Consentement multi-terminaux : ce que la CNIL recommande depuis janvier 2026
Vous acceptez les cookies sur votre ordinateur le matin, puis vous ouvrez le même service sur votre téléphone le soir : faut-il répondre une seconde fois ? Pour les services qui disposent d'un compte utilisateur, la question se pose de plus en plus, et la CNIL y a répondu. Le 16 janvier 2026, elle a publié ses recommandations finales sur le consentement multi-terminaux, à l'issue d'une consultation publique ouverte en avril 2025.
Cet article en résume le contenu et dit à qui il s'adresse. La source de référence reste la page de la CNIL, à consulter avant toute décision.
De quoi parle-t-on ?
Un consentement multi-terminaux est un choix exprimé une seule fois et appliqué à tous les appareils d'un même utilisateur : téléphone, tablette, ordinateur, télévision connectée, navigateurs et applications. L'intérêt est évident pour l'utilisateur, qui n'est plus sollicité à chaque appareil, et pour l'éditeur, qui retrouve un choix cohérent d'un terminal à l'autre.
Ce mécanisme repose sur un point précis : il faut pouvoir reconnaître la personne. C'est pourquoi la recommandation ne vise que les environnements où l'utilisateur est authentifié, ce que la CNIL appelle les « univers logués ».
À qui s'applique la recommandation ?
Elle concerne les acteurs qui choisissent de proposer un consentement unique à tous les appareils liés à un compte. Elle encadre cette pratique ; elle ne la rend pas obligatoire.
Concrètement :
- Un site vitrine, un blog, un site sans espace connecté : vous n'identifiez pas vos visiteurs, le consentement reste propre à chaque navigateur. La recommandation ne change rien à votre situation.
- Une plateforme avec comptes (e-commerce, média avec abonnement, application, service en ligne) : si vous voulez qu'un choix fait sur un appareil vaille sur les autres, vous entrez dans le périmètre.
Les conditions posées par la CNIL
Une information claire sur la portée
L'utilisateur doit savoir que ses choix s'appliqueront à tous les appareils connectés à son compte. La CNIL indique que cette information peut figurer dès le premier niveau de la fenêtre de recueil du consentement. Sans elle, l'utilisateur ne peut pas mesurer ce à quoi il consent, et le consentement perd en validité.
Le refus et le retrait, avec la même portée
C'est le point central. Si accepter une fois suffit pour tous les appareils, refuser ou retirer son consentement doit être aussi simple et avoir la même portée. Un parcours où l'acceptation se propage partout mais où le refus doit être répété appareil par appareil serait en contradiction avec le principe, déjà ancien, d'un refus aussi facile que l'acceptation.
Un rappel sur un nouvel appareil
Lorsque l'utilisateur se connecte depuis un nouvel appareil, la CNIL recommande d'afficher un message temporaire rappelant la portée de ses choix. Il s'agit d'éviter la surprise : la personne doit comprendre pourquoi aucune bannière ne s'affiche, et comment modifier ses préférences.
Quand deux choix se contredisent
Il arrive qu'un visiteur exprime un choix dans la fenêtre de consentement avant de se connecter, puis découvre que son compte contient des préférences différentes. La CNIL présente deux méthodes acceptables :
- appliquer le dernier choix exprimé dans la fenêtre de consentement avant la connexion ;
- donner la priorité aux préférences enregistrées dans le compte.
L'important est de choisir une règle, de la documenter et de l'appliquer de façon cohérente.
Ce que cela change dans la pratique
| Sujet | Ce qu'il faut prévoir |
|---|---|
| Première couche de la bannière | Mentionner que les choix valent pour les appareils liés au compte |
| Refus et retrait | Les propager à tous les appareils, avec la même simplicité que l'acceptation |
| Connexion depuis un nouvel appareil | Message temporaire rappelant la portée des choix |
| Conflit entre deux choix | Règle de priorité explicite et documentée |
| Preuve | Pouvoir retracer qui a choisi quoi, et quand |
Le dernier point n'est pas propre au multi-terminaux : quel que soit le périmètre, l'éditeur doit pouvoir prouver le consentement de ses utilisateurs. Un consentement qui se propage d'un appareil à l'autre rend simplement cette trace plus précieuse, puisqu'elle doit rester cohérente d'un terminal à l'autre.
La suite : le consentement multi-sites
La CNIL a annoncé que 2026 verrait s'ouvrir ses travaux sur le consentement multi-propriétés (« cross-domain »), c'est-à-dire un consentement unique valable sur plusieurs sites ou médias d'un même groupe. Ces travaux donneront lieu à des recommandations soumises à consultation publique. Si vous exploitez plusieurs sites, c'est un sujet à suivre.
Ce qu'il faut retenir
- La recommandation du 16 janvier 2026 encadre le consentement unique pour les utilisateurs connectés ; elle n'impose rien aux sites sans compte.
- Le refus et le retrait doivent avoir la même simplicité et la même portée que l'acceptation.
- L'information sur la portée doit apparaître dès le premier niveau, et un rappel est recommandé sur un nouvel appareil.
- Une règle de priorité claire doit trancher les conflits entre choix avant et après connexion.
Cet article présente la recommandation de façon factuelle et ne constitue pas un avis juridique. Pour la mise en œuvre sur un service avec comptes, appuyez-vous sur le texte intégral de la CNIL et, si besoin, sur votre délégué à la protection des données. Pour la base commune à tout site, voir notre guide sur la bannière cookies conforme.
Consenteer recueille et prouve le consentement de vos visiteurs, avec un journal exportable. Créer un compte gratuit.