Un guide pratique de analyse web respectueuse de la vie privee

Les équipes analytics n’ont pas besoin d’attendre chaque réforme pour agir, car les textes de 2026 pointent tous dans la même direction : l’analyse web respectueuse de la vie privée.

L’analytics web de confidentialité en 2026 avance dans deux directions à la fois. Les régulateurs veulent réduire la fatigue du consentement pour les usages réellement à faible risque. En même temps, ils tracent des lignes plus claires autour du suivi, du profilage, de la publicité et de l’accès aux appareils.

Pour les équipes analytics, la réponse la plus sûre n’est pas d’attendre que chaque réforme soit stabilisée. Construisez une mesure assez minimale pour survivre aux deux directions.

UE : le Digital Omnibus est une proposition, pas un passe-droit

Le 19 novembre 2025, la Commission européenne a annoncé des propositions Digital Omnibus destinées à simplifier certaines parties de la réglementation numérique européenne, y compris les règles RGPD et ePrivacy. Les propositions restent des propositions législatives, pas le droit en vigueur.

En février 2026, l’EDPB et l’EDPS ont publié une opinion conjointe soutenant la simplification en principe tout en avertissant qu’elle ne doit pas affaiblir les droits fondamentaux.

À retenir : ne redessinez pas l’analytics autour de règles à l’état de projet. Mais surveillez la direction. Les institutions européennes discutent activement de la réduction des prompts de consentement à faible valeur tout en préservant les protections contre le suivi.

Royaume-Uni : les recommandations de stockage et d’accès dépassent les cookies

Le 29 avril 2026, l’ICO britannique a annoncé ses recommandations finales sur les Storage and Access Technologies. Les recommandations couvrent les cookies, pixels de suivi, device fingerprinting et technologies similaires au titre de PECR et, lorsque pertinent, de l’UK GDPR.

Ce langage compte. La conversation britannique ne porte plus seulement sur les « cookie banners ». Elle porte sur toute technologie qui stocke ou accède à des informations sur un appareil.

Pour les équipes analytics, examinez :

• cookies
• localStorage et sessionStorage
• pixels
• SDKs
• signaux de fingerprinting
• link decoration
• suivi server-side dépendant d’identifiants navigateur

France : les exemptions de consentement restent strictes

La CNIL reste l’un des régulateurs les plus clairs sur la mesure d’audience. Ses recommandations analytics autorisent des exemptions de consentement uniquement pour une mesure d’audience limitée et indiquent que la plupart des grandes solutions de mesure d’audience n’y sont pas éligibles quelle que soit la configuration.

Les critères sont pratiques : finalité limitée, pas de suivi cross-site, pas de combinaison avec d’autres traitements, conservation limitée, information de l’utilisateur et pas de transfert ou de réutilisation au-delà des besoins de mesure de l’éditeur.

Si vos données analytics alimentent la publicité, la personnalisation, le benchmarking de plateforme ou des datasets cross-customer, ne les traitez pas comme de la mesure d’audience exemptée.

EDPB : l’accès aux appareils est large

Les Guidelines 2/2023 on Article 5(3) finales de l’EDPB confirment qu’ePrivacy s’applique à plus que les cookies. Le stockage et l’accès peuvent inclure les pixels de suivi, identifiants locaux, lectures SDK et autres interactions techniques avec l’équipement terminal.

C’est important pour les fournisseurs "cookieless". Si un outil évite les cookies mais fingerprint les appareils, lit le stockage local ou construit des identifiants stables à partir de signaux d’appareil, il peut encore nécessiter le consentement.

Ce que les équipes analytics doivent faire en 2026

Auditez votre stack avec quatre catégories :

1. Opérations essentielles : sécurité, équilibrage de charge, prévention de la fraude, stockage du consentement.
2. Mesure d’audience de base : analytics agrégée pour votre propre site.
3. Analytics produit : usage produit authentifié et activation.
4. Publicité et profilage : retargeting, conversion publicitaire, audiences lookalike, enrichissement de données.

Chaque catégorie a besoin de contrôles différents. Ne les mélangez pas sous une seule étiquette "analytics".

Règles de configuration pratiques

• Utilisez une analytics sans cookies pour la mesure de site public lorsque c’est possible.
• Évitez les identifiants cross-site.
• N’envoyez pas par défaut les données analytics aux réseaux publicitaires.
• Supprimez les paramètres de requête sauf les tags de campagne autorisés.
• Gardez les données géographiques approximatives.
• Excluez les pages sensibles.
• Séparez la télémétrie produit de l’analytics marketing.
• Respectez les choix de consentement et les signaux d’opt-out.
• Documentez les rôles fournisseurs et transferts de données.
• Revoyez les conteneurs de tags mensuellement.

Comment rendre la mesure durable

Le modèle de mesure le plus susceptible de survivre aux réformes est simple :

• pages vues agrégées
• domaines referrers
• reporting des campagnes UTM
• top pages
• rapports approximatifs d’appareil et de pays
• événements de conversion avec payloads minimaux
• conservation courte
• pas de réutilisation publicitaire
• pas d’identité cross-site

Ce modèle peut être éligible à des exemptions dans certaines juridictions, et lorsqu’il ne l’est pas, il est plus facile à expliquer et à soumettre au consentement.

Checklist de préparation 2026

Construisez une analytics capable de survivre au mouvement réglementaire : événements minimisés, pas de données personnelles dans les URL, conservation courte, rôles fournisseurs documentés, preuves de consentement ou d’exemption, gestion GPC pour les lois de confidentialité américaines applicables et registre de tags que le marketing ne peut pas contourner.

Revoyez la configuration chaque trimestre par rapport aux recommandations actuelles des régulateurs. Les systèmes de mesure les plus résilients sont ennuyeux : peu de scripts, finalités claires, reporting agrégé lorsque c’est possible et comportement navigateur qui correspond à la notice de confidentialité.

L’essentiel

La réglementation confidentialité 2026 ne devient pas « tout est permis ». Elle devient plus précise. La mesure d’audience à faible risque peut obtenir des chemins plus clairs. Le suivi de style surveillance restera sous pression.

Construisez l’analytics pour la seconde réalité : assez utile pour les décisions, assez minimale pour la confiance.

Checklist de préparation analytics 2026

Traitez 2026 comme une année de configuration, pas seulement de veille juridique. Inventoriez toutes les technologies de stockage et d’accès : cookies, local storage, pixels, SDKs, signaux de fingerprinting, tags server-side et widgets intégrés. Les recommandations finales de l’ICO sur les storage and access technologies sont utiles parce qu’elles regardent au-delà du mot "cookie" et demandent ce que la technologie stocke ou lit réellement.

Classez ensuite chaque outil par finalité : strictement nécessaire, mesure d’audience à faible risque, amélioration produit, personnalisation, publicité, sécurité ou prévention de la fraude. Ne regroupez pas analytics et publicité dans un seul interrupteur de consentement. Vérifiez si chaque propriété d’événement est nécessaire, si les URL sont nettoyées, si le traitement de l’IP correspond à votre notice de confidentialité et si la conservation est documentée. Préparez-vous aux signaux de préférence des navigateurs ou systèmes d’exploitation en rendant les tags conditionnels et auditables. Enfin, gardez un dashboard de secours qui ne dépend pas d’identifiants personnels. Si un régulateur, navigateur ou changement fournisseur casse un suivi à haut risque, l’entreprise doit toujours savoir si le trafic, le contenu et les conversions vont dans la bonne direction.

Questions fréquentes

Qu'est-ce que le Digital Omnibus, et est-il déjà en vigueur ?

Le Digital Omnibus est un ensemble de propositions que la Commission européenne a annoncées le 19 novembre 2025 pour simplifier des parties du RGPD et des règles ePrivacy. Il n'a pas encore été adopté. Les équipes analytics devraient suivre la direction du débat sans reconstruire leur mesure autour de règles encore à l'état de projet.

L'EDPB et l'EDPS ont-ils soutenu le Digital Omnibus ?

En février 2026, l'EDPB et l'EDPS ont publié un avis conjoint favorable à la simplification sur le principe. Ils ont aussi averti qu'aucun changement ne devait affaiblir les droits fondamentaux, donc les propositions ne sont pas un chemin garanti vers des règles plus souples.

Les recommandations britanniques sur le stockage et l'accès concernent-elles uniquement les cookies ?

Les recommandations britanniques sur le stockage et l'accès vont bien au-delà des cookies. Les recommandations finales de l'ICO, publiées le 29 avril 2026, couvrent les pixels de suivi, le fingerprinting des appareils et les technologies similaires au titre du PECR et du RGPD britannique.

Que doivent vérifier les équipes analytics britanniques d'après les recommandations de l'ICO ?

Les recommandations pointent vers les cookies, le localStorage et le sessionStorage, les pixels, les SDK, les signaux de fingerprinting, la décoration de liens et le tracking côté serveur qui dépend d'identifiants du navigateur. Chacun de ces éléments peut relever du PECR, même sans cookie.

Quels usages analytics peuvent se passer du consentement selon les règles de la CNIL ?

La fiche de la CNIL n'autorise l'exemption de consentement que pour la mesure d'audience limitée, et elle précise que la plupart des grandes solutions de mesure d'audience ne remplissent pas cette condition, quelle que soit leur configuration. L'exemption dépend d'une finalité limitée, de l'absence de suivi intersite, de l'absence de combinaison avec d'autres traitements, d'une conservation limitée, d'une information des utilisateurs, et de l'absence de transfert ou de réutilisation au-delà du besoin de mesure de l'éditeur.

Un outil analytics sans cookies peut-il quand même exiger un consentement ?

Un outil peut se passer de cookies et exiger malgré tout un consentement. Les lignes directrices finales 2/2023 de l'EDPB sur l'article 5(3) confirment que l'ePrivacy couvre les pixels de suivi, les identifiants locaux, les lectures de SDK et d'autres interactions avec l'appareil, de sorte que le fingerprinting ou des identifiants stables issus de l'appareil peuvent déclencher les mêmes règles que les cookies.

En combien de catégories les équipes analytics doivent-elles classer leurs outils ?

En quatre : les opérations essentielles, la mesure d'audience de base, l'analytics produit, et la publicité et le profilage. Chaque catégorie a besoin de ses propres contrôles, et les regrouper toutes sous une seule étiquette "analytics" est justement l'erreur contre laquelle met en garde l'article.

Quelles données faut-il exclure des événements analytics pour qu'ils restent à faible risque ?

Retirez les paramètres de requête sauf les tags de campagne autorisés, gardez des données géographiques peu précises et excluez les pages sensibles. Les données analytics ne devraient pas non plus partir par défaut vers des régies publicitaires, et la télémétrie produit doit rester séparée de l'analytics marketing.

À quoi ressemble une mesure conçue pour survivre aux évolutions réglementaires ?

L'article la décrit comme des pages vues agrégées, des domaines référents, des rapports de campagnes UTM et les pages les plus visitées. Il y ajoute des rapports d'appareil et de pays peu précis, des événements de conversion aux charges utiles minimales, une conservation courte, aucune réutilisation publicitaire et aucune identité intersite. Ce modèle peut se qualifier pour des exemptions là où elles existent, et ailleurs il reste assez simple à expliquer et à faire consentir.

À quelle fréquence faut-il revoir la configuration des tags ?

Les conteneurs de tags doivent être revus chaque mois, et l'ensemble du dispositif doit être vérifié chaque trimestre au regard des recommandations en vigueur des régulateurs. Ce rythme permet de repérer les ajouts marketing avant qu'ils ne transforment un dispositif analytics conforme en un dispositif qui exige un nouveau consentement.