Tracking first-party et vie privée : essentiel

Le tracking first-party désigne l’ensemble des techniques par lesquelles un site collecte et exploite des données depuis le domaine affiché dans la barre d’adresse, en opposition aux cookies tiers. Cette page explicative rassemble définitions, techniques, limites techniques et juridiques, ressources et questions fréquentes, et indique sa date de mise à jour.

Table des matières et date de mise à jour

dateModified : 04/09/2026

Introduction : enjeu résumé

Le tracking first-party couvre les méthodes par lesquelles un éditeur place et lit des données à partir de son propre domaine. Le point central est triple : vie privée des internautes, obligations juridiques applicables (RGPD, directive ePrivacy) et conséquences sur le modèle économique des éditeurs.

La discussion porte autant sur des usages légitimes de session et de personnalisation que sur des usages publicitaires qui reprennent des mécanismes historiquement associés aux cookies tiers. Les alternatives techniques soulèvent des questions techniques et réglementaires distinctes.

Définitions et vocabulaire

Cookie first-party : cookie placé par le contrôleur du site visité, c’est-à-dire le domaine affiché dans la barre d’adresse. Cookie tiers : cookie placé par un domaine autre que celui consulté par l’internaute. Ces définitions figurent dans l’opinion Article 29 citée dans les sources.

Tracking cross-site : toute technique permettant de suivre un utilisateur à travers plusieurs sites. CNAME cloaking : méthode qui masque un service tiers en le faisant apparaître comme relevant du domaine de l’éditeur. Stockage partitionné / CHIPS : approche qui segmente le stockage par contexte ou par premier domaine pour limiter certains suivis cross-site.

Server-side tracking : collecte et traitement des événements côté serveur de l’éditeur plutôt que dans le navigateur. Ces termes sont utilisés dans les rapports techniques et juridiques listés en sources.

Pourquoi le tracking first-party intéresse les éditeurs aujourd’hui

Historiquement, les cookies first-party servaient à des fonctions de session et à stocker des préférences utilisateur. Ces usages techniques ont ensuite été détournés pour des finalités publicitaires grâce à des techniques qui recréent un suivi cross-site à partir d’éléments techniquement apparentés au premier domaine.

Les éditeurs explorent des alternatives pour maintenir des capacités de mesure, d’attribution et de ciblage lorsque les cookies tiers sont limités ou supprimés. Ces approches cherchent à préserver des fonctions commerciales tout en restant utilisables techniquement sur des navigateurs qui restreignent le suivi tiers.

La CNIL a documenté ces évolutions et attire l’attention sur la nécessité de respecter les principes de protection des données lors de toute transition technique, en distinguant fonctions de site et usages publicitaires.

Techniques courantes

Cookies first-party classiques : utilisés pour la gestion de session, le panier et les préférences. Ils sont placés par le domaine visité et lus par ce même domaine.

Redirections et pixel first-party : mécanismes qui font transiter des requêtes par des domaines de l’éditeur afin d’enregistrer des évènements ou d’appeler des services de mesure.

Server-side tracking : l’éditeur collecte les événements côté serveur et les transmet à des prestataires depuis son backend. Cette approche déplace la collecte hors du navigateur et change la surface technique de la collecte.

CNAME cloaking : technique qui lie un sous-domaine de l’éditeur à un service tiers afin de lui donner une apparence first-party. Les rapports cités listent cette méthode comme un vecteur de contournement des protections et signalent des risques.

Stockage partitionné (CHIPS) : stratégie qui segmente le stockage afin d’empêcher le partage simple de données entre contextes. Les documents techniques cités dans les sources expliquent ce principe et ses objectifs.

Limitations techniques et contremesures des navigateurs

Plusieurs navigateurs ont introduit des protections qui réduisent l’efficacité du suivi cross-site. WebKit (ITP) et Firefox (Total Cookie Protection / ETP) limitent ou bloquent certaines formes de suivi tiers par défaut. Ces protections réduisent la portée des méthodes qui reposent sur le comportement non partitionné des cookies.

Chrome a mené des travaux sous la bannière Privacy Sandbox et a publié des plans et rapports publics. Ces plans ont connu des cycles d’expérimentation, d’ajustement et de retrait partiel, comme l’indiquent les rapports et analyses académiques cités.

En pratique, ces protections font que certaines solutions first-party perdent de leur fiabilité selon le navigateur et la configuration de l’utilisateur. Les documents techniques listés exposent les cas où des méthodes basées sur l’apparence first-party sont contrecarrées par des protections implantées dans le navigateur.

Enjeux juridiques et conformité (RGPD / ePrivacy / CNIL)

Toute collecte de données, qu’elle soit first-party ou third-party, relève du RGPD et de la directive ePrivacy. Les principes de protection des données s’appliquent aux alternatives aux cookies tiers : information des personnes, choix légal pour le traitement, proportionnalité des finalités.

La CNIL insiste sur l’obligation de documenter l’origine des données et sur la nécessité d’évaluer la licéité des traitements mis en place. Les rapports cités rappellent que le simple fait qu’une donnée soit collectée via le domaine de l’éditeur ne dispense pas des obligations de transparence et de base légale.

La responsabilité du publisher demeure centrale lorsque des partenaires interviennent pour la mesure ou la publicité. Les textes et guides cités recommandent une documentation claire des flux de données et des finalités associées.

Bonnes pratiques éditoriales et techniques (documentaires, non prescriptives)

Favoriser la transparence sur les finalités et l’origine des données. Documenter clairement quelles données sont collectées, à quelles fins, et avec quels partenaires. Rendre la politique de confidentialité accessible et lisible pour les visiteurs.

Éviter l’usage de techniques opaques de type CNAME cloaking sans examen juridique préalable. Les autorités de protection soulignent le risque que de telles méthodes soulèvent lorsqu’elles servent à masquer l’implication de prestataires tiers.

Prévoir un audit conjoint DPO/technique avant toute migration vers des solutions server-side ou autres alternatives. Ce type d’examen permet d’identifier obligations d’information et bases légales pertinentes pour chaque traitement.

Conséquences pour le modèle économique des éditeurs

Les limitations des cookies tiers et les évolutions des navigateurs affectent la mesure, l’attribution et la monétisation publicitaire. Les rapports sur Privacy Sandbox et les études de la CNIL analysent ces effets et les scénarios possibles pour l’écosystème publicitaire.

Les alternatives techniques modifient la manière dont la valeur publicitaire est évaluée. Elles peuvent aussi accroître la complexité contractuelle entre éditeurs et réseaux publicitaires, en rendant plus transparente ou, au contraire, plus fragmentée la provenance des données.

Cas d’usage et exemples publics

Plusieurs rapports publics et études académiques décrivent tentatives et expérimentations d’éditeurs et de régulateurs. Les rapports Privacy Sandbox, les documents de la CMA et les articles académiques cités analysent migrations, retours d’expérience et impacts.

Ces documents servent de base pour comprendre quelles approches ont été testées, quels obstacles techniques ou juridiques ont émergé, et quelles leçons peuvent être tirées pour des projets similaires.

Ressources et lectures complémentaires

• CNIL — Alternatives to third-party cookies: what consequences regarding consent? — cnil.fr (consulté le 04/09/2026)
• CNIL — Informing data subjects — cnil.fr (consulté le 04/09/2026)
• CNIL — Étude économique sur les modèles publicitaires alternatifs — cnil.fr (consulté le 04/09/2026)
• WebKit — Preventing Tracking Prevention Tracking (ITP) — webkit.org (consulté le 04/09/2026)
• Firefox / Mozilla — Total Cookie Protection — firefox.com (consulté le 04/09/2026)
• MDN Web Docs — Privacy Sandbox — developer.mozilla.org (consulté le 04/09/2026)
• Google Privacy Sandbox — Next steps for Privacy Sandbox and tracking protections in Chrome — privacysandbox.google.com (consulté le 04/09/2026)
• Privacy Sandbox Progress Report to the CMA 2025 Q1 — ppc.land (consulté le 04/09/2026)
• ArXiv — « The Rise and Fall of Google’s Privacy Sandbox » — arxiv.org (consulté le 04/09/2026)
• ArXiv — « Lessons from the Adoption and Deprecation of the Privacy Sandbox Web APIs » — arxiv.org (consulté le 04/09/2026)
• MDN — Third-party cookies guide — developer.mozilla.org (consulté le 04/09/2026)
• Wikipedia — Web tracking — en.wikipedia.org (consulté le 04/09/2026)
• CNIL — Recommandation sur les tracking pixels dans les emails (2026) — cnil.fr (consulté le 04/09/2026)

Foire aux questions

• Le first-party tracking est-il exempt de consentement ?
  Non. La nécessité du consentement dépend du traitement et de la base légale applicable. La CNIL précise que l’origine first-party n’exonère pas des obligations d’information et de base légale.
• Le CNAME cloaking est-il légal ?
  La technique est contestée. Les autorités et études citent le CNAME cloaking comme un vecteur de contournement et recommandent un examen juridique avant toute utilisation.
• Server-side tracking rend-il les traitements conformes au RGPD ?
  Non. Le placement côté serveur modifie la surface technique mais n’affecte pas les obligations de transparence, de fondement légal et de respect des principes de protection des données.
• Les protections de navigateur rendent-elles obsolètes les solutions first-party ?
  Ces protections réduisent l’efficacité de certaines approches. Leur impact varie selon le navigateur et la méthode utilisée.
• Quelles alternatives solides existent pour la mesure ?
  Plusieurs approches techniques coexistent : mesures first-party, server-side, API expérimentales. Les analyses citées montrent que chaque option comporte des limites techniques et juridiques.
• Où trouver des recommandations officielles ?
  Les publications de la CNIL et les documents techniques des navigateurs mentionnés dans les ressources offrent des recommandations et des précisions.

Ce que l’on ne sait pas

• Parts de marché exactes des navigateurs en 2026 et pourcentage d’éditeurs utilisant des solutions first-party, quand ces chiffres ne figurent pas explicitement dans une source citée.
• Données internes issues du DATA-BANK.md qui n’est pas disponible dans le dossier public du chantier.
• Affirmations de conformité automatique d’une technique au RGPD ou à ePrivacy sans preuve juridique publique et datée.
• Détails contractuels non publiés sur la mise en œuvre commerciale de solutions propriétaires (ex. clauses contractuelles Google/SSP non publiques).
• État de déploiement définitif ou arrêt définitif de Privacy Sandbox sans citation précise et datée d’un document officiel correspondant.

Mise à jour et errata

La date de mise à jour de cette page est indiquée en tête : 04/09/2026. Les corrections et compléments seront consignés avec une date. Pour toute demande de correction factuelle, référer les éléments documentaires publics cités dans la section Ressources.