TL;DR
Matomo peut être utilisé sans bandeau cookies et sans consentement préalable, mais uniquement si l'outil est configuré en mode "exempté" selon les critères de la CNIL. Cette exemption impose des conditions strictes : finalité limitée à la mesure d'audience pour le compte exclusif de l'éditeur, pas de croisement de données, pas de partage avec des tiers, anonymisation de l'IP, durée de vie des cookies de 13 mois maximum et conservation des données de 25 mois maximum. Si une seule condition n'est pas respectée, le consentement redevient obligatoire.
Matomo est-il exempté de consentement selon la CNIL ?
La CNIL a confirmé que Matomo peut être utilisé pour collecter des données de mesure d'audience sans consentement préalable de l'utilisateur. Matomo est le seul outil d'analytics explicitement cité par la CNIL dans sa documentation sur l'exemption.
Notre fiche service Matomo résume les cookies documentés pour l'outil et les conditions pour l'utiliser sans consentement préalable.
Cette exemption n'est pas automatique. Elle ne s'applique que si Matomo est configuré d'une manière très spécifique. Par défaut, Matomo utilise des cookies first-party et ne partage pas de données avec des tiers, ce qui est un bon point de départ. Mais plusieurs fonctionnalités doivent être désactivées pour rester dans le périmètre de l'exemption.
L'exemption de consentement pour la mesure d'audience est prévue par l'article 82 de la loi Informatique et Libertés. Elle couvre les traceurs dont la finalité se limite strictement à la mesure d'audience, pour le compte exclusif de l'éditeur du site, sans recoupement de données et sans transmission à des tiers.
Quelles sont les conditions de l'exemption CNIL ?
La CNIL définit des critères précis pour qu'un outil de mesure d'audience soit exempté de consentement. Voici les conditions à respecter pour Matomo.
Finalité strictement limitée à la mesure d'audience
L'outil doit servir uniquement à produire des statistiques anonymes et agrégées : pages vues, temps passé, sources de trafic, taux de rebond. Aucune utilisation à des fins de ciblage publicitaire, de profilage ou de personnalisation de contenu n'est autorisée.
Pas de croisement de données avec d'autres traitements
Les données collectées par Matomo ne doivent pas être recoupées avec d'autres bases de données (CRM, emailing, publicité). Chaque site doit avoir ses propres données, indépendantes.
Pas de partage avec des tiers
Les données ne doivent pas être transmises à des tiers, y compris à d'autres filiales du même groupe. C'est l'une des raisons pour lesquelles Google Analytics ne bénéficie pas de cette exemption : les données sont transmises à Google, qui les utilise pour ses propres finalités.
Anonymisation de l'adresse IP
L'adresse IP de l'utilisateur doit être anonymisée. Dans Matomo, il faut activer l'anonymisation d'au moins les deux derniers octets de l'adresse IPv4 (par exemple, 192.168.xxx.xxx).
Durée de vie des cookies limitée à 13 mois
Les cookies de mesure d'audience ne doivent pas avoir une durée de vie supérieure à 13 mois. Cette durée ne doit pas être prolongée automatiquement lors des nouvelles visites.
Cette limite est expliquée plus en détail dans notre article sur la règle des 13 mois de conservation des cookies.
Conservation des données limitée à 25 mois
Les données collectées par l'intermédiaire des traceurs doivent être conservées pour une durée maximale de 25 mois.
Information de l'utilisateur
Même en mode exempté, l'utilisateur doit être informé de l'existence des traceurs et de leur finalité, par exemple dans la politique de cookies du site. L'exemption porte sur le consentement, pas sur l'information.
Comment configurer Matomo en mode exempté ?
La CNIL a publié un guide de configuration détaillé pour Matomo. Voici les étapes principales.
Désactivez les rapports "Journal des visites" et "Profil du visiteur" (dans Administration, Système, Paramètres généraux, section Live). Ces fonctionnalités permettent d'identifier individuellement les visiteurs, ce qui sort du périmètre de l'exemption.
Activez l'anonymisation de l'IP (dans Administration, Vie privée, Anonymiser les données). Anonymisez au minimum les deux derniers octets de l'adresse IPv4.
Vérifiez que le cross-domain tracking n'est pas activé. En mode exempté, chaque site doit être mesuré indépendamment, sans suivi inter-sites.
Vérifiez que les cookies tiers ne sont pas activés. Par défaut, Matomo utilise des cookies first-party, ce qui est correct.
Vérifiez que le User ID n'est pas utilisé. En mode exempté, aucun identifiant personnel (login, email, etc.) ne doit être associé aux visites.
Vérifiez que les fonctionnalités e-commerce ne sont pas activées. Le suivi des commandes et des paniers d'achat nécessite un consentement.
Configurez la durée de vie du cookie de visite à 13 mois maximum et la rétention des données à 25 mois maximum.
Faut-il quand même un bandeau cookies avec Matomo ?
Si Matomo est votre seul outil de tracking et qu'il est configuré en mode exempté CNIL, vous n'avez pas besoin de recueillir le consentement pour Matomo spécifiquement. Cela ne signifie pas que vous n'avez besoin d'aucun bandeau.
Si votre site utilise d'autres traceurs qui nécessitent un consentement (Google Ads, Facebook Pixel, YouTube embeds, boutons de partage social, etc.), vous avez toujours besoin d'un bandeau cookies conforme pour ces traceurs. Matomo sera simplement exclu de la demande de consentement.
Les vidéos intégrées sont un cas fréquent : consultez notre guide pour intégrer des vidéos YouTube sans cookies avec youtube-nocookie afin de les gérer correctement.
Si votre site n'utilise que Matomo en mode exempté et aucun autre traceur, un bandeau cookies n'est pas requis. Cependant, vous devez toujours informer l'utilisateur de l'existence du traceur dans votre politique de confidentialité ou de cookies. Vous devez aussi proposer un mécanisme d'opposition (opt-out), par exemple via le widget Matomo d'opt-out ou en respectant le signal Do Not Track du navigateur.
Un scan de votre site permet de vérifier que Matomo est le seul traceur présent et qu'aucun cookie non exempté n'est déposé.
Matomo vs Google Analytics : pourquoi la CNIL les traite différemment
Google Analytics ne bénéficie pas de l'exemption CNIL pour la mesure d'audience. La raison principale est que les données collectées par Google Analytics sont transmises à Google, qui les utilise potentiellement pour ses propres finalités (publicité, amélioration de ses services). Ce partage avec un tiers disqualifie Google Analytics de l'exemption.
Notre fiche service Google Analytics 4 détaille ses exigences de consentement et la configuration du Consent Mode.
Matomo, en version auto-hébergée (on-premise) ou en version cloud (hébergée en Europe par InnoCraft), conserve les données exclusivement pour le compte de l'éditeur du site. InnoCraft s'engage contractuellement à ne pas utiliser les données pour son propre compte et à ne pas les partager avec des tiers.
Cette différence fondamentale explique pourquoi Matomo peut fonctionner sans consentement en France (sous conditions), alors que Google Analytics nécessite toujours un consentement préalable.
Pour d'autres façons de mesurer l'audience avec moins de contraintes de consentement, consultez notre guide complet de l'analytics sans cookies.
Erreurs fréquentes (et comment les éviter)
Croire que Matomo est automatiquement exempté. L'exemption ne s'applique que si Matomo est configuré selon les critères de la CNIL. Une installation par défaut n'est pas forcément conforme. Correction : suivez le guide de configuration CNIL point par point et documentez votre configuration dans votre registre des traitements.
Activer des fonctionnalités qui sortent du périmètre. Le User ID, le e-commerce tracking, les heatmaps, les session recordings et le cross-domain tracking nécessitent un consentement. Si vous activez l'une de ces fonctionnalités, l'exemption ne s'applique plus à l'ensemble de votre installation Matomo. Correction : désactivez toutes les fonctionnalités non compatibles avec l'exemption.
Oublier d'informer les utilisateurs. L'exemption porte sur le consentement, pas sur l'information. Vous devez informer vos visiteurs de l'utilisation de Matomo dans votre politique de confidentialité. Correction : ajoutez une mention claire dans votre politique de cookies.
Ne pas proposer de mécanisme d'opposition. Même en mode exempté, la CNIL recommande de permettre aux utilisateurs de s'opposer au suivi. Correction : intégrez le widget d'opt-out Matomo ou respectez le signal Do Not Track.
Utiliser Matomo et Google Analytics en parallèle. Si vous utilisez GA en plus de Matomo, le bandeau cookies est obligatoire pour GA. Et si les données de Matomo sont recoupées avec celles de GA ou d'un autre outil, l'exemption Matomo ne s'applique plus. Correction : si vous passez à Matomo en mode exempté, supprimez GA ou soumettez-le au consentement de manière indépendante.
Checklist : Matomo en mode exempté CNIL
- Matomo est hébergé en auto-hébergé (on-premise) en UE ou sur Matomo Cloud (serveurs en UE).
- L'anonymisation de l'IP est activée (au moins les deux derniers octets).
- Le Journal des visites et le Profil du visiteur sont désactivés.
- Le User ID n'est pas utilisé.
- Le cross-domain tracking n'est pas activé.
- Les cookies tiers ne sont pas activés.
- Le e-commerce tracking n'est pas activé.
- La durée de vie du cookie de visite est de 13 mois maximum.
- La conservation des données est de 25 mois maximum.
- L'utilisateur est informé de l'utilisation de Matomo (politique de confidentialité).
- Un mécanisme d'opposition (opt-out ou Do Not Track) est disponible.
- Un audit de cookies confirme qu'aucun autre traceur non exempté n'est présent.
Conclusion
Matomo est le seul outil d'analytics cité par la CNIL comme éligible à l'exemption de consentement pour la mesure d'audience. Mais cette exemption n'est pas un passe-droit : elle impose une configuration stricte, une finalité limitée et une transparence envers les utilisateurs.
Si votre site utilise d'autres traceurs (publicité, réseaux sociaux, vidéos intégrées), vous aurez quand même besoin d'un bandeau cookies pour ces traceurs. Matomo ne dispense du consentement que pour la partie mesure d'audience, et uniquement si les conditions CNIL sont toutes remplies.
Pour vérifier les traceurs présents sur votre site et identifier ceux qui nécessitent un consentement, lancez un scan gratuit avec FlowConsent.