Vigie et la CNIL

Version 1, du 16 octobre 2026.

La CNIL permet de mesurer l'audience d'un site sans demander l'accord des visiteurs, à condition de s'en tenir à des statistiques anonymes. Voici comment Vigie s'y prend avec les profils « Discret » et « Avec accord », et pourquoi le profil « Labo » en sort. Ce n'est pas un avis juridique : Vigie aide à être en règle, l'éditeur de chaque site reste responsable de ses choix.

Ce que la CNIL demande pour se passer d'accord

Servir seulement à mesurer l'audience du site, pour le compte de son éditeur.
Ne produire que des statistiques anonymes : pas de vue visite par visite, ni journal des visites, ni fiche d'un visiteur, ni suivi en temps réel d'une personne, ni export brut.
Ne pas recouper ces données avec d'autres, ni suivre quelqu'un d'un site à l'autre.
Réduire l'origine d'une visite au nom du site, écarter les paramètres de campagne, ne pas localiser plus finement que la ville.
Garder les données 25 mois au plus.
Informer les visiteurs, et leur permettre de s'opposer à la mesure.

Ce que fait Vigie, en « Discret » et « Avec accord »

Pas de cookie : les pages d'une visite sont reliées par une empreinte du jour, propre au site, qui change chaque nuit.
Pas de vue individuelle : un visiteur qui n'a pas dit oui n'a ni fiche, ni parcours, ni ligne dans le journal. Dans le direct, il rejoint le Blop gris des anonymes, qui ne montre que leur nombre. Les exports n'en donnent que des totaux par jour. Dans le Journal, ils passent « en brume » : des totaux par moment de la journée (six heures), à partir de 3 visites, qui ne citent une source, une page ou un pays que si au moins deux visites la partagent.
Les retours, en totaux seulement : pour savoir quelle part des visites vient d'un appareil déjà venu, Vigie garde une empreinte de l'appareil, propre au site et scellée par la clé de l'espace, 13 mois au plus. Elle n'est reliée à aucune visite, à aucune fiche, et ne sert qu'à ce total.
Pas de petits nombres trop parlants : la fiche des anonymes ne montre son détail qu'à partir de 3 visites sur la période.
Moins de données : pour ces visites, l'origine se réduit au nom du site, les paramètres utm et les identifiants de clic sont écartés, la taille d'écran n'est pas gardée.
Pas de carte des clics : comme le demande le cadre de la CNIL pour la mesure sans consentement, la place des clics (les « cartes de chaleur ») n'est jamais notée pour ces visites. Elles comptent seulement dans des totaux : le nombre de clics par page vue, et le genre de l'élément touché (une image, un titre…), sans sa place.
L'adresse IP : jamais enregistrée. Son dernier morceau est effacé avant de chercher la ville, et le centre de la ville est arrondi.
Pas de recoupement : une base et une clé par espace ; deux espaces ne peuvent jamais relier un même visiteur.
Une durée limitée : tout est effacé après 400 jours sans nouvelles.
S'opposer : un interrupteur dans le bandeau, un bouton dans la liste posée sur la page Confidentialité du site (<div data-vigie-liste></div>, ou [vigie_liste] avec l'extension WordPress), et le lien ?vigie=off. Les navigateurs qui demandent à ne pas être suivis (Global Privacy Control) ne se voient rien proposer et restent anonymes.
Avec un oui : le visiteur devient un vrai Blop. Son accord est demandé par la Balise de Vigie, et noté dans le registre des accords. En « Discret », la question n'est jamais posée : tout le monde reste anonyme.
Le Pass testeur : une personne invitée par un lien peut accepter d'être suivie en détail sur un site, pour le tester. Son accord est noté dans le registre, et elle peut en sortir à tout moment avec ?vigie=off. La page en cours rejoint son Blop ; les pages vues avant le oui restent anonymes.

Le profil qui sort de l'exemption

Le profil « Labo » montre chaque visiteur un par un, avec sa fiche et son parcours, sans lui avoir demandé son accord, pour une durée choisie ou sans fin. C'est utile pour tester Vigie à fond, ou sur un site qui recueille déjà un consentement valable pour la mesure d'audience. Sur un site ouvert au public, sans ce consentement, ils ne rentrent pas dans l'exemption. Il en va de même des Blops qui voyagent d'île en île : reconnaître quelqu'un d'un site à l'autre, c'est recouper.

Vigie le signale partout où il se choisit, l'affiche en rouge en haut du tableau de bord tant qu'il tourne, et permet de rendre anonymes, d'un clic, les Blops qu'il a créés.

Pour aller plus loin

Une question sur ces documents : quentinrenaux@gmail.com.