Guide CNIL : tracking cross-device et consentement multi-terminaux

Consentement multi-terminaux : comprendre la nouvelle recommandation CNIL sur le tracking cross-device

Le 16 janvier 2026, la CNIL a publié ses recommandations finales sur le consentement multi-terminaux, aussi appelé cross-device consent. L’objectif est d’aider les sites web et les applications à recueillir un consentement conforme au RGPD lorsque l’utilisateur utilise plusieurs appareils connectés à son compte : ordinateur, smartphone, tablette, application mobile ou télévision connectée.

À première vue, l’idée est simple.

Un utilisateur accepte ou refuse les cookies sur un appareil. Ce choix est ensuite appliqué automatiquement sur ses autres appareils, dès lors qu’ils sont reliés au même compte utilisateur.

Exemple : vous refusez les cookies publicitaires sur l’application mobile d’un service de streaming. Plus tard, vous vous connectez au même compte depuis votre ordinateur. Le site applique le même refus, sans vous redemander de faire un choix.

Sur le papier, c’est plutôt logique. L’utilisateur ne devrait pas avoir à répéter quinze fois le même choix, surtout lorsqu’il est déjà connecté à son compte.

Découvrez égalementGTM vs GA4 : quel outil pour votre tracking ?

Mais techniquement, le sujet est beaucoup plus subtil.

Parce que pour appliquer un choix de consentement sur plusieurs appareils, il faut déjà être capable de reconnaître l’utilisateur sur ces appareils. Et dans la majorité des cas sérieux, cette reconnaissance passe par une authentification.

C’est là que commence le vrai sujet : le consentement multi-terminaux n’est pas une solution magique pour suivre un utilisateur partout. C’est un mécanisme encadré, réservé aux univers authentifiés.

Et pour les professionnels du marketing, de l’analytics, du tag management ou du RGPD, cette recommandation CNIL pose une question très concrète : comment synchroniser un consentement entre plusieurs terminaux sans casser la conformité, sans dégrader la qualité de donnée, et sans déclencher des tags avant d’avoir un consentement valable ?

Consentement multi-terminaux : définition simple

Le consentement multi-terminaux consiste à rattacher les préférences cookies d’un utilisateur à son compte, plutôt qu’à un seul navigateur ou à un seul appareil.

Habituellement, un choix de consentement est stocké localement.

Découvrez égalementGuide GTM, Consent Mode v2 et sandbox Shopify

Vous arrivez sur un site depuis Chrome sur votre ordinateur. Vous acceptez ou refusez les cookies. Le site conserve votre choix dans un cookie ou dans un stockage local associé à ce navigateur.

Mais si vous revenez depuis votre smartphone, le site ne connaît pas forcément votre choix précédent. Il vous redemande donc de consentir.

Le consentement multi-terminaux change cette logique.

Le choix n’est plus seulement attaché au navigateur. Il peut être attaché au compte utilisateur.

Dit simplement : le consentement multi-terminaux cherche à éviter la répétition du bandeau cookies lorsque l’utilisateur est déjà identifié.

Découvrez égalementPourquoi utiliser Google Tag Manager pour votre tracking ?

Mais attention : cela ne veut pas dire que l’on peut identifier un utilisateur n’importe comment.

Pourquoi la CNIL encadre ce sujet maintenant ?

Les usages numériques ont changé.

Un utilisateur ne consulte plus un service depuis un seul appareil. Il commence parfois sur mobile, continue sur ordinateur, revient depuis une application, regarde une vidéo sur une télévision connectée, puis finalise un achat sur tablette.

Pour les entreprises, cette fragmentation pose deux problèmes.

Premier problème : l’expérience utilisateur. À force de redemander le consentement partout, on fatigue l’utilisateur.

Deuxième problème : la cohérence du tracking. Un utilisateur peut accepter certains traceurs sur un terminal, les refuser sur un autre, puis modifier son choix dans son compte. Sans règle claire, les préférences deviennent difficiles à interpréter.

La CNIL répond donc à une vraie question : à quelles conditions peut-on recueillir un consentement une seule fois et l’appliquer à plusieurs appareils ?

Sa réponse est prudente : oui, mais seulement dans un cadre précis.

La recommandation vise les utilisateurs authentifiés, c’est-à-dire les cas où l’utilisateur se connecte à un compte. La CNIL parle d’“univers logués”.

C’est une précision essentielle.

Le consentement multi-terminaux ne concerne pas le visiteur anonyme que l’on essaierait de reconnaître entre son mobile et son ordinateur avec une adresse IP, une empreinte navigateur ou un rapprochement probabiliste.

Il concerne un utilisateur relié à un compte.

Ce que la CNIL autorise vraiment

La CNIL n’autorise pas le suivi sauvage entre appareils.

Elle encadre un cas précis : un utilisateur connecté à un compte peut exprimer un choix de consentement, puis ce choix peut être appliqué aux autres environnements connectés à ce même compte.

Cela peut inclure :

• un site web consulté depuis un ordinateur ;
• une application mobile ;
• une tablette ;
• une télévision connectée ;
• plusieurs navigateurs ;
• plusieurs terminaux utilisés avec le même compte.

Mais plusieurs conditions doivent être respectées.

1. L’utilisateur doit être clairement informé

L’utilisateur doit comprendre que son choix ne concerne pas seulement l’appareil qu’il utilise à l’instant T.

Il doit savoir que ses préférences seront appliquées aux autres appareils connectés à son compte.

Cette information doit être donnée clairement, idéalement dès le premier niveau de la CMP, c’est-à-dire dans le premier écran de la bannière cookies. La CNIL recommande également d’afficher un message temporaire lorsqu’un utilisateur se connecte depuis un nouveau terminal, afin de lui rappeler la portée de ses choix.

Ce point est fondamental.

Un consentement ne peut pas être éclairé si l’utilisateur ne comprend pas la portée de son choix.

2. Le refus doit être aussi simple que l’acceptation

Si l’utilisateur peut accepter les traceurs pour tous ses appareils, il doit aussi pouvoir les refuser ou retirer son consentement avec la même portée.

Pas d’acceptation globale en un clic et de retrait caché dans un compte client mal conçu.

La CNIL rappelle que le consentement multi-terminaux ne doit jamais rendre plus difficile l’exercice des droits de l’utilisateur : accepter, refuser ou changer d’avis doit avoir les mêmes effets sur tous les appareils concernés.

C’est une règle simple, mais elle a des conséquences techniques fortes.

Il faut que le retrait soit synchronisé aussi proprement que l’acceptation.

3. Les préférences doivent être liées au compte utilisateur

Le cœur du dispositif repose sur le compte.

Cela signifie que l’entreprise doit disposer d’une clé de rapprochement fiable : identifiant interne, compte client, identifiant utilisateur, éventuellement email haché selon l’architecture retenue.

Sans cette clé, le mécanisme devient fragile.

Et plus la méthode de reconnaissance devient indirecte, plus le risque juridique et technique augmente.

4. Il faut gérer les conflits de consentement

La CNIL identifie un cas très concret : que se passe-t-il si l’utilisateur exprime un choix sur un terminal avant de se connecter, puis que son compte contient déjà une préférence différente ?

Exemple :

• sur mobile, avant connexion, il refuse les cookies ;
• après connexion, son compte indique une acceptation précédente ;
• quelle préférence faut-il appliquer ?

La CNIL admet deux logiques possibles :

• donner priorité au dernier choix exprimé localement avant connexion ;
• donner priorité aux préférences déjà enregistrées dans le compte.

Les deux options peuvent être défendues. Mais l’entreprise doit choisir une règle, l’expliquer clairement et l’appliquer de manière cohérente.

En formation, c’est un excellent cas pratique : il oblige à penser le consentement comme un processus, pas comme un simple bouton “Accepter / Refuser”.

Le point technique central : reconnaître l’utilisateur

Pour comprendre le consentement multi-terminaux, il faut comprendre la notion de “clé de jointure”.

Une clé de jointure est l’élément qui permet de dire : ce terminal A et ce terminal B sont utilisés par le même compte utilisateur.

Dans un contexte fiable, cette clé est généralement liée à l’authentification.

Par exemple :

• un identifiant utilisateur interne ;
• un identifiant de compte ;
• un ID client ;
• un email haché ;
• un token associé à une session connectée.

Sans cette clé, il devient très difficile d’appliquer correctement un consentement cross-device.

Et c’est là que la promesse devient moins évidente.

Pour appliquer sur mobile un choix exprimé sur desktop, il faut que l’utilisateur se soit connecté sur desktop, puis se connecte aussi sur mobile.

Or, dans beaucoup de parcours, le bandeau cookies apparaît avant la connexion.

Ce détail change tout.

Le scénario idéal

Dans le scénario idéal :

1. l’utilisateur se connecte ;
2. le site récupère ses préférences de consentement ;
3. la CMP applique les choix enregistrés ;
4. les tags sont déclenchés ou bloqués selon ces choix.

C’est propre.

Le scénario réel

Dans beaucoup de sites :

1. l’utilisateur arrive sur une page ;
2. la CMP s’affiche immédiatement ;
3. l’utilisateur n’est pas encore connecté ;
4. le site ne sait pas encore si des préférences existent dans son compte ;
5. l’utilisateur doit choisir localement ;
6. seulement ensuite, il se connecte éventuellement.

Dans ce cas, le consentement multi-terminaux ne supprime pas vraiment le bandeau. Il ajoute surtout une logique de synchronisation après connexion.

Voilà pourquoi ce sujet doit être abordé avec prudence.

Pourquoi le bandeau bloquant complique tout

Un bandeau bloquant force l’utilisateur à exprimer un choix avant de continuer sa navigation.

Sur le plan RGPD, cette logique peut paraître sécurisante : aucun traceur soumis au consentement ne part avant décision.

Mais dans un scénario multi-terminaux, elle peut bloquer la récupération des préférences associées au compte.

Si l’utilisateur doit interagir avec la CMP avant de pouvoir se connecter, le site ne peut pas encore appliquer les préférences stockées dans son compte.

On obtient donc un paradoxe :

• pour appliquer le consentement du compte, il faut que l’utilisateur se connecte ;
• mais pour se connecter, il doit parfois déjà passer par le bandeau cookies.

Il existe des solutions techniques, mais elles doivent être pensées avec soin.

Trois stratégies possibles

Stratégie 1 : CMP avant connexion

C’est l’approche la plus classique.

L’utilisateur arrive sur le site. La CMP s’affiche. Il accepte, refuse ou paramètre ses choix. S’il se connecte ensuite, le site doit comparer son choix local avec les préférences enregistrées dans son compte.

Avantage : le comportement est clair et plutôt prudent.

Limite : l’utilisateur peut encore voir le bandeau sur plusieurs appareils, surtout s’il n’est pas connecté dès son arrivée.

Stratégie 2 : connexion possible avant interaction complète avec la CMP

Le site peut permettre à l’utilisateur de se connecter sans forcer immédiatement une décision complète sur les cookies.

Mais attention : tant que le consentement applicable n’est pas connu, les traceurs soumis au consentement ne doivent pas être déclenchés. Les règles CNIL sur les cookies rappellent que les traceurs non essentiels nécessitent un consentement préalable.

Cela suppose une architecture propre :

• les tags marketing sont bloqués par défaut ;
• l’état de consentement initial est en attente ou refus ;
• les préférences sont récupérées après authentification ;
• la CMP met à jour l’état de consentement ;
• GTM, Matomo Tag Manager ou Piwik PRO appliquent la décision ;
• les appels réseau sont testés dans le navigateur.

Cette stratégie peut être intéressante, mais elle demande un vrai niveau de maîtrise technique.

Stratégie 3 : synchronisation après connexion

C’est souvent le compromis le plus réaliste.

Avant connexion, le site applique le choix local. Après connexion, il applique les préférences du compte, en informant l’utilisateur.

Ce n’est pas la promesse parfaite du “un seul consentement partout”, mais c’est souvent le scénario le plus compréhensible.

En formation, c’est aussi celui qui permet le mieux d’expliquer les arbitrages entre UX, conformité et tracking.

Ce qu’il ne faut pas faire

Le risque, avec le consentement multi-terminaux, serait de chercher à reconnaître un utilisateur sans authentification fiable.

C’est là que l’on entre dans des zones dangereuses :

• fingerprinting ;
• rapprochement probabiliste ;
• device graph opaque ;
• analyse d’adresse IP ;
• signaux réseau ;
• corrélations comportementales.

Ces méthodes peuvent donner une impression de continuité, mais elles ne sont pas équivalentes à une authentification.

Une adresse IP partagée ne prouve pas qu’il s’agit de la même personne.

Dans un foyer, plusieurs personnes utilisent la même connexion. Dans une entreprise, des centaines de salariés peuvent sortir avec la même IP publique. Avec un VPN, des utilisateurs sans lien entre eux peuvent partager des adresses.

Donc non, l’IP ne suffit pas pour appliquer un consentement individuel sur plusieurs terminaux.

Le consentement multi-terminaux sérieux repose d’abord sur un compte utilisateur.

Ce que cela change pour le tracking RGPD

Pour les personnes qui travaillent sur GA4, Google Tag Manager, Matomo, Piwik PRO, Consent Mode ou server-side GTM, cette recommandation a une conséquence importante : le consentement devient une donnée à gouverner.

Ce n’est plus seulement un bouton dans une bannière.

Il faut savoir :

• où le consentement est stocké ;
• comment il est lu ;
• comment il est transmis au tag manager ;
• comment il est mis à jour ;
• quels tags sont bloqués avant décision ;
• quelle préférence prévaut en cas de conflit ;
• comment le retrait est appliqué ;
• comment la preuve est conservée.

Dans un audit de tracking RGPD, le consentement multi-terminaux ajoute donc une couche de complexité.

Il ne suffit pas de regarder si la CMP s’affiche. Il faut vérifier ce qui se passe réellement dans le navigateur.

Concrètement :

• est-ce que Google Analytics part avant consentement ?
• est-ce que les pixels publicitaires attendent bien le bon signal ?
• est-ce que Consent Mode est mis à jour au bon moment ?
• est-ce que le dataLayer contient un état de consentement exploitable ?
• est-ce que le server-side GTM relaie correctement les préférences ?
• est-ce que le retrait coupe bien les tags concernés ?
• est-ce que les logs permettent de prouver le choix appliqué ?

C’est là que le sujet devient très formateur.

Parce qu’il oblige à relier droit, analytics, tag management, architecture web et qualité de donnée.

Ce qu’un apprenant doit retenir

Si je devais résumer le sujet pour un professionnel qui se forme au tracking RGPD, je dirais ceci.

Le consentement multi-terminaux n’est pas une fonctionnalité CMP à activer mécaniquement.

C’est une architecture de consentement.

Elle implique :

• une CMP bien configurée ;
• un compte utilisateur ;
• une clé de jointure fiable ;
• une règle claire en cas de conflit ;
• un tag management maîtrisé ;
• une preuve du consentement ;
• une interface de retrait simple ;
• des tests réels dans le navigateur.

Le point important est là : la conformité ne se vérifie pas uniquement dans les textes. Elle se vérifie dans les appels réseau.

Si des requêtes vers Google, Meta, LinkedIn, TikTok, Criteo ou d’autres outils partent avant consentement valable, le discours de conformité ne tient pas.

Exemple pédagogique : un utilisateur entre mobile et desktop

Prenons un cas simple.

Un utilisateur possède un compte sur un site e-commerce.

Étape 1 : il arrive sur mobile

Il n’est pas connecté. La CMP s’affiche.

Il refuse les cookies publicitaires.

À ce stade, le refus est local au mobile.

Étape 2 : il se connecte

Le site récupère les préférences associées à son compte.

Deux cas sont possibles :

• le compte ne contient encore aucune préférence : le refus mobile peut être enregistré dans le compte ;
• le compte contient déjà une préférence différente : le site doit appliquer la règle définie.

Étape 3 : il revient sur desktop

Il se connecte au même compte.

Le site peut appliquer les préférences enregistrées dans le compte.

Mais il doit l’informer clairement que ces choix s’appliquent sur ce terminal.

Étape 4 : il retire son consentement

S’il retire son consentement depuis desktop, ce retrait doit pouvoir s’appliquer avec la même portée que l’acceptation.

Donc si l’acceptation était multi-terminaux, le retrait doit aussi être multi-terminaux.

C’est simple à écrire. Beaucoup moins simple à implémenter proprement.

Checklist pédagogique : quoi auditer avant d’activer le cross-device consent ?

Avant d’activer une fonctionnalité de consentement multi-terminaux, voici les questions à poser.

Cette grille est utile en formation, mais aussi en audit réel.

Elle évite de se limiter à une question superficielle : “la CMP propose-t-elle une option cross-device ?”

La vraie question est : “le dispositif est-il compréhensible, testable, documenté et techniquement conforme ?”

Dans quels cas le consentement multi-terminaux a du sens ?

Le dispositif peut être pertinent lorsque l’utilisateur se connecte naturellement et fréquemment.

Plateformes SaaS

L’utilisateur est presque toujours connecté. Le compte est central. Les préférences peuvent être gérées proprement dans l’espace utilisateur.

C’est probablement l’un des meilleurs cas.

Médias avec abonnement

Un abonné peut consulter le média sur mobile, desktop et application. Le rattachement au compte peut réduire la répétition des bandeaux.

Mais il faut séparer les abonnés connectés des visiteurs anonymes.

Applications bancaires, assurance, énergie, transport

Dans ces environnements, l’authentification est souvent au cœur du service. Le consentement multi-terminaux peut être cohérent si l’interface de gestion des préférences est claire.

Services de streaming et TV connectées

Le multi-device fait partie de l’usage. Mais attention aux comptes familiaux et aux terminaux partagés.

E-commerce avec compte client actif

Le sujet peut être intéressant, mais uniquement si une part significative des visiteurs se connecte tôt. Si la connexion arrive au moment du paiement, le bénéfice sera limité.

Dans quels cas il faut rester prudent ?

Je serais beaucoup plus prudent pour :

• les sites vitrines ;
• les blogs ;
• les sites B2B sans espace connecté ;
• les e-commerces où la connexion arrive tard ;
• les sites média avec majorité de trafic anonyme ;
• les environnements où les comptes sont partagés ;
• les dispositifs reposant sur des signaux probabilistes.

Dans ces cas, le consentement multi-terminaux peut ajouter beaucoup de complexité pour un gain faible.

C’est une erreur fréquente en tracking : activer une fonctionnalité avancée avant d’avoir solidifié la base.

Le lien avec Consent Mode et server-side GTM

Le consentement multi-terminaux doit aussi être relié aux outils de tracking modernes.

Avec Google Consent Mode, les signaux comme analytics_storage, ad_storage, ad_user_data ou ad_personalization doivent refléter correctement l’état de consentement de l’utilisateur.

Si le consentement est synchronisé après connexion, il faut que ces signaux soient mis à jour au bon moment.

Même logique avec server-side GTM.

Le fait de passer par un serveur ne dispense pas de respecter le consentement. Le serveur doit appliquer les préférences utilisateur. Sinon, on ne fait que déplacer le problème.

C’est un point essentiel à comprendre en formation : le server-side tracking n’est pas une baguette magique RGPD.

Il peut améliorer la maîtrise de la collecte. Mais mal configuré, il peut aussi rendre le dispositif plus opaque.

Le lien avec la qualité de donnée

On parle souvent du consentement uniquement sous l’angle juridique.

C’est une erreur.

Un consentement mal géré dégrade aussi la qualité de donnée.

Si les préférences ne sont pas cohérentes entre mobile, desktop et application, les données analytics deviennent difficiles à interpréter.

Si certains tags partent avant consentement et d’autres après, les rapports deviennent incohérents.

Si le retrait n’est pas correctement appliqué, l’entreprise prend un risque de conformité et de confiance.

Si Consent Mode est mal configuré, les signaux transmis à Google peuvent être faux ou incomplets.

La qualité du tracking dépend donc directement de la qualité de la gestion du consentement.

C’est pour cela que ce sujet ne doit pas rester uniquement entre les mains du juridique. Il doit impliquer aussi les équipes marketing, data, analytics, produit et technique.

La prochaine étape : le consentement multi-propriétés

La CNIL annonce aussi des travaux en 2026 sur le consentement multi-propriétés, aussi appelé cross-domain. Cette fois, le sujet ne concernera plus seulement plusieurs appareils, mais plusieurs sites ou médias, notamment lorsqu’ils appartiennent à un même groupe.

Exemple : un groupe média possède plusieurs sites, plusieurs applications et plusieurs marques.

Peut-on recueillir un consentement une seule fois et l’appliquer sur plusieurs propriétés numériques ?

Le sujet est encore plus sensible.

Parce que l’utilisateur ne perçoit pas toujours plusieurs sites d’un même groupe comme un seul environnement.

Le risque est donc de créer un consentement trop large, mal compris, et appliqué à des contextes que l’utilisateur n’avait pas réellement en tête.

Pour les professionnels du tracking, ce sera un sujet majeur :

• architecture CMP ;
• domaines et sous-domaines ;
• gouvernance des finalités ;
• preuve du consentement ;
• plan de taggage ;
• cohérence des tags marketing ;
• documentation RGPD.

Le multi-domaines sera probablement plus complexe encore que le multi-terminaux.

Conclusion : ce qu’il faut vraiment retenir

Le consentement multi-terminaux n’est pas une petite option à cocher dans une CMP.

C’est une mécanique de synchronisation du consentement entre plusieurs appareils, dans un univers authentifié, avec des impacts directs sur le tracking RGPD, la qualité de donnée et la conformité cookies.

La recommandation CNIL apporte un cadre utile, mais elle ne règle pas tout.

Elle ne dit pas comment votre CMP, votre dataLayer, votre GTM, votre GA4, votre Consent Mode, votre server-side GTM et vos pixels publicitaires doivent être configurés dans le détail.

C’est à l’entreprise de le concevoir, de le tester et de le documenter.

Le bon réflexe est donc simple : avant d’activer le consentement cross-device, il faut auditer.

Auditer le parcours utilisateur.
Auditer la CMP.
Auditer les tags.
Auditer Consent Mode.
Auditer le server-side.
Auditer la preuve.
Auditer le retrait.

Le consentement multi-terminaux peut améliorer l’expérience utilisateur lorsqu’il est bien conçu. Mais mal implémenté, il peut créer une conformité de façade : moins de bandeaux visibles, mais plus de complexité invisible.

Et en tracking RGPD, ce qui est invisible finit toujours par ressortir : dans les appels réseau, dans les rapports analytics, dans les audits, ou dans les réclamations utilisateurs.

La bonne approche n’est donc pas de courir après la nouveauté CMP.

La bonne approche, c’est de comprendre le mécanisme, poser les bonnes questions, tester techniquement, puis décider si le cas d’usage mérite vraiment d’être déployé.

Franck Scandolera

⭐ Analytics engineer, Data Analyst et Automatisation IA indépendant ⭐

• Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…

Mon terrain de jeu :

• Data Analyst & Analytics engineering : tracking avancé (GA4, Matomo, Piano, GTM server, Tealium, Commander Act, e-commerce, CAPI, RGPD), entrepôt de données (BigQuery, Snowflake, PostgreSQL, ClickHouse), modèles (Airflow, dbt, Dataform), dashboards décisionnels (Looker, Power BI, Metabase, SQL, Python).
• Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
• Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.