Juste après avoir audité mon propre tracking, j'ai dû choisir un outil d'analytics pour mon propre site. J'ai ouvert trois pages de vente, vu le mot « cookieless » écrit en gros, et j'ai failli prendre le premier de la liste. C'était le réflexe paresseux : sans cookies, donc réglé.

Sauf que non. « Sans cookies » (ou "cookieless") et « respectueux de la vie privée », ce n'est pas la même chose. Et la moitié des outils qui se vendent comme « privacy-friendly » ne passent pas un examen sérieux. Avant de coller un script sur mon site, je me suis posé six questions. Voici la grille, parce qu'elle marche pour n'importe quel outil que tu envisages.

Pourquoi « sans cookies » ne règle pas grand-chose

Un cookie, c'est juste un des moyens de suivre quelqu'un. En enlever un n'empêche pas un outil de te suivre autrement, ni de t'exposer légalement.

Un outil peut être sans cookies et quand même collecter des données personnelles. Une adresse IP, c'est une donnée personnelle. Une empreinte d'appareil (la combinaison de ton navigateur, ta résolution d'écran, tes polices installées qui te rend identifiable) aussi. Un outil peut être sans cookies et stocker tout ça sur des serveurs aux États-Unis, ce qui crée une vraie zone grise pour un site québécois ou qui touche du trafic européen. Et un outil peut être sans cookies et s'octroyer, dans ses conditions d'utilisation, le droit de réutiliser tes données pour ses propres fins.

Bref, l'étiquette sur la page de vente ne te dit rien de fiable. Il faut tester l'outil.

Les 6 questions à poser à n'importe quel outil analytics

Aucune de ces réponses ne se devine depuis la page marketing. Il faut souvent lire les conditions d'utilisation et la documentation d'hébergement. C'est plate, mais c'est là que tout se joue.

  1. Est-ce qu'il utilise des cookies ? Si oui, dans la plupart des cas tu dois afficher une bannière de consentement, ce qui change tout de suite le volume de données que tu collectes réellement.
  2. Est-ce qu'il collecte des données personnelles ? Les adresses IP comptent. Les empreintes d'appareil aussi. Tout ce qui permet de relier un comportement à une personne précise.
  3. Où sont stockées les données ? Des serveurs américains créent une exposition réelle pour un site soumis à la Loi 25 ou au RGPD. La localisation des données n'est plus un détail de geek.
  4. Est-ce qu'il a besoin d'une bannière de consentement pour fonctionner ? Si oui, tu perds une partie de ton trafic mesuré sur les refus (j'y reviens, c'est le coût caché).
  5. Qui possède les données ? Le fournisseur a-t-il le droit de les réutiliser pour lui ? Ce point pèse plus lourd qu'on pense, surtout avec les outils gratuits.
  6. Est-ce qu'il peut fonctionner sans aucun consentement ? C'est le scénario le plus propre : un outil conçu pour ne jamais collecter de donnée personnelle n'a pas besoin de bannière du tout.

Tu peux faire passer cette grille à ton outil actuel ce soir. Et si tu n'as pas le temps, il y a une version zéro-technique : demande à la personne qui gère ton site « où sont stockées nos données analytics, et est-ce qu'on a besoin d'une bannière pour les collecter ? ». Si la réponse ne tient pas en une phrase claire, tu as déjà ta réponse.

Le coût caché du « gratuit »

Voici le point que personne ne te dit quand tu choisis un outil gratuit.

Un GA4 ou un Microsoft Clarity ne te coûte rien sur ta facture. Mais les deux exigent une bannière de consentement pour fonctionner. Et dès qu'il y a une bannière, une partie de tes visiteurs refuse. Selon ton audience, c'est souvent entre 20 et 40 % de ton trafic qui disparaît de tes rapports.

Le coût n'est pas sur la facture. Il est dans les données que tu ne collectes jamais. Et ça ne s'arrête pas aux rapports : ces données manquantes, c'est exactement ce que Google Ads et Meta utilisent pour optimiser tes enchères. Moins de signal, c'est un algorithme qui décide à l'aveugle, des enchères moins bonnes, et un coût par conversion qui monte. Le « gratuit » se paie en performance publicitaire.

Petit piège bonus, souvent mal compris : passer GA4 en mode « sans cookies » (en utilisant Consent Mode v2, Google Signals ou Server-side tagging) ne te dispense pas de la bannière. L'analytics reste une collecte non essentielle, donc le consentement reste requis.

Le comparatif : qui passe, qui échoue

Un test indépendant publié récemment a fait passer cette grille à huit outils populaires. Voici la version courte (les détails et les conditions exactes changent dans le temps, valide toujours l'outil au moment de ton choix) :

  • GA4 : Échoue. Cookies, bannière requise, serveurs américains.
  • Microsoft Clarity : Échoue. Gratuit, mais se réserve le droit de réutiliser tes données de comportement (enregistrements de session, clics).
  • Hotjar : Conditionnel. Bonne posture (stockage en Europe, ne vend pas les données), mais bannière quand même requise.
  • Plausible : Passe. Sans cookies, pas de données personnelles, serveurs européens, peut fonctionner sans consentement.
  • Fathom : Passe. Conçu privacy-first, pas de données personnelles, société canadienne.
  • Simple Analytics : Passe. Hébergé en Europe, sans consentement, très transparent sur ce qu'il collecte.
  • Matomo : Dépend du setup. Auto-hébergé, tu contrôles tout. En version infonuagique, à vérifier.
  • Piwik Pro : Conditionnel. Gouvernance solide, mais c'est une autre catégorie de prix.

Tu remarques le motif : tous les outils qui passent le test ne font que de l'analytics de trafic. Dès que tu veux des cartes de chaleur, des enregistrements de session ou des sondages, tu retombes sur des outils qui ne passent pas. C'est un vrai trou dans le marché en 2026, pas un oubli de ma part.

Pourquoi j'ai choisi Fathom (et la mise en garde qui va avec)

Trois outils passaient le test pour mon site : Plausible, Fathom et Simple Analytics. J'ai pris Fathom, et la raison principale tient en un mot : souveraineté. C'est une société canadienne, donc mes données de site restent dans un cadre que je comprends et que je peux défendre face à un client soucieux de la Loi 25. Plausible aurait été parfait pour un budget serré ou pour de l'auto-hébergement. Simple Analytics, pour quelqu'un qui veut le tableau de bord le plus simple possible. Aucun mauvais choix dans le lot.

Mais voici la mise en garde, et elle est importante. Ces outils ne remplacent pas GA4 plus le tracking côté serveur pour un site qui dépense en publicité. Ils mesurent ton trafic proprement, sans alourdir ta bannière, et c'est excellent pour ça. Ils ne nourrissent pas le Smart Bidding de Google, ils ne calculent pas ton POAS, ils ne renvoient pas tes conversions à Meta. Si tu fais de la publicité, vois un outil privacy comme une couche de tableau de bord propre qui s'ajoute, pas comme un remplaçant de ta mesure de conversion.

C'est exactement là que le tracking côté serveur entre en jeu : récupérer une partie du signal perdu à cause des bannières, sans collecter plus de données personnelles. Mesurer proprement et mesurer pour la publicité, ce sont deux chantiers différents.

FAQ

Est-ce que GA4 est illégal au Québec ? Je ne suis pas avocat, donc je reste prudent. Ce que je peux dire : un GA4 standard utilise des cookies, demande un consentement et envoie des données vers des serveurs américains. Ça crée une zone grise réelle, et plusieurs autorités en Europe ont déjà sévi sur les transferts de données. Bien configuré, avec consentement et idéalement du tracking côté serveur, on réduit le risque. Mais l'installation par défaut n'est pas un cadeau de conformité.

Sans cookies, est-ce que je suis dispensé de bannière ? Pas automatiquement. Pour un outil comme GA4 passé en mode sans cookies, le consentement reste requis parce que la mesure d'audience n'est pas considérée comme essentielle. Seuls les outils conçus pour ne jamais collecter de donnée personnelle (Plausible, Fathom, Simple Analytics) peuvent vraiment se passer de bannière.

C'est quoi le problème avec un serveur américain ? Quand tes données partent aux États-Unis, elles tombent sous des lois différentes des nôtres. Pour un site québécois soumis à la Loi 25, ou qui reçoit du trafic européen, ça ajoute une couche de risque que tu n'as pas avec un outil hébergé ici ou en Europe. À volume égal, un hébergement local te simplifie la vie.

Plausible ou Fathom pour une PME québécoise ? Les deux passent le test. Plausible est le moins cher à l'entrée et peut s'auto-héberger. Fathom est une société canadienne, ce qui en fait l'argument de souveraineté le plus simple à défendre, et il est pensé pour gérer plusieurs sites. Pour la plupart des PME d'ici, l'un ou l'autre fait la job. Le vrai piège n'est pas de choisir entre les deux, c'est de croire que l'un d'eux remplace ta mesure publicitaire.

Le point à retenir

Ne te fie pas à l'étiquette « sans cookies » (ou "cookieless"). Fais passer la grille à six questions à ton outil actuel et regarde combien de données tu perds vraiment chaque mois. Si tu fais de la publicité, ajoute une deuxième question : est-ce que ce que je mesure suffit à bien nourrir mes campagnes, ou est-ce que j'enchéris à l'aveugle ?

Si tu veux qu'on regarde ça ensemble, je fais des audits de stack analytics : on vérifie la conformité, on chiffre le signal que tu perds, et on regarde si ta mesure publicitaire tient la route. Écris-moi, on en parle sans jargon.