Depuis le 16 janvier 2026, la CNIL autorise, sous conditions strictes, qu’un choix de cookies exprimé par un utilisateur connecté à son compte s’applique automatiquement à tous les appareils liés à ce compte. C’est la définition du consentement multi-terminaux : un internaute accepte ou refuse les traceurs une fois, depuis un ordinateur par exemple, et ce choix est reporté sur son smartphone ou sa tablette dès qu’il se connecte avec le même compte. Cette recommandation finale vient compléter la recommandation générale de la CNIL sur les cookies et autres traceurs, publiée après une consultation publique lancée en 2025. Pour toute entreprise qui exploite un site ou une application avec un espace client, cela change concrètement la manière de concevoir sa bannière de consentement.
Pourquoi la CNIL s’intéresse-t-elle au consentement multi-terminaux ?
Le sujet concerne précisément les « univers logués », c’est-à-dire les services où l’utilisateur se connecte à un compte personnel : banque en ligne, e-commerce avec compte client, plateforme de streaming, application mobile liée à un compte web. Dans ces environnements, un même utilisateur navigue souvent depuis plusieurs appareils dans la même journée. Sans règle claire, il existait un flou juridique sur la possibilité de synchroniser son choix de cookies entre ces appareils.
La CNIL a donc précisé les conditions dans lesquelles cette synchronisation reste conforme au RGPD et à l’article 82 de la loi Informatique et Libertés, qui encadre l’accès aux informations stockées sur le terminal d’un utilisateur. L’enjeu est d’éviter qu’un choix donné sur un appareil soit étendu abusivement à d’autres contextes sans information claire de l’utilisateur.
Les conditions pour un consentement valable sur plusieurs appareils
La CNIL pose plusieurs garde-fous avant qu’une entreprise puisse synchroniser le consentement entre les terminaux d’un même compte. Le principe central est celui de la portée identique : si l’acceptation peut s’appliquer à tous les appareils en un clic, le refus et le retrait du consentement doivent pouvoir se faire avec la même simplicité et la même portée. Il ne doit jamais être plus facile d’accepter pour tous ses appareils que de refuser pour tous ses appareils.
L’information délivrée à l’utilisateur doit également préciser explicitement que son choix s’appliquera à l’ensemble de ses appareils connectés au compte, idéalement dès le premier niveau de la fenêtre de consentement (la CMP). Enfin, lorsqu’un utilisateur se connecte à son compte depuis un nouveau terminal, la CNIL recommande d’afficher un message temporaire qui rappelle la portée des choix déjà faits, afin que la personne ne soit jamais surprise par un choix appliqué sans qu’elle en ait été informée sur cet appareil précis.
Que faire en cas de conflit entre choix locaux et choix du compte ?
Il arrive qu’un utilisateur ait déjà fait un choix de cookies sur un appareil avant de se connecter à son compte, et que ce choix diffère de celui enregistré dans son compte. La CNIL propose deux méthodes pour résoudre ce conflit, à condition de l’appliquer de façon claire, loyale et cohérente dans le temps. La première consiste à donner la priorité au dernier choix exprimé avant connexion, quel que soit le terminal utilisé. La seconde consiste à donner systématiquement la priorité aux préférences enregistrées dans le compte, considérées comme la référence.
Quelle que soit la méthode retenue, l’entreprise doit la documenter et l’appliquer de manière constante. Un site ne peut pas changer de règle de résolution des conflits au fil des mises à jour sans en informer ses utilisateurs, sous peine de rendre le dispositif incompréhensible et donc non conforme à l’exigence de consentement éclairé.
Ce que cela change concrètement pour les sites et applications
Pour un responsable de site e-commerce ou d’application avec compte client, plusieurs ajustements pratiques découlent de cette recommandation. La connexion à un compte ne doit jamais être interprétée comme une forme de consentement implicite à la publicité ciblée : se connecter pour passer une commande et accepter des cookies publicitaires restent deux actions strictement distinctes. Il faut également conserver une trace précise de chaque choix : la date, les finalités concernées, la portée annoncée à l’utilisateur et la version de l’information affichée au moment du choix.
Le retrait du consentement doit se propager correctement à tous les environnements couverts, y compris les sessions déjà ouvertes sur d’autres appareils. Si un retrait exprimé sur mobile ne parvient pas à désactiver les cookies publicitaires sur la version ordinateur du même compte, l’entreprise reste en tort vis-à-vis de la CNIL, même si le mécanisme technique a été correctement conçu sur le papier. C’est souvent sur cette synchronisation technique, plus que sur le principe juridique, que les projets de mise en conformité achoppent.
La CNIL reste active sur les traceurs en 2026
Cette évolution des règles ne signifie pas un relâchement des contrôles, bien au contraire. En octobre 2026, la CNIL a infligé une amende totale de 7 millions d’euros à deux sociétés du groupe Fnac Darty, sanctionnant la lecture et l’écriture d’informations sur le téléphone des utilisateurs de l’application mobile, via une API, sans consentement préalable. Cette décision, qui fait suite à une plainte de l’association Noyb déposée en 2023 et à un contrôle mené en 2024, montre que les traceurs mobiles restent un axe de contrôle prioritaire pour l’autorité.
Pour toute PME, cette actualité rappelle qu’une mise en conformité RGPD/CMP ne se limite pas au site web principal : les applications mobiles, les SDK publicitaires et les API internes doivent être audités avec la même rigueur. Une entreprise de Seine-et-Marne (77) qui gère à la fois un site et une application doit vérifier que son dispositif de consentement couvre bien les deux environnements, et pas seulement le navigateur.
Et après ? Le chantier du consentement multi-propriétés
La CNIL a d’ores et déjà annoncé la suite de ses travaux : un encadrement du consentement dit « multi-propriétés » ou « cross-domain », qui concernerait cette fois les sites appartenant à un même groupe ou à une même marque, mais hébergés sur des noms de domaine différents. Ce futur chantier fera, comme celui du multi-terminaux, l’objet d’une consultation publique avant publication de recommandations définitives.
Les entreprises qui exploitent plusieurs sites sous des domaines distincts ont donc intérêt à suivre cette actualité de près, car les principes posés pour le multi-terminaux (portée identique, information claire, traçabilité des choix) serviront probablement de base à la future recommandation sur le multi-propriétés.
Comment sécuriser sa mise en conformité dès maintenant
Plutôt que d’attendre une éventuelle sanction, la méthode la plus sûre consiste à auditer sa CMP actuelle à la lumière de ces nouvelles recommandations : vérifier la portée réelle des choix proposés, s’assurer que le refus est aussi simple que l’acceptation, et documenter la règle de résolution des conflits entre terminaux. Cela suppose souvent de reconfigurer sa plateforme de gestion du consentement avec l’appui d’un partenaire technique à jour des dernières recommandations CNIL, comme Sirdata. Un accompagnement en mise en conformité RGPD et CMP permet de transformer ces obligations réglementaires en dispositif réellement opérationnel, sans bloquer l’expérience utilisateur ni les besoins marketing de l’entreprise.