Paramétrer Matomo sans Consentement : Dérogation CNIL

La dérogation CNIL à la mesure d'audience est souvent présentée comme un argument produit ("cet outil est exempté par la CNIL"), ce qui est inexact. L'exemption dépend d'une configuration technique précise appliquée par l'éditeur du site, pas d'un label automatique attaché à un logiciel. Voici les conditions réelles et les réglages Matomo qui permettent de s'en approcher.

Les conditions réelles de l'exemption, selon la CNIL

D'après le texte de référence de la CNIL sur les solutions de mesure d'audience :

• Finalité strictement limitée à la mesure d'audience pour le compte exclusif de l'éditeur du site (performance, détection de bugs de navigation, optimisation technique, capacité serveur, analyse de contenu).

• Les données produites doivent être anonymes en sortie, sans croisement avec d'autres traitements ni transmission de données non anonymes à des tiers.

• Pas de suivi global de la navigation à travers différents sites ou applications avec un même identifiant : pas de cross-site tracking, pas de fingerprinting cross-site.

• Durées limitées : durée de vie du traceur maximum 13 mois (non prolongée à chaque revisite), conservation des données maximum 25 mois.

• Information claire des utilisateurs, via la politique de confidentialité du site.

Depuis juillet 2025, la CNIL propose un programme d'auto-évaluation (5 objectifs, 14 critères) permettant aux éditeurs de solutions de s'auto-déclarer conformes, mais ça reste déclaratif. Aucune liste officielle CNIL ne "reconnaît" nommément Matomo comme solution exemptée : c'est la configuration appliquée sur votre instance qui détermine si vous respectez ou non les critères, pas le logiciel en tant que tel.

Les réglages Matomo à activer

Le point d'entrée se trouve dans Administration > Vie privée > Compliance, avec l'option "Enforce compliance where possible" ("appliquer la conformité quand c'est possible"). Elle active plusieurs comportements automatiquement :

• Anonymisation IP : masquage d'au moins 2 octets (les 2 derniers octets en IPv4, l'équivalent en IPv6).

• Rétention des données fixée automatiquement à 759 jours, cohérente avec le plafond CNIL de 25 mois.

• User ID désactivé : les identifiants explicites côté visiteur ne sont pas autorisés sous exemption, Matomo les désactive automatiquement dans ce mode.

• E-commerce automatiquement passé en mode "Restricted" : l'Order ID est désactivé et anonymisé.

• Cookies limités au first-party, cross-domain tracking désactivé.

Un point que Matomo précise explicitement dans sa documentation officielle et qu'il ne faut pas sauter : la conformité "ne peut pas être confirmée tant que l'opt-out n'est pas configuré". L'option de compliance active les réglages techniques côté serveur, mais le lien ou bouton d'opt-out visible pour les visiteurs reste à ajouter manuellement sur votre site, ce n'est pas automatique.

Christophe Dubois

Consultant tracking & data, freelance senior depuis 2012. Architecture de mesure, server-side, attribution.