Consentement multi-terminaux : conditions de validité et obligations des responsables de traitement

Les choix de l’utilisateur doivent avoir une portée identique : le consentement, le refus et le retrait doivent pouvoir s’appliquer à l’ensemble des terminaux concernés. L’utilisateur doit être informé, avant son choix, de cette portée multi-terminaux et des moyens de modifier ses préférences.

En cas de contradiction entre des choix exprimés avant authentification et ceux associés au compte, le responsable du traitement doit adopter une modalité claire et loyale, informer l’utilisateur de la contradiction et lui permettre de modifier ses choix. Les choix effectués dans l’univers logué ne doivent pas affecter ceux enregistrés dans un univers non logué, notamment sur un terminal partagé.

Lorsque le dispositif implique un sous-traitant, la CNIL recommande, au regard de l’article 25 du RGPD, de minimiser les données transmises et de substituer un identifiant technique à l’identifiant de compte comportant des données personnelles. Le passage à un mécanisme multi-terminaux impose enfin un nouveau consentement libre, spécifique, éclairé et univoque.

⬇️Télécharger la décision version officielle

La délibération précise les modalités de mise en œuvre du consentement multi-terminaux dans les univers logués, ainsi que son articulation avec les univers non logués. Elle traite notamment de l’information préalable, des contradictions entre choix, des terminaux partagés, de la minimisation des données transmises aux sous-traitants et de la nécessité d’un nouveau consentement lors du changement de dispositif.

Le texte résulte d’une concertation avec des professionnels concernés et la société civile, puis d’une consultation publique menée du 24 avril au 5 juin 2025. La recommandation est présentée comme non prescriptive et non exhaustive.

• Limiter le dispositif aux utilisateurs authentifiés sur un compte.
• Appliquer une portée identique au consentement, au refus et au retrait.
• Informer l’utilisateur avant l’expression de son choix.
• Préciser l’application des choix à tous les terminaux associés.
• Gérer les contradictions entre univers logué et non logué.
• Préserver l’indépendance des choix effectués sur les terminaux partagés.
• Recueillir un nouveau consentement lors du changement de mécanisme.

• Concertation avec les représentants des professions concernées.
• Participation de représentants de la société civile.
• Consultation publique menée du 24 avril au 5 juin 2025.
• Référence aux pratiques de consentement sur plusieurs terminaux.

• Informer sur la portée multi-terminaux avant tout choix.
• Permettre la modification et le retrait des préférences.
• Définir une règle cohérente pour les contradictions de choix.
• Isoler les choix logués de ceux des utilisateurs non authentifiés.
• Transmettre un identifiant technique au sous-traitant.

À faire

• Informer avant le recueil de la portée multi-terminaux.
• Permettre le consentement, le refus et le retrait.
• Prévoir une gestion explicite des contradictions de choix.
• Afficher les préférences après authentification d’un nouveau terminal.
• Remplacer l’identifiant personnel par un identifiant technique.

À éviter

• Considérer l’authentification comme un consentement automatique.
• Appliquer des règles différentes au refus et au retrait.
• Modifier les choix sans informer l’utilisateur de la contradiction.
• Impacter les choix non logués d’un terminal partagé.
• Réutiliser un ancien consentement sans nouveau recueil.

Les conditions du consentement multi-terminaux

Le dispositif est facultatif et réservé, pour l’article 7, aux univers dans lesquels l’utilisateur est authentifié. Les choix doivent avoir une portée identique pour le consentement, le refus et le retrait. L’utilisateur doit être informé avant d’exprimer son choix de son application à tous les terminaux associés au compte.

La gestion des contradictions entre choix de consentement

Le responsable du traitement doit traiter clairement et loyalement les contradictions entre les choix exprimés avant authentification et ceux enregistrés sur le compte. Il peut faire prévaloir les nouveaux choix, ou les choix déjà associés au compte, sous réserve d’une information adaptée, de la distinction éventuelle des suivis et de la possibilité de modifier les préférences.

La minimisation des données transmises au sous-traitant

En application de l’article 25 du RGPD, la CNIL recommande de ne pas transmettre au prestataire l’identifiant de compte lorsqu’il contient des données personnelles en clair. Un identifiant technique doit lui être substitué pour permettre la réconciliation des terminaux.