Le tracking par empreinte digitale, ou fingerprinting, est une technique de suivi en ligne qui reconnaît un terminal en combinant les caractéristiques techniques que transmettent son navigateur ou ses applications, sans avoir besoin de déposer un fichier sur l’appareil.
Chaque connexion révèle des informations sur l’équipement : type et version du navigateur, système d’exploitation, langue, fuseau horaire, résolution d’écran. Des scripts exécutés dans la page peuvent en relever d’autres, comme les polices installées ou la manière dont l’appareil dessine une image. Prises une à une, ces données sont banales. Combinées, elles forment une signature souvent propre à un seul terminal, que le site recalcule à chaque visite. L’expression française calque l’anglais fingerprint ; on parle aussi d’empreinte numérique ou d’empreinte du terminal. La CNIL emploie la formule « identification par calcul d’empreinte du terminal ».
Le procédé comprend trois composantes : la collecte d’attributs, passive par les informations envoyées à chaque requête ou active par des scripts ; le calcul d’un identifiant à partir de ces attributs ; une base qui rapproche cet identifiant des visites précédentes. Ses usages vont du ciblage publicitaire et de la mesure d’audience à la détection de la fraude et à la sécurisation des comptes.
Le fingerprinting se distingue du cookie, fichier stocké sur le terminal que l’internaute peut consulter et effacer. Effacer ses cookies ne modifie pas l’empreinte. Il se distingue aussi de l’identification par connexion à un compte, qui repose sur une démarche volontaire de l’utilisateur et alimente les first party data. Le terme est employé en web analyse, en publicité numérique et dans l’analyse de conformité des sites.
Le fingerprinting n’échappe pas aux règles sur les traceurs au motif qu’il ne dépose pas de fichier. Les lignes directrices de la CNIL sur les cookies et autres traceurs (2020) citent expressément « les identifications par calcul d’empreinte du terminal ou « fingerprinting » » parmi les techniques couvertes par l’article 82 de la loi Informatique et Libertés. Sauf exemption, l’accord préalable de l’internaute est donc requis. Le Comité européen de la protection des données rappelle, dans ses lignes directrices 2/2023 adoptées dans leur version 2 le 7 octobre 2024, que le fingerprinting relève du champ technique de l’article 5, paragraphe 3, de la directive vie privée et communications électroniques. Lorsque l’empreinte permet de suivre une personne, les données traitées relèvent en outre du RGPD.
Notre lecture : calculer une empreinte après un refus de cookies revient à ignorer ce refus. Le risque n’est pas seulement juridique. C’est une rupture de confiance que l’internaute ne peut ni voir ni corriger.
L’Electronic Frontier Foundation a montré dès 2010 l’efficacité du procédé. Dans son étude « How Unique Is Your Web Browser? », 84 % des combinaisons de configuration observées étaient uniques, sur une base de près d’un million de visiteurs (communiqué du 13 mai 2010). L’empreinte peut toutefois changer avec une mise à jour du navigateur ou un nouvel écran. Le rapprochement entre deux visites reste donc une inférence, pas une certitude.
L’autorité britannique de protection des données, l’ICO, a publié le 19 décembre 2024 une réaction à un changement de règles de Google. Selon l’ICO, Google cesse à partir du 16 février 2025 d’interdire aux annonceurs le recours au fingerprinting. L’autorité juge ce changement « irresponsable ». Elle souligne que le procédé est plus difficile à bloquer pour les navigateurs et ne constitue pas un moyen loyal de suivre les internautes.
Advalians vérifie d’abord vos données de mesure, puis identifie les actions qui produisent des contacts ou des ventes et celles qui n’en produisent pas, pour réallouer votre budget.
Advalians, cabinet de conseil indépendant en marketing et communication, vous aide à clarifier vos choix et à décider.
Le cookie est stocké sur le terminal, l’empreinte est calculée à partir de ses caractéristiques. L’internaute peut consulter, refuser ou effacer un cookie. Il ne peut pas effacer l’empreinte de son appareil, qui se recalcule à chaque visite.
Sur le plan juridique, la différence est faible : les deux techniques relèvent des règles sur les traceurs et demandent en principe un consentement préalable. Pour le cookie tiers comme pour l’empreinte, vérifiez donc la même chose : finalité, exemption éventuelle et respect du refus.
Posez la question par écrit au fournisseur, puis vérifiez techniquement. Demandez quels attributs de l’appareil l’outil collecte, s’il calcule un identifiant à partir d’eux et à quelle fin. Exigez une réponse dans le contrat ou la documentation.
Faites ensuite examiner les scripts par un développeur : appels à des fonctions de dessin invisibles, lecture systématique des polices ou des caractéristiques de l’écran, envoi de ces valeurs à un serveur tiers. Refaites le test après un refus de traceurs. L’audit de web analytics est le bon moment pour ce contrôle.
Utilisez un outil de mesure configuré pour entrer dans l’exemption de consentement définie par la CNIL. Selon sa page sur les outils de mesure d’audience (2025), le traceur doit servir uniquement à la mesure d’audience du site et produire des données statistiques anonymes. Il ne doit permettre ni un suivi global de la navigation ni un croisement avec d’autres traitements. La CNIL recommande en outre de limiter la durée de vie des traceurs.
Complétez par les données des visiteurs qui acceptent les traceurs et par les données déclarées lors d’une inscription. Acceptez une mesure moins exhaustive : une tendance fiable vaut mieux qu’un comptage complet obtenu à l’insu des visiteurs.
En principe non, sauf exemption. Les lignes directrices de la CNIL rangent le calcul d’empreinte du terminal parmi les traceurs soumis à l’article 82 de la loi Informatique et Libertés. Seuls les traceurs nécessaires à la transmission d’une communication ou strictement nécessaires à un service expressément demandé par l’utilisateur en sont dispensés.
Un usage de sécurité doit donc être justifié au cas par cas. Faites valider chaque usage par le délégué à la protection des données et cloisonnez les identifiants de sécurité pour qu’ils ne servent jamais à la publicité.
Non, pour un usage publicitaire, c’est un mauvais calcul. Le procédé reste soumis au consentement, il est critiqué par les autorités de protection des données et il ne respecte pas le choix d’un internaute qui a refusé les traceurs.
Investissez plutôt dans des données obtenues avec l’accord des personnes : inscription, programme de fidélité, préférences déclarées. Travaillez aussi le ciblage contextuel, qui s’appuie sur le contenu de la page et non sur l’identité du visiteur. Réservez l’empreinte, si elle est justifiée, à la sécurité des comptes.
Modèles, grilles et guides prêts à l’emploi pour vos projets marketing et communication.
