La conformité CNIL avec Matomo, est-ce un vrai 1 clic ?

Matomo centralise et applique automatiquement les réglages exigés par la CNIL via une évaluation et un bouton « Enforce compliance », produisant aussi un document d’auto‑évaluation (Matomo, CNIL). Lisez la suite pour savoir ce qui devient automatique et ce qui reste manuel.

Que fait exactement le bouton 1‑clic CNIL de Matomo

Le bouton 1‑clic lance une évaluation complète et applique automatiquement les réglages vérifiables exigés par la CNIL.

Je détaille ci‑dessous chaque action que Matomo active en mode CNIL appliqué, avec l’explication de l’objectif réglementaire (pour la CNIL, Commission Nationale de l’Informatique et des Libertés).

• Anonymisation IP (masque de deux octets) — Matomo masque les deux derniers octets de l’adresse IP avant stockage. Cette mesure empêche l’identification indirecte d’une personne à partir de son adresse IP, conforme à l’exigence de minimisation des données.
• Cookies first‑party uniquement — Matomo utilise uniquement des cookies déposés par votre domaine. Cette configuration réduit le besoin de consentement large, puisque la CNIL différencie cookies propriétaires et tiers.
• Désactivation du suivi cross‑domain — Matomo cesse d’assembler des identifiants entre domaines. Cette restriction limite la profilisation inter‑sites, répondant à l’exigence de finalité limitée.
• Suppression à l’ingestion des paramètres de campagne et identifiants publicitaires — Paramètres comme gclid, fbclid ou identifiants d’annonceurs sont filtrés à l’entrée. Cette suppression évite la conservation d’identifiants tiers permettant la réidentification.
• Mode restreint e‑commerce — Identifiants de commande anonymisés et segments identifiants désactivés. Cette pratique protège les données transactionnelles sensibles.
• Désactivation du Visits Log et des profils visiteurs — Matomo n’enregistre plus les logs individuels, uniquement des statistiques agrégées. Cette mesure répond directement à l’obligation de limiter la conservation de données personnelles identifiantes.
• Désactivation des heatmaps et enregistrements de sessions — Ces fonctionnalités sont coupées pour éviter la capture de données sensibles (saisie clavier, comportements individuels).
• Désactivation de l’A/B testing et suppression des expériences existantes — Tests qui relient comportement et expérience sont stoppés et nettoyés pour éviter la réidentification.
• Arrondi des données segmentées à la dizaine — Agrégation supplémentaire des segments pour éviter les petits effectifs identifiables.
• Durée de conservation fixée automatiquement à 180 jours — Rétention courte conforme aux recommandations de limitation de conservation de la CNIL.

Sources : Matomo (matomo.org) et CNIL (cnil.fr).

Quelles étapes restent manuelles après activation

Certains points restent signalés comme « Unknown » et nécessitent une revue manuelle et des actions hors plateforme.

Découvrez égalementMatomo 5.9 : comment simplifie-t-il conformité et segments ?

Je signale que Matomo automatise beaucoup, mais ne peut pas tout décider pour vous : les éléments ambigus (scripts, événements personnalisés, intégrations serveur) restent marqués « Unknown » parce que l’outil ne voit pas le contexte juridique ou fonctionnel. CNIL = Commission Nationale de l’Informatique et des Libertés; DPO = Délégué à la Protection des Données.

Configuration de l’opt‑out (iframe ou lien dans la politique de confidentialité). Je recommande d’ajouter un opt‑out visible et techniquement effectif. Exemple minimal iframe :

<iframe src="https://votre-matomo.example/index.php?module=CoreAdminHome&action=optOut&language=fr" title="Refuser le suivi" width="100%" height="40"></iframe>

Ou placer un lien explicite dans la page de politique de confidentialité pointant vers la page d’opt‑out de Matomo. Vérifier le fonctionnement sans cookies tiers si vous avez une politique « sans consentement ». Voir CNIL, Recommandation 4 juillet 2019 pour le cadre légal.

Vérification des objectifs et événements personnalisés. Je distingue trois catégories autorisées par la CNIL pour les analytics sans consentement : présence sur une page (page view), usage d’une fonctionnalité (clic sur bouton nécessaire au service), statistiques de performance de page (temps de chargement agrégé). Éviter de tracker des identifiants persistants, des profils comportementaux ou des segments marketing sans consentement explicite.

Revue des contenus « Unknown ». Je passe en revue chaque script marqué « Unknown », documente sa finalité, et décide : safe (autorisé), nécessite consentement, ou retrait. Prioriser scripts ayant accès à des données personnelles.

Découvrez égalementComment Matomo suit-il le trafic généré par les chatbots ?

Vérification des intégrations tierces. Je contrôle plugins, envois serveur (server‑side tracking) et exports de données : vérifier destinations, chiffrement, durée de conservation et bases légales.

Documentation et signature. Je prépare un document d’auto‑évaluation listant décisions, preuves techniques (captures, logs), et le fais signer par le DPO. Le DPO doit pouvoir justifier la conformité en cas de contrôle.

• Checklist opérationnelle pour clore les tâches :
• Marketing : Lister tous les objectifs/événements et justifier leur finalité (service vs marketing).
• Dev : Implémenter opt‑out (iframe/lien), corriger scripts marqués « Unknown », fournir preuves techniques (logs, captures).
• DPO : Valider les catégories autorisées, approuver la politique de conservation, signer le document d’auto‑évaluation.
• Tous : Tester opt‑out et scénarios sans consentement sur 3 navigateurs + mobile.
• Tous : Archiver preuves et date de revue pour audit (durée recommandée ≥ 3 ans).

Comment valider la conformité et impliquer le DPO

Valider la conformité exige une revue croisée entre marketing, dev et le DPO en s’appuyant sur le document d’auto‑évaluation généré par Matomo.

Je propose un processus clair et reproductible, étape par étape, pour que le DPO puisse signer en confiance.

• 1) Exécution de l’évaluation 1‑clic et export du document d’auto‑évaluation. Réaliser l’évaluation depuis l’interface Matomo, exporter le PDF/JSON et joindre les captures d’écran des paramètres activés.
• 2) Revue technique (développeur). Vérifier les réglages serveur/JS, l’anonymisation côté serveur, l’absence de trackers tiers inclus via plugins, et documenter les endpoints d’ingestion.
• 3) Revue fonctionnelle (marketing). Lister les KPIs impactés, proposer des alternatives de mesure (événements sans cookie, modélisation, échantillonnage) et valider l’impact métier.
• 4) Revue juridique/DPO. Vérifier l’inventaire des traitements, la base légale (intérêt légitime vs consentement), la nécessité d’une DPIA (évaluation d’impact) et la documentation RGPD.
• 5) Tests post‑activation. Exécuter une checklist de tests techniques pour confirmer la configuration effective :
  • Vérification de l’anonymisation IP (preuve par capture de réglage et test réseau).
  • Absence de cookies tiers (contrôle des entêtes Set‑Cookie et du DOM).
  • Check du Visits Log (visites individuelles désactivées ou pseudonymisées).
  • Contrôle des paramètres à l’ingestion (no personal identifiers, hashing si nécessaire).
• 6) Rollout multi‑sites. Déployer par batch avec templates de configuration, consigner le versioning et exécuter validation sur un échantillon représentatif avant mise en production globale.

Quels impacts et limitations pour vos mesures et votre marketing

Le mode CNIL réduit la granularité et plusieurs fonctionnalités de tracking avancé, ce qui protège la vie privée mais limite certaines analyses marketing.

• Perte d’accès aux logs et profils visiteurs : Les logs détaillés et les profils persistants sont supprimés, ce qui rend le troubleshooting et la personnalisation plus difficiles. Je recommande de demander un consentement explicite pour constituer des profils lorsque c’est indispensable. Je propose aussi de mettre en place des traces serveur‑side anonymisées (hashing, token rotatif) pour conserver des corrélations sans identité directe.
• Suppression des heatmaps et enregistrements (UX) : Les heatmaps et replay de sessions sont désactivés pour respecter l’anonymat. Je recommande d’obtenir un opt‑in dédié pour ces outils quand l’UX le justifie, ou d’utiliser des heatmaps agrégées côté serveur qui n’enregistrent pas d’ID utilisateur.
• Annulation des expériences A/B existantes : Les tests A/B basés sur l’identification persistent peuvent être invalidés, ce qui retarde la roadmap de testing. Je recommande de basculer certains tests sur des méthodes serveur‑side anonymisées, d’augmenter le sampling et d’annoter les séries temporelles pour marquer la date d’activation du mode CNIL (utile pour l’analyse post‑hoc).
• Agrégation/arrondi des segments : Les segments sont agrégés et arrondis, réduisant la précision pour les segments fins. Je recommande de compléter par des reportings agrégés complémentaires et d’utiliser des stratégies de sampling statistiquement contrôlées pour conserver puissance analytique.
• Durée de conservation limitée à 180 jours : Les historiques long terme sont partiels, ce qui impacte les analyses saisonnières. Je recommande d’exporter régulièrement des snapshots agrégés (quotidien/hebdo) et d’annoter les séries temporelles pour expliquer les ruptures.

Prêt à activer la conformité CNIL en 1 clic sur vos sites ?

Découvrez égalementComment Matomo suit-il le trafic des chatbots ?

La fonction 1‑clic de Matomo automatise la majorité des paramètres techniques exigés par la CNIL et fournit un document d’auto‑évaluation utile pour le DPO, tout en laissant des points manuels (opt‑out, vérification d’objectifs personnalisés, revues « Unknown »). L’activation réduit les frictions entre équipes et accélère les déploiements multi‑sites, mais impose des choix métier (perte de granularité, fonctions supprimées). En procédant avec la checklist proposée et en impliquant le DPO dès la phase de test, vous minimisez les risques et conservez un suivi analytics utile et conforme — bénéfice : conformité opérationnelle plus rapide et traçable.

FAQ

• La fonctionnalité 1‑clic rend‑elle mon site automatiquement conforme à la CNIL ?
  La fonctionnalité applique et documente la majorité des réglages techniques nécessaires, mais certaines actions restent manuelles (opt‑out, vérification d’objectifs personnalisés, éléments marqués « Unknown »). Le DPO doit valider le document d’auto‑évaluation.
• Quels réglages sont appliqués automatiquement par Matomo ?
  Parmi les réglages automatisés : anonymisation IP (masquage de deux octets), cookies first‑party, suppression des paramètres de campagne à l’ingestion, désactivation du Visits Log, heatmaps, enregistrements et A/B testing, et durée de conservation fixée à 180 jours.
• Que faire pour l’opt‑out exigé par la CNIL ?
  L’opt‑out doit être implémenté manuellement : insérer un iframe ou un lien vers le mécanisme d’opposition dans votre politique de confidentialité, comme indiqué dans la page de conformité de Matomo.
• Mes rapports marketing seront‑ils impactés ?
  Oui, la granularité diminue (arrondi des segments, suppression des profils/visits log) et certaines fonctionnalités ne sont plus disponibles. Prévoyez des mitigations : analyses agrégées, consentement explicite pour mesures détaillées ou solutions serveur‑side anonymisées.
• Peut‑on déployer ce mode sur plusieurs sites facilement ?
  Oui, Matomo facilite le déploiement multi‑sites via la centralisation des évaluations et l’application en masse des réglages pris en charge, mais il faut gérer manuellement les éléments ‘Unknown’ pour chaque site et documenter chaque revue DPO.

A propos de l’auteur

Franck Scandolera — expert & formateur en Tracking avancé server‑side, Analytics Engineering, Automatisation No/Low Code (n8n) et intégration de l’IA en entreprise. Responsable de l’agence webAnalyste et de l’organisme de formation Formations Analytics. Références clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Française de Football, Texdecor. Dispo pour aider les entreprises => contactez‑moi.

Franck Scandolera

⭐ Analytics engineer, Data Analyst et Automatisation IA indépendant ⭐

• Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…

Mon terrain de jeu :

• Data Analyst & Analytics engineering : tracking avancé (GA4, Matomo, Piano, GTM server, Tealium, Commander Act, e-commerce, CAPI, RGPD), entrepôt de données (BigQuery, Snowflake, PostgreSQL, ClickHouse), modèles (Airflow, dbt, Dataform), dashboards décisionnels (Looker, Power BI, Metabase, SQL, Python).
• Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
• Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.