Mesurer son marketing sans se mettre hors la loi : les chiffres qui décident, et la configuration RGPD que presque personne n'a

L'essentiel à retenir

Un indicateur ne sert à rien s'il ne débouche pas sur une décision. Le test élimine presque tous les chiffres que les plateformes mettent en avant : si le nombre change de 20 % dans un sens ou dans l'autre, qu'est-ce que vous faites différemment lundi matin ? Le nombre d'abonnés, la portée d'une publication, le nombre de sessions ne passent pas ce test dans une TPE. Le taux de transformation des devis, la marge contributive par commande, le coût d'acquisition d'un client et la part de clients qui reviennent le passent. La règle pratique : trois à cinq indicateurs, relevés une fois par mois, toujours les mêmes, avec pour chacun un seuil écrit qui déclenche une action. Bpifrance Création dit la même chose : un bon indicateur est « simple à comprendre, facile à mettre à jour, relié à un objectif précis et utile pour décider d'une action », et un tableau de bord trop chargé finit par ne plus être ouvert (Bpifrance Création, « Les tableaux de bord de gestion », page mise à jour en avril 2026).

Le deuxième point est juridique, et c'est celui que les fiches marketing habituelles passent sous silence. Déposer un traceur sur le terminal d'un visiteur suppose son consentement préalable, sauf exceptions limitativement définies (article 82 de la loi Informatique et Libertés). La mesure d'audience fait partie des exceptions possibles, mais seulement si elle respecte une liste de critères cumulatifs que la CNIL a publiés et détaillés dans un outil d'auto-évaluation en juillet 2025 : finalité strictement statistique, aucune mesure à visée marketing — la mesure de conversion et la performance des campagnes publicitaires sont explicitement exclues —, cookies internes au site uniquement, adresse IP tronquée, rapports anonymes, durée de vie des traceurs limitée à 13 mois et conservation des données à 25 mois (CNIL, « Cookies : solutions pour les outils de mesure d'audience », page mise à jour le 4 juillet 2025 ; CNIL, outil d'auto-évaluation, juillet 2025). Conséquence directe et rarement dite : si vous voulez mesurer vos conversions pour calculer un coût d'acquisition, vous sortez de l'exemption et il vous faut un vrai bandeau, avec un bouton « Tout refuser » aussi accessible que « Tout accepter ».

Il faut donc choisir entre deux configurations. Soit une mesure d'audience volontairement pauvre — combien de visites, sur quelles pages, d'où viennent-elles en gros — installée sans bandeau parce qu'elle entre dans l'exemption : c'est suffisant pour beaucoup d'artisans et de prestataires, et c'est gratuit avec un outil comme Matomo auto-hébergé, pour lequel la CNIL héberge un guide de configuration. Soit une mesure marketing complète, avec suivi des conversions, et alors un bandeau conforme devient obligatoire, en sachant qu'une part des visiteurs refusera et que vos chiffres seront partiels. La troisième voie, la plus sous-estimée, ne passe par aucun outil web : poser la question « comment nous avez-vous connus ? » à chaque premier contact et noter la réponse dans un tableur. Sur quelques dizaines de clients par an, cette donnée déclarée est plus fiable que n'importe quelle attribution automatique, elle ne coûte rien et ne pose aucun problème de conformité.

1. Ce qu'il faut mesurer dépend de votre modèle, pas de votre outil

L'erreur de départ est d'ouvrir un outil d'analyse et de regarder ce qu'il propose. Un outil de mesure d'audience mesure ce qu'un site sait produire : des visites, des pages, des durées. Si votre chiffre d'affaires ne se joue pas sur le site — cas de l'immense majorité des artisans, commerçants et prestataires français — ces chiffres décrivent une activité périphérique et vous font piloter la mauvaise chose.

Partez de la question inverse : par quel enchaînement d'étapes un inconnu devient-il chez vous un client qui paie ? Chaque étape est mesurable, et c'est là que se trouvent vos indicateurs. Le tableau ci-dessous propose ce tri pour quatre modèles courants ; les verdicts relèvent d'un jugement de gestion, pas d'une source.

Trois commentaires sur ce tableau.

Le taux de transformation des devis est l'indicateur le plus rentable qui existe pour un prestataire, et presque personne ne le calcule. Il ne demande aucun outil : devis signés divisés par devis envoyés sur la même période. Une entreprise qui passe de 22 % à 33 % augmente son chiffre d'affaires de 50 % sans une seule demande entrante supplémentaire, donc sans un euro de marketing. Tant que ce chiffre est inconnu, dépenser en publicité revient à verser de l'eau dans un seau percé.

Dans le commerce, la part du chiffre d'affaires faite par les clients déjà venus vaut mieux que le comptage de passages. Elle demande un support — carte de fidélité, fichier client — mais elle indique si vous construisez un fonds de commerce ou si vous rachetez chaque mois vos clients au marché.

Le taux de résiliation mensuel est mal intuité. Un taux de 5 % par mois paraît anodin : il signifie une durée de vie moyenne de vingt mois, soit un renouvellement complet de la base tous les deux ans. À 3 %, elle passe à trente-trois mois — plus d'un tiers de revenus cumulés en plus, à effort commercial égal.

1.1 Les indicateurs de vanité, et pourquoi ils sont si difficiles à lâcher

On appelle indicateur de vanité un chiffre qui monte, qui est agréable à regarder et qui ne conditionne aucune décision : nombre d'abonnés, nombre de « j'aime », portée d'une publication, nombre de visites du site, nombre de téléchargements d'un document gratuit.

Ils sont difficiles à lâcher pour deux raisons qui n'ont rien d'irrationnel : ce sont les seuls chiffres immédiatement disponibles, affichés en premier et sans configuration ; et ce sont les seuls qui bougent tous les jours, alors qu'un taux de transformation ne devient lisible qu'au bout de plusieurs dizaines de devis. On préfère un chiffre faux qui bouge à un chiffre juste qui met trois mois à se former.

Leur seul usage défendable est relatif et interne : comparer deux publications entre elles pour savoir laquelle a intéressé, puis en tirer une hypothèse à tester ailleurs. Comparé à lui-même dans le temps, un chiffre de portée ne dit presque rien : les plateformes modifient leurs règles de diffusion sans prévenir, et une baisse peut n'avoir aucun rapport avec ce que vous publiez.

1.2 Un ordre de grandeur pour situer le décor

La publicité numérique en France a représenté 12,4 milliards d'euros en 2025, en croissance de 11 %, dont 4,93 milliards pour le search et 4,18 milliards pour le social ; huit acteurs mondiaux en captent environ 76 % (SRI, UDECAM et Oliver Wyman, 35e Observatoire de l'e-pub, publié le 10 février 2026). Ce chiffre n'a pas d'usage opérationnel direct, mais il explique une chose : les outils de mesure que vous installez gratuitement appartiennent pour la plupart aux entreprises qui vivent de ce marché. D'où des indicateurs par défaut qui poussent à acheter de la diffusion, et une mesure de conversion traitée comme une évidence — alors que le droit français en fait une finalité marketing soumise à consentement.

2. Coût d'acquisition client et valeur vie client : le calcul complet, montants posés

Deux notions suffisent à trancher la question « est-ce que mon marketing est rentable ». Le coût d'acquisition client (CAC) est le total de ce que vous avez dépensé pour obtenir des clients sur une période, divisé par le nombre de nouveaux clients obtenus sur cette même période. La valeur vie client (VVC, souvent abrégée LTV) est la marge cumulée qu'un client vous laisse sur toute la durée de sa relation avec vous.

Les deux calculs sont simples. Ce qui les rend faux, presque toujours, est ce qu'on oublie d'y mettre.

2.1 Les cinq erreurs de périmètre qui faussent un CAC

1. Ne compter que la publicité. Le temps passé à produire du contenu, à répondre aux messages, à relancer des prospects est du temps non facturable, donc un coût réel. Valorisez-le à votre coût horaire, même approximativement.
2. Compter tous les clients, pas seulement les nouveaux. Une commande d'un client existant n'entre pas au dénominateur.
3. Ne pas décaler les périodes. Une dépense de septembre peut produire un client en novembre. Sur des cycles longs — bâtiment, conseil, équipement — comparez des périodes glissantes de six ou douze mois.
4. Oublier les abonnements aux outils. Emailing, page de vente, prise de rendez-vous en ligne : ils font partie du coût d'acquisition.
5. Mélanger les canaux. Un CAC global dit si l'ensemble tient ; un CAC par canal dit lequel arrêter. Le second suppose de savoir d'où viennent vos clients — d'où la question posée au premier contact.

2.2 Exemple complet : une petite boutique en ligne de cosmétiques solides

Les chiffres ci-dessous sont construits pour l'illustration. L'entreprise est fictive et les montants sont des ordres de grandeur plausibles : ils ne proviennent d'aucune enquête et ne doivent pas servir de référence de marché. La structure du calcul, elle, est directement réutilisable.

Contexte. Micro-entreprise, une personne, vente en ligne de savons et shampoings solides. Trimestre observé : janvier à mars. Panier moyen constaté : 38 euros TTC. TVA à 20 %.

Étape 1 — le dénominateur. Sur le trimestre, 74 clients ont passé une première commande. C'est le nombre de nouveaux clients.

Étape 2 — le numérateur, ligne par ligne.

Étape 3 — le coût d'acquisition. 2 217 € ÷ 74 nouveaux clients = 29,96 € par client acquis.

Étape 4 — la marge réellement dégagée par une commande. C'est l'étape que l'on saute et qui fait tout basculer. On ne compare pas le CAC au chiffre d'affaires, on le compare à la marge.

Étape 5 — la valeur vie client. Sur les clients acquis deux ans plus tôt, l'entreprise constate 1,9 commande par client sur 24 mois. La valeur vie client, exprimée en marge et non en chiffre d'affaires, vaut donc 16,75 € × 1,9 = 31,83 €.

Étape 6 — le verdict. Le rapport entre valeur vie client et coût d'acquisition vaut 31,83 ÷ 29,96 = 1,06. Sur deux ans, chaque client rembourse tout juste ce qu'il a coûté à acquérir et ne laisse rien pour couvrir les charges fixes ni rémunérer la dirigeante. L'entreprise a une activité, un chiffre d'affaires en croissance, et un modèle qui ne finance pas son propre développement. C'est le résultat le plus fréquent de ce calcul fait honnêtement pour la première fois, et c'est précisément pour cela qu'il faut le faire.

Étape 7 — les leviers, chiffrés. Une fois le calcul posé, ils deviennent comparables.

Le calcul du deuxième levier : panier 46 € TTC ÷ 1,20 = 38,33 € HT, × 0,62 = 23,77 € de marge brute, − 2,10 € d'expédition − 0,89 € de commission = 20,78 € de marge contributive, × 1,9 commande = 39,52 €.

Trois enseignements. Aucun levier isolé ne redresse la situation : il faut en actionner deux ou trois. La fidélisation est ici le plus puissant, parce qu'elle multiplie une marge sans consommer de coût d'acquisition supplémentaire. Et un rapport de 2,69 reste sous le repère de 3 souvent cité en gestion — règle empirique d'usage courant, pas norme issue d'une source officielle.

2.3 Le même calcul chez un prestataire de services, en version courte

Le contraste est instructif. Chiffres également construits pour l'illustration.

Un consultant en organisation dépense sur un trimestre 900 euros de publicité locale, 180 euros d'annuaire professionnel, et consacre 24 heures à de la prospection et à des rendez-vous non facturés, valorisées à 55 euros de l'heure, soit 1 320 euros. Total : 2 400 euros. Il signe 6 nouveaux clients. Son CAC est de 400 euros par client.

Sa mission moyenne se facture 2 800 euros pour une marge contributive de 55 %, soit 1 540 euros. Ses clients lui confient en moyenne 2,4 missions sur trois ans. Sa valeur vie client est de 1 540 × 2,4 = 3 696 euros, pour un rapport de 9,2.

Un CAC de 400 euros est-il « cher » ? La question n'a pas de sens dans l'absolu : il est treize fois supérieur à celui de la boutique en ligne, pour une situation économique huit fois meilleure. Un coût d'acquisition se juge contre la marge qu'il achète et contre le délai au bout duquel cette marge rentre. Ce dernier point est un enjeu de trésorerie : le consultant décaisse 400 euros et encaisse sa marge sur trois ans, ce qui suppose de financer l'écart.

3. Les outils gratuits, et ce qu'ils donnent vraiment

Trois remarques de fond.

Search Console est l'outil le plus sous-utilisé et le moins problématique. Il ne mesure pas vos visiteurs : il montre comment le moteur voit votre site, sur quelles requêtes vous apparaissez, à quelle position, combien de fois on clique. Pour une TPE qui veut savoir si son site sert à quelque chose, c'est souvent plus actionnable qu'un outil d'audience — et rien n'étant déposé chez le visiteur, cela ne déclenche aucune obligation à son égard.

Les statistiques natives des réseaux ne sont pas comparables entre elles. La définition d'une vue, d'une portée, d'un engagement diffère d'une plateforme à l'autre et change dans le temps. Consolider les « vues » de trois réseaux dans un même total produit un chiffre qui ne mesure rien.

Le tableur bat l'outil d'analyse dans une TPE, et ce n'est pas une provocation. Sur trente ou soixante clients par an, l'attribution automatique est structurellement mauvaise : elle ne voit pas la recommandation orale, ne relie pas la personne qui a vu votre camionnette et tapé votre nom trois semaines plus tard, et perd la trace dès que le prospect change d'appareil. La question « comment avez-vous entendu parler de nous ? » capture ce que l'outil ne verra jamais.

4. Le volet RGPD : ce que dit vraiment le droit français sur la mesure d'audience

C'est la partie que vous ne trouverez pas dans les articles de marketing, et c'est celle qui expose le plus de sites de TPE.

4.1 Le principe : le consentement est la règle, l'exemption est l'exception

Le dépôt et la lecture d'informations sur le terminal d'un utilisateur — cookies, mais aussi pixels, identifiants locaux, empreinte de navigateur — sont soumis à son consentement préalable. Le fondement est l'article 5(3) de la directive ePrivacy 2002/58/CE, transposé en droit français à l'article 82 de la loi Informatique et Libertés. Certains traceurs échappent à cette obligation parce qu'ils sont strictement nécessaires au service demandé : authentification, panier d'achat, mémorisation de la langue choisie, répartition de charge, limitation d'accès à un contenu payant — et, sous conditions, la mesure d'audience (CNIL, « Cookies et traceurs : que dit la loi ? », page mise à jour le 29 septembre 2020).

Repère légal L'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée impose une information claire et un consentement préalable avant toute inscription ou lecture d'informations dans l'équipement terminal d'un utilisateur, sauf lorsque l'opération a pour finalité exclusive de permettre ou faciliter la communication électronique, ou est strictement nécessaire à la fourniture d'un service expressément demandé. La CNIL rappelle que la poursuite de la navigation ne vaut plus consentement, que le refus doit être possible par une action aussi simple que l'acceptation, et que le responsable doit être en mesure de prouver le recueil valable du consentement (CNIL, questions-réponses sur les lignes directrices et la recommandation « cookies », page mise à jour le 29 avril 2026). Le manquement à l'article 82 est passible d'une amende pouvant atteindre 2 % du chiffre d'affaires (CNIL, bilan de la deuxième campagne de mises en demeure « cookies », publié le 14 septembre 2021). Le montant plafond du texte n'a pas pu être vérifié directement sur Légifrance, qui renvoie une erreur 403 en récupération automatisée ; il est ici repris d'une publication de la CNIL elle-même.

4.2 Les critères précis de l'exemption « mesure d'audience »

La CNIL a publié en juillet 2025 un outil d'auto-évaluation destiné aux éditeurs de solutions, qui détaille point par point ce qu'une mesure d'audience doit faire et ne pas faire pour se passer de consentement. C'est le document le plus précis disponible, et il est public.

Les finalités autorisées sont limitativement énumérées : mesure des performances, détection des problèmes de navigation, optimisation des performances techniques ou de l'ergonomie, estimation de la puissance des serveurs nécessaire, analyse des contenus consultés.

Les finalités interdites sont énumérées tout aussi clairement : « toute mesure à visée marketing », ce qui inclut expressément la mesure de conversion, la mesure de la performance des campagnes publicitaires, la mesure d'acquisition et la lutte contre la fraude publicitaire ; ainsi que toute création de cohortes d'utilisateurs destinée à leur présenter des contenus différenciés (CNIL, outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience, juillet 2025).

Les contraintes techniques sont tout aussi explicites dans ce document :

À quoi s'ajoutent les durées énoncées par la CNIL sur sa page dédiée : traceurs limités à 13 mois, sans prolongation automatique, et données conservées au maximum 25 mois, ces durées devant faire l'objet d'un réexamen périodique (CNIL, « Cookies : solutions pour les outils de mesure d'audience », page mise à jour le 4 juillet 2025). Deux interdictions absolues encadrent l'ensemble : aucun recoupement des données avec un autre traitement ni transmission de données non anonymes à des tiers, et aucun suivi de la navigation d'une personne sur plusieurs sites au moyen d'un identifiant unique.

4.3 La conséquence que presque personne n'a comprise

Relisez la liste des finalités interdites. La mesure de conversion en fait partie.

Cela signifie qu'une TPE ne peut pas, dans le même mouvement, se passer de bandeau de consentement au titre de l'exemption et suivre dans son outil d'analyse combien de visiteurs venus d'une publicité ont rempli le formulaire de contact. Les deux choses sont incompatibles en droit. Or c'est exactement ce que fait la configuration la plus répandue : un compte Google Analytics 4 créé en dix minutes, un objectif de conversion défini sur l'envoi du formulaire, et aucun bandeau — ou un bandeau à un seul bouton « J'accepte », ce qui revient au même puisque le refus doit être aussi simple que l'acceptation.

C'est la raison pour laquelle beaucoup de sites de très petites entreprises sont en infraction sans le savoir. L'infraction ne vient pas d'une intention de contourner quoi que ce soit : elle vient de ce que les outils grand public sont conçus autour de la mesure de conversion, que celle-ci est présentée partout comme la bonne pratique marketing, et que la ligne de partage tracée par la CNIL est précise, publique, mais rarement expliquée hors des cercles spécialisés.

4.4 Le cas particulier de Google Analytics et des transferts hors Union européenne

Une seconde difficulté se superpose à la première. Depuis le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation concernant les États-Unis : les transferts vers les organismes figurant sur la liste des participants tenue par le département du commerce américain n'exigent plus d'encadrement contractuel spécifique (CNIL, questions-réponses sur les transferts vers les États-Unis). Cela a largement désamorcé le contentieux qui avait conduit la CNIL à mettre en demeure des éditeurs utilisant Google Analytics.

Cela ne règle pas la question du consentement, distincte et entière. Et cela n'efface pas les recommandations techniques de la CNIL pour qui veut limiter les transferts : serveur mandataire (« proxyfication ») ne transmettant pas l'adresse IP, identifiants remplacés par un condensat à composante temporelle, suppression des référents externes et des paramètres d'URL, altération des données d'empreinte comme l'agent utilisateur, interdiction du suivi inter-sites, hébergement du mandataire dans l'Union (CNIL, « Mesure d'audience et transferts de données », page mise à jour le 15 novembre 2023). Disons-le franchement : ce dispositif est hors de portée d'une entreprise de trois personnes. Sans équipe technique, le chemin réaliste est de changer d'outil, pas de bricoler celui-ci.

Repère légal La CNIL ne certifie aucune solution de mesure d'audience. Elle met à disposition des éditeurs de solutions un outil d'auto-évaluation, et leur interdit expressément de présenter leur produit comme « certifié » ou « validé par la CNIL » ; la formulation admise est du type « d'après notre auto-évaluation, la solution X est conforme aux critères établis par la CNIL » (CNIL, « Solutions de mesure d'audience exemptées de consentement : la CNIL lance un programme d'évaluation », page du 4 juillet 2025). Méfiez-vous, en conséquence, de tout prestataire qui vous vendrait un outil « agréé CNIL » : la mention est en soi une irrégularité, et la responsabilité de la configuration reste sur vous, éditeur du site.

5. Se mettre en conformité concrètement, dans un sens ou dans l'autre

Il n'y a que deux chemins tenables. Choisissez-en un explicitement, écrivez le choix quelque part, et tenez-vous-y.

5.1 Chemin A — mesure sobre, sans bandeau

C'est le chemin recommandé pour un artisan, un commerçant, un prestataire, une association : tous ceux dont le site sert à être trouvé et à rassurer, pas à vendre directement.

Ce que vous obtenez : nombre de visites, pages consultées, provenances générales, appareils. Assez pour savoir si votre site est vu, quelles pages intéressent et si une action de communication a produit un pic. Pas assez pour attribuer une vente à un canal.

Ce que vous devez faire :

1. Installer une solution configurable en mode exempté. La CNIL héberge sur son propre site des guides de configuration fournis par des éditeurs, dont un pour Matomo Analytics, dans le cadre de son programme d'auto-évaluation.
2. Appliquer les réglages du guide. Pour Matomo : anonymisation des adresses IP dans Administration puis Vie privée, en activant « Rendre anonymes les adresses IP des visiteurs » ; désactivation du journal des visites et du profil visiteur dans les paramètres généraux, section Live ; ajout d'un mécanisme d'opposition accessible au visiteur ; vérification que seuls des cookies internes sont utilisés, que l'identifiant utilisateur n'est pas activé, que le site est déclaré comme n'étant pas un site de commerce électronique, et que cartes de chaleur et enregistrements de session sont désactivés ; enfin, aucune donnée personnelle dans les dimensions personnalisées (CNIL, guide de configuration Matomo Analytics). Le document ne porte pas de date apparente : traitez-le comme un point de départ, à confronter à la page CNIL de référence du 4 juillet 2025.
3. Décrire la mesure dans votre politique de confidentialité : finalité, durées de 13 et 25 mois, et un lien ou bouton d'opposition qui fonctionne réellement. C'est une exigence, pas un ornement.
4. Ne pas ajouter de pixel publicitaire. Un pixel Meta ou Google installé « au cas où » fait sortir tout le site de l'exemption, même si vous ne diffusez aucune publicité.

Ce que vous économisez : le bandeau, sa maintenance, et la perte de qualité des données qu'il entraîne.

5.2 Chemin B — mesure marketing complète, avec bandeau conforme

C'est le chemin obligé si vous vendez en ligne, si vous achetez de la publicité et si vous voulez calculer un coût d'acquisition par canal.

Ce que vous devez faire :

1. Aucun traceur soumis à consentement ne se dépose avant que le visiteur ait fait un choix. C'est le premier manquement relevé dans les sanctions de la CNIL, et il vient presque toujours d'un script chargé trop tôt.
2. « Tout refuser » aussi visible et aussi accessible que « Tout accepter » : même niveau, même taille, même mise en valeur (CNIL, recommandation « cookies » consolidée, version publiée le 16 janvier 2026).
3. Information préalable sur les finalités, formulée de manière intelligible, avant toute possibilité de consentir.
4. Retrait du consentement aussi facile que son recueil, et arrêt effectif des lectures et écritures des traceurs concernés.
5. Conservation du choix pendant une durée raisonnable — la CNIL considère six mois comme une bonne pratique — pour ne pas redemander à chaque visite.
6. Capacité à prouver le recueil : horodatage du code, captures d'écran datées, journal de l'outil de gestion du consentement.

Ce que vous devez accepter : une part des visiteurs refusera, vos chiffres seront partiels, et vos calculs de CAC devront être redressés ou traités comme des ordres de grandeur. C'est le prix de la conformité, et c'est un argument de plus en faveur de la question posée oralement au premier contact.

5.3 Les cinq erreurs les plus fréquentes sur les sites de TPE

1. Le bandeau à un seul bouton. « J'accepte » sans possibilité de refus au même niveau n'est pas un bandeau conforme.
2. Le dépôt avant le choix. Le script d'analyse ou le pixel publicitaire se charge dès l'ouverture de la page, avant toute interaction.
3. Le refus qui ne fait rien. Après un clic sur « Tout refuser », des traceurs continuent d'être déposés ou de fonctionner. C'est l'un des manquements sanctionnés dans la décision citée plus bas.
4. Le traceur présenté comme « strictement nécessaire » alors qu'il ne l'est pas. Classer un outil d'analyse marketing parmi les cookies techniques ne le rend pas exempté.
5. L'absence de politique de confidentialité, ou une politique copiée d'un autre site. Elle doit décrire vos traitements à vous, y compris le mécanisme d'opposition à la mesure d'audience.

Rappelons au passage que les mentions légales du site sont une obligation distincte et cumulative : identité et adresse, numéro d'inscription au registre, numéro de TVA intracommunautaire le cas échéant, coordonnées de l'hébergeur, et information sur l'autorité compétente pour une activité réglementée (Service-Public Entreprendre, « Mentions obligatoires sur le site internet d'un entrepreneur individuel »).

6. Ce que risque réellement une petite entreprise

Soyons précis, parce que les deux discours extrêmes — « la CNIL ne vient jamais chez les petits » et « vous risquez 4 % de votre chiffre d'affaires » — sont également faux.

Les chiffres publics du bilan 2025 de la CNIL donnent la mesure de l'activité répressive : 259 décisions au total, dont 83 sanctions — 78 amendes, 3 astreintes liquidées, 2 rappels à l'ordre —, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements, pour un montant cumulé d'amendes de 486 839 500 euros. Sur ces 83 sanctions, 16 ont été adoptées en procédure ordinaire et 67 en procédure simplifiée. Les cookies et traceurs constituent le premier motif, avec 21 organismes sanctionnés, dont deux acteurs majeurs à 325 et 150 millions d'euros (CNIL, « Sanctions et mesures correctrices : la CNIL présente le bilan 2025 », publié le 9 février 2026).

Un exemple intermédiaire montre que le risque ne concerne pas seulement les géants : la société Les Publications Condé Nast, éditrice du site vanityfair.fr, a été sanctionnée d'une amende de 750 000 euros par une délibération du 20 novembre 2025, pour dépôt de cookies soumis à consentement avant toute interaction avec le bandeau, information insuffisante — des traceurs présentés comme strictement nécessaires sans que leur finalité réelle soit exposée — et mécanismes de refus défaillants, des cookies continuant d'être déposés après un clic sur « Tout refuser » (CNIL, communiqué de sanction).

L'évaluation honnête pour une TPE est la suivante. La probabilité d'un contrôle spontané sur le site d'un artisan de trois personnes est faible : les campagnes de la CNIL visent des sites à forte audience. Mais trois portes d'entrée ne dépendent pas de votre taille : la plainte d'un visiteur, y compris d'un concurrent ou d'un ancien salarié ; le contrôle en ligne, qui ne demande aucun déplacement ; et l'effet de bord d'un autre litige — prud'homal, réclamation client, incident de sécurité — au cours duquel la conformité du site est examinée. Le coût de la mise en conformité, lui, est faible : quelques heures, une fois, et le choix explicite d'un des deux chemins de la section 5.

7. Le tableau de bord minimum viable

Cinq lignes, une page, un relevé par mois. Pour chaque chiffre, une source, une fréquence et une décision écrite à l'avance. Sans cette dernière colonne, un tableau de bord est un exercice de contemplation.

Trois principes rendent ce dispositif tenable.

Séparer le relevé du commentaire. Notez les cinq chiffres mécaniquement, sans les juger, et discutez-en vingt minutes plus tard. Ce qui fait sauter la revue mensuelle n'est presque jamais le manque de temps, c'est l'appréhension du chiffre.

Accrocher le relevé à une obligation existante. Déclaration de TVA, déclaration à l'Urssaf, préparation de la paie : vous êtes déjà dans vos chiffres, le coût d'entrée est nul. Bpifrance Création recommande une actualisation mensuelle pour une jeune entreprise, hebdomadaire sur les encaissements et les impayés en période de tension (Bpifrance Création, avril 2026).

Ne rien ajouter pendant six mois. La tentation de la sixième ligne est la principale cause de mort des tableaux de bord. Si un indicateur vous manque vraiment, remplacez-en un plutôt que d'en ajouter un.

8. Cinq pièges de lecture qui font prendre de mauvaises décisions

Les petits nombres ne portent aucune information. Passer de 2 à 3 conversions n'est pas une hausse de 50 %, c'est une variation d'une unité. En dessous d'une trentaine d'événements sur la période observée, considérez qu'une variation est du bruit et ne décidez rien.

L'attribution au dernier clic sous-estime tout ce qui n'est pas cliquable. Le client a vu votre véhicule, on lui a parlé de vous, il a tapé votre nom dans un moteur : l'outil attribuera la vente à la « recherche directe ». Vous conclurez que le bouche-à-oreille marche seul, et vous couperez les actions qui l'alimentent.

La saisonnalité se compare d'année en année. Un paysagiste qui compare août à juin décide sur un artefact de calendrier.

Vos propres visites polluent vos chiffres. Sur un site à trois cents visites mensuelles, votre navigation et celle de votre développeur pèsent lourd. Excluez-les.

Un chiffre qui n'a jamais changé de décision est à supprimer. Une fois par an, pour chaque ligne : quelle décision a-t-elle réellement déclenchée en douze mois ? Ce qui n'a rien déclenché sort du tableau.

FAQ

Peut-on vraiment se passer de bandeau cookies sur un site de TPE ? Oui, à condition de ne déposer que des traceurs exemptés : ceux strictement nécessaires au fonctionnement du site, et une mesure d'audience configurée selon les critères de la CNIL. Cela suppose de renoncer à toute finalité marketing — pas de mesure de conversion, pas de pixel publicitaire, pas de suivi inter-sites — et d'offrir un lien d'opposition réellement fonctionnel. Beaucoup de sites vitrines d'artisans peuvent tenir cette configuration sans rien perdre d'utile. Un site marchand qui achète de la publicité, non.

Google Analytics 4 peut-il être configuré pour entrer dans l'exemption ? La question ne se règle pas par un réglage. L'exemption suppose au plus trois types d'événements collectés, des rapports anonymes et agrégés, aucune mise en commun des données brutes par le prestataire, et surtout aucune finalité marketing. Un outil dont l'intérêt principal est l'attribution publicitaire ne se trouve pas dans ce périmètre en pratique. Si votre besoin est une mesure d'audience simple sans bandeau, choisissez une solution que son éditeur a auto-évaluée comme configurable dans le cadre défini par la CNIL — en sachant que la CNIL ne certifie personne et que la responsabilité de la configuration reste la vôtre.

Combien de temps faut-il pour qu'un indicateur devienne interprétable ? Cela dépend de votre volume, pas du calendrier : raisonnez en nombre d'événements, pas en semaines. En dessous d'une trentaine de devis, de commandes ou de conversions sur la période, une variation n'est pas exploitable. Un artisan qui envoie douze devis par mois lira son taux de transformation en cumul glissant sur trois mois ; une boutique à deux cents commandes mensuelles peut raisonner au mois.

Faut-il investir dans un outil payant à un moment ? Rarement, et rarement pour la raison qu'on croit. L'achat se justifie quand vous devez croiser plusieurs canaux sur des volumes qui rendent le tableur ingérable, ou quand vous voulez une solution hébergée en Europe sans administrer de serveur. Il ne se justifie pas pour obtenir « plus de données » : une TPE souffre d'un excès de données non lues et d'un déficit de décisions écrites. Avant tout achat, vérifiez que les cinq lignes de la section 7 sont remplies chaque mois depuis six mois.

Que faire si l'on découvre que son site n'est pas conforme ? Traitez-le comme une correction, pas comme un contentieux. Dans l'ordre : identifiez ce qui se dépose réellement avant tout choix, avec les outils de développement du navigateur ; supprimez tout pixel publicitaire non utilisé, ce qui règle souvent la moitié du problème ; choisissez explicitement le chemin A ou B de la section 5 ; mettez à jour la politique de confidentialité et ajoutez le lien d'opposition ; conservez une trace datée. Il n'existe pas d'obligation de déclarer spontanément ce type de manquement à la CNIL — à ne pas confondre avec la notification d'une violation de données, qui obéit à des règles distinctes. En cas de doute sérieux, faites-vous accompagner : cette fiche vulgarise, elle ne remplace pas un conseil juridique.

Sources

Toutes les pages ci-dessous ont été consultées le 7 septembre 2026.

• CNIL — Cookies : solutions pour les outils de mesure d'audience (page mise à jour le 4 juillet 2025) : conditions cumulatives de l'exemption, interdiction de recoupement, durées de 13 et 25 mois.
• CNIL — Outil d'auto-évaluation d'une solution de mesure d'audience (juillet 2025) : finalités autorisées et interdites, trois types d'événements au plus, cookies internes, IP pseudonymisée, contrat article 28 RGPD, rapports anonymes agrégés à la dizaine, opposition dans la politique de confidentialité.
• CNIL — Solutions de mesure d'audience exemptées de consentement : programme d'évaluation (4 juillet 2025) : absence de certification par la CNIL, formulations autorisées pour les éditeurs de solutions.
• CNIL — Guide de configuration Matomo Analytics : réglages d'anonymisation, désactivation du journal des visites, opposition, cartes de chaleur. Document non daté sur la version consultée.
• CNIL — Cookies et traceurs : que dit la loi ? (page mise à jour le 29 septembre 2020) : article 5(3) de la directive 2002/58/CE, article 82 de la loi Informatique et Libertés, liste des traceurs exemptés.
• CNIL — Questions-réponses sur les lignes directrices et la recommandation « cookies » (mise à jour le 29 avril 2026) : navigation ne valant pas consentement, refus aussi simple que l'acceptation, conservation du choix six mois.
• CNIL — Recommandation « cookies », version consolidée du 16 janvier 2026 : équivalence visuelle des boutons, preuve du consentement, durées de 13 et 25 mois.
• CNIL — Mesure d'audience et transferts de données (mise à jour le 15 novembre 2023) : conditions de la proxyfication.
• CNIL — Questions-réponses sur les transferts vers les États-Unis : décision d'adéquation de la Commission européenne du 10 juillet 2023 et liste des participants tenue par le département du commerce américain.
• CNIL — Sanctions et mesures correctrices : bilan 2025 (publié le 9 février 2026) : 259 décisions, 83 sanctions, 143 mises en demeure, 486 839 500 euros d'amendes cumulées, 21 organismes sanctionnés au titre des cookies.
• CNIL — Sanction de la société éditrice du site vanityfair.fr : 750 000 euros, délibération du 20 novembre 2025, trois manquements.
• CNIL — Bilan de la deuxième campagne de mises en demeure « cookies » (14 septembre 2021) : plafond de sanction évoqué à 2 % du chiffre d'affaires, périmètre des organismes visés.
• Bpifrance Création — Les tableaux de bord de gestion (avril 2026) : critères d'un bon indicateur, fréquence mensuelle, risque du tableau surchargé.
• SRI, UDECAM et Oliver Wyman — 35e Observatoire de l'e-pub (10 février 2026) : 12,4 milliards d'euros en 2025, +11 %, répartition par levier, concentration du marché.
• Service-Public Entreprendre — Mentions obligatoires sur le site internet d'un entrepreneur individuel : identité, numéro d'inscription, TVA, hébergeur, sanctions.

Limites de vérification signalées. Le plafond de sanction applicable aux manquements à l'article 82 de la loi Informatique et Libertés n'a pas pu être vérifié sur le texte lui-même : Légifrance renvoie une erreur 403 en récupération automatisée. Le chiffre de 2 % du chiffre d'affaires est repris d'une publication de la CNIL et signalé comme tel dans le texte. Le guide de configuration Matomo hébergé par la CNIL ne porte pas de date de publication apparente sur la version consultée ; il est présenté comme un point de départ à confronter à la page CNIL de référence. Tous les montants des sections 2.2 et 2.3 sont des illustrations construites, non des données d'enquête, et sont signalés comme telles dans le corps de la fiche. Le repère d'un rapport valeur vie client sur coût d'acquisition supérieur à 3 est une règle empirique de gestion, sans source officielle.

---

Contenu à jour au 7 septembre 2026 — vérifier les seuils, dates et taux avant de s'y fier. Cette fiche a une vocation strictement informative et ne remplace pas l'avis d'un professionnel du droit, d'un délégué à la protection des données ou d'un expert-comptable.