique

Le respect de l’exemption dépend aussi de votre usage : ce que vous mesurez, ce que vous mettez dans les propriétés des événements, avec qui vous partagez les résultats. Faites valider votre configuration et vos textes par votre délégué à la protection des données (DPO), et reportez-vous aux publications de la CNIL, qui font foi.

Les conditions, et ce qui y répond

Condition	Sans cookie	Cookie de mesure
Une finalité strictement limitée à la mesure d’audience, pour le seul éditeur du site	aucune visualisation hors de votre instance d’eodia insights ; aucun partage avec un tiers	idem
Des données anonymes, sans recoupement avec d’autres traitements	sel du jour détruit le lendemain ; adresse IP jamais enregistrée ; pays seulement	identifiant aléatoire, sans lien avec l’adresse IP ni l’identité
Pas de suivi d’un site à l’autre	le site entre dans le hachage	cookie propriétaire, posé sur le seul domaine du site
Des traceurs limités à 13 mois	aucun traceur ; seul optOut() pose une marque, qui sert à respecter le refus	13 mois au plus, expiration fixée à la création et jamais prolongée
Des données conservées 25 mois au plus	durée de conservation bornée à 25 mois, appliquée chaque nuit	idem
L’information du visiteur et son droit de s’opposer	optOut(), signal Global Privacy Control, texte d’information ci-dessous	idem ; optOut() efface le cookie

Ce qui en sort

Quel que soit le mode, ces usages ne relèvent plus de l’exemption et demandent leur propre base légale :

• les visiteurs connectés : rattacher la mesure à un identifiant de client en fait des données personnelles. La fonction est désactivée par défaut, site par site ;
• le partage des résultats avec un tiers qui les utiliserait pour son compte ;
• des propriétés d’événement qui contiendraient des données personnelles (adresse e-mail, nom, numéro de client) : n’en mettez pas.

Le mode avec consentement ne dépend pas de l’exemption : il laisse votre plateforme de consentement décider. L’écran des Réglages du site rappelle ce que chaque mode implique au moment du choix.

Les sous-domaines

Partager le cookie de mesure entre sous-domaines d’un même éditeur (blog. et boutique.) n’est pas tranché nettement par la CNIL : à faire confirmer par votre DPO avant de l’activer.

Le texte d’information

L’exemption ne dispense pas d’informer les visiteurs, ni de leur permettre de s’opposer. Un texte à adapter, pour votre politique de confidentialité :

Mesure d’audience

Pour comprendre comment notre site est utilisé et l’améliorer, nous mesurons sa fréquentation avec eodia analytics, hébergé par nos soins [ou : par notre prestataire, nom]. Cette mesure produit des statistiques anonymes, réservées à notre seul usage : elle ne sert pas à vous suivre sur d’autres sites, ni à vous identifier, et votre adresse IP n’est pas conservée.

[Mode sans cookie :] Aucun cookie n’est déposé sur votre appareil pour cette mesure.

[Mode cookie de mesure :] Un cookie nommé _eoa, qui contient un identifiant aléatoire, est déposé pour reconnaître votre navigateur d’une visite à l’autre. Il expire 13 mois après son dépôt et n’est jamais prolongé.

Les données sont conservées 25 mois au plus. Vous pouvez vous opposer à cette mesure à tout moment : [Ne plus mesurer ma visite]. Votre navigateur peut aussi l’empêcher en envoyant le signal Global Privacy Control.

Adaptez les crochets : le mode du site, la durée du cookie et de conservation réglées dans ses Réglages, l’hébergeur.

Le lien de refus

Le lien « Ne plus mesurer ma visite » appelle EodiaAnalytics.optOut() :

<button type="button" id="eodia-optout">Ne plus mesurer ma visite</button>
<script>
  document.getElementById('eodia-optout').addEventListener('click', function () {
    window.EodiaAnalytics && EodiaAnalytics.optOut();
    this.textContent = 'La mesure d’audience est désactivée sur ce navigateur.';
    this.disabled = true;
  });
</script>

Le refus est rangé dans le navigateur (localStorage), efface le cookie de mesure et coupe tout envoi pour ce site. EodiaAnalytics.optIn() le lève, pour un bouton « Réactiver ».

En résumé

1. Choisissez le mode du site : sans cookie, ou cookie de mesure (13 mois au plus).
2. Laissez les visiteurs connectés désactivés, sauf base légale propre.
3. Réglez la conservation (25 mois au plus).
4. Publiez le texte d’information et le lien de refus.
5. Ne partagez les résultats avec personne qui les utiliserait pour son compte.
6. Faites relire le tout par votre DPO.