À ce jour, la CNIL n'a publié aucune nouvelle règle imposant un consentement aux cookies valable sur tous les appareils d'un même utilisateur. Ses lignes directrices et sa recommandation sur les cookies et autres traceurs posent en revanche un principe de consentement libre, spécifique, éclairé et univoque, rattaché à la personne : c'est de ce principe que découle la question de la cohérence entre appareils, que nos consultants voient revenir dans les audits de recueil de consentement. Pour une PME, l'enjeu immédiat n'est pas d'abord juridique, c'est la fiabilité de vos données marketing. Cet article explique ce que le consentement aux cookies CNIL pourrait changer concrètement et ce qu'il implique pour votre coût par lead (CPL) et vos arbitrages budgétaires. Nous vous recommandons de vérifier le texte exact et sa portée directement sur cnil.fr avant toute décision d'investissement.
En résumé : la logique qui se dessine consiste à faire reconnaître le consentement aux cookies donné sur un appareil sur les autres appareils d'un même utilisateur identifié, plutôt que de le faire renouveler sur chaque appareil. Cette exigence de recueil du consentement multi-appareils concernerait surtout les sites disposant de comptes utilisateurs connectés sur plusieurs supports.
Qu'est-ce que la CNIL demande vraiment sur le consentement aux cookies ?
Jusqu'ici, chaque navigateur et chaque appareil constituaient une entité de consentement indépendante : un internaute acceptant les cookies sur son ordinateur devait retraiter la même bannière de consentement (l'encart qui recueille l'accord avant dépôt de cookies) sur son smartphone. L'évolution en cours romprait avec cette logique de cloisonnement par appareil.
Dès lors qu'un utilisateur est identifiable de façon certaine, typiquement via un compte connecté, son choix de consentement aux cookies devrait s'appliquer partout, sans redemande systématique. En pratique, cette logique viserait les sites avec comptes utilisateurs et connexions croisées entre appareils : e-commerce avec compte client, espace abonné, application mobile liée à un compte web. Consultez les règles CNIL sur les cookies et traceurs pour la formulation officielle actualisée.
Pour vous, dirigeant : si votre site fonctionne sans compte identifié, l'impact direct serait limité. Si vous exploitez un compte client connecté sur plusieurs supports, votre CMP (Consent Management Platform, l'outil qui gère la collecte et la synchronisation du consentement) mérite d'être vérifiée. Le texte exact et sa date d'entrée en vigueur restent à confirmer directement sur le site officiel de la CNIL avant toute décision d'investissement.
Pourquoi cette exigence de cohérence était-elle prévisible ?
Cette évolution prolonge une trajectoire amorcée par la CNIL depuis ses recommandations 2020-2021 sur les cookies et traceurs, qui avaient déjà durci le recueil du consentement : bouton refus aussi visible que le bouton accepter, encadrement strict du cookie wall (la pratique qui bloque l'accès au site tant que l'utilisateur n'a pas consenti), comme le détaillent les lignes directrices et recommandation CNIL sur les cookies.
Le Règlement général sur la protection des données (RGPD) pose depuis 2018 le principe d'un consentement libre, spécifique et éclairé. Une cohérence multi-appareils en découlerait logiquement : un consentement rattaché à la personne, plutôt qu'au terminal, serait plus fidèle à l'esprit du texte. Selon les bilans annuels publiés par la CNIL, les sanctions ont surtout ciblé des dispositifs de recueil jugés trompeurs ou incomplets ; les petites structures y figurent rarement en priorité, sans que cela constitue une exonération.
Qu'est-ce que cela change concrètement pour une PME ou une ETI ?
L'impact du consentement aux cookies CNIL varie fortement selon votre modèle : élevé pour un e-commerce dont les clients se connectent à un compte sur mobile puis sur ordinateur, faible pour un site B2B au trafic majoritairement anonyme. Entre les deux, une CMP sans synchronisation de compte demande une vérification, sans urgence budgétaire immédiate. Le tableau ci-dessous résume ces profils.
| Profil d'entreprise | Niveau d'impact | Action prioritaire |
| CMP existante sans synchronisation compte | Modéré à élevé | Vérifier si la CMP gère un identifiant de compte utilisateur |
| E-commerce avec comptes clients connectés sur plusieurs appareils | Élevé | Auditer la cohérence du consentement entre mobile et ordinateur |
| B2B avec trafic majoritairement anonyme | Faible | Surveiller, sans urgence d'investissement immédiat |
| Site avec application mobile liée à un compte web | Élevé | Vérifier la synchronisation entre l'application et le site |
La plupart des CMP du marché ne synchronisent pas nativement le consentement entre appareils pour un même utilisateur identifié : un paramétrage complémentaire, lié à l'identifiant du compte client, est généralement nécessaire. Pour un e-commerce, un client qui navigue sur mobile puis finalise sur ordinateur doit voir son consentement respecté sans redemande, sous peine de friction (point de blocage qui freine la progression dans le tunnel de conversion) et de dégradation du taux de conversion.
Pour un site B2B avec peu de comptes utilisateurs identifiés, l'exigence de cohérence multi-appareils s'appliquerait peu en pratique : sans connexion croisée entre appareils, il n'existe pas de moyen technique de relier les sessions à une même personne. Le risque de contrôle CNIL semble limité pour une PME en l'absence de traitement de données sensibles ou de plainte d'un utilisateur, faute de statistique officielle publiée sur ce point précis, ce qui n'est pas une raison d'ignorer le sujet, mais une raison de le traiter avec proportion.
Notre approche full-funnel consiste justement à replacer ce type d'obligation dans l'ensemble du tunnel de conversion plutôt que de la traiter comme un sujet purement juridique.
Quel effet sur vos données marketing et vos campagnes ?
Une exigence de cohérence multi-appareils réduirait mécaniquement les consentements collectés par redondance de demandes, donc le volume de données exploitables pour le ciblage et l'attribution. C'est ce point, plus que le risque de sanction, qui doit retenir l'attention d'un décideur marketing.
Taux de consentement et refus du dépôt de cookies
Le taux de consentement (la part de visiteurs acceptant le dépôt de cookies) est déjà volatil selon les secteurs et les formulations de bannière. Une synchronisation plus stricte entre appareils pourrait réduire le nombre de sessions couvertes par un consentement valide simultanément sur tous les appareils d'un même utilisateur, sans qu'un pourcentage universel puisse être avancé sans mesure propre à votre trafic. Le refus du dépôt de cookies par une partie des visiteurs produit un effet équivalent, indépendamment de la cohérence multi-appareils.
Tracking cross-device et attribution
La conséquence la plus concrète toucherait le tracking cross-device (le suivi d'un même utilisateur à travers plusieurs appareils) et l'attribution (l'affectation d'une conversion au canal qui l'a générée). Quand une partie du parcours multi-appareils échappe au tracking faute de consentement homogène, l'attribution se fragmente : une conversion réalisée sur ordinateur après une découverte sur mobile peut être comptée comme deux événements distincts, ou comme aucun.
Le Consent Mode de Google (le mécanisme qui ajuste la mesure publicitaire selon le statut de consentement plutôt que de la couper totalement), tel que décrit dans la documentation officielle Google, atténue en partie cette perte via une modélisation statistique. Il ne restitue toutefois pas une donnée individuelle complète, et son fonctionnement dépend de la version et des paramètres réellement actifs sur votre compte, un point à vérifier avec votre prestataire technique plutôt qu'à supposer.
Effet sur le coût par lead
Quand le tracking se dégrade partiellement, deux biais coexistent : certaines conversions ne sont plus attribuées au bon canal, ce qui fausse le calcul du CPL par source, et le volume de données exploitables pour les enchères automatiques diminue, ce qui pousse les algorithmes publicitaires à un apprentissage moins précis. Le résultat observé sur le terrain n'est pas une hausse uniforme du CPL, mais une perte de lisibilité sur quel canal fonctionne réellement, ce qui pousse à réallouer le budget média vers des canaux moins dépendants du tracking individuel, comme le SEO ou les campagnes fondées sur des données de première partie (collectées directement par vous, avec consentement). Cette lecture par étage du tunnel structure l'ensemble de nos expertises d'acquisition et de conversion.
Pour le reciblage publicitaire (retargeting), moins d'utilisateurs identifiés de façon fiable sur l'ensemble de leurs appareils signifie une audience de reciblage plus étroite ou plus approximative.
Que faut-il faire maintenant, et qu'est-ce qui peut attendre ?
Toutes les entreprises ne doivent pas agir avec la même urgence face au consentement aux cookies CNIL. Commencez par un audit de votre CMP, qui prend généralement quelques jours, puis arbitrez selon la part de votre trafic connecté : au-delà d'une part significative de sessions liées à un compte identifié, traitez le sujet en priorité ; en dessous, la mise à niveau peut attendre un prochain cycle technique.
- Auditer votre CMP actuelle : vérifiez si elle gère un identifiant de compte utilisateur et si elle peut synchroniser un consentement entre sessions liées à ce compte. Cet audit prend généralement quelques jours.
- Prioriser selon la part de votre trafic connecté par rapport au trafic anonyme : si une part significative de votre trafic passe par un compte identifié sur plusieurs appareils, traitez le sujet en priorité. Sinon, la mise à niveau peut attendre un prochain cycle technique.
- Arbitrer entre DPO externe et traitement interne : un DPO (délégué à la protection des données) externe est pertinent si vous traitez des données sensibles ou un volume important de comptes clients. Pour un site B2B à faible volume de comptes, un point de conseil ponctuel suffit souvent.
- Budgétiser avec prudence : d'expérience, une mise à jour de CMP pour ajouter la synchronisation multi-appareils se situe dans une fourchette basse à modérée selon la complexité du site, toujours à confirmer après audit et jamais comme un forfait universel.
La durée de validité du consentement doit également être vérifiée dans le paramétrage de votre CMP à cette occasion : la CNIL recommande une durée maximale de 6 mois avant nouvelle sollicitation de l'utilisateur.
Ce que Vesta observe sur le terrain
L'erreur la plus fréquente que nous constatons n'est pas l'absence de bannière conforme, mais une CMP configurée une fois puis jamais réévaluée à mesure que le site évolue : nouveaux comptes clients, nouvelle application, nouveaux outils publicitaires connectés. Une CMP mal synchronisée entre appareils ne déclenche aucune alerte visible : elle érode simplement, mois après mois, la capacité à savoir quel canal a réellement généré un lead. C'est ce phénomène silencieux, plus que le risque de contrôle CNIL, qui justifie de planifier la réévaluation de votre CMP dès maintenant, immédiatement si votre trafic connecté est significatif, au prochain cycle technique dans le cas contraire. Toutes nos actualités suivent ce type d'évolution réglementaire sous cet angle opérationnel.
Questions fréquentes
Est-ce que je risque une amende si je ne change rien tout de suite ?
Aucune statistique officielle ne permet de chiffrer la probabilité d'un contrôle pour une PME sans traitement de données sensibles ni plainte d'utilisateur. Ce n'est pas une garantie d'absence de risque, mais le vrai coût à court terme est plutôt la dégradation de vos données marketing que la sanction elle-même.
Combien coûte une mise en conformité de notre bannière de cookies ?
Cela dépend entièrement de votre CMP actuelle et de la complexité de vos parcours multi-appareils. Un audit préalable permet de chiffrer précisément l'intervention ; toute estimation donnée sans ce diagnostic reste indicative.
Est-ce que ça concerne mon site si je n'ai pas d'espace client ?
L'exigence de cohérence multi-appareils suppose de pouvoir identifier un même utilisateur sur plusieurs supports. Sans compte utilisateur ni connexion croisée, l'impact direct serait limité, même si les règles générales du RGPD cookies continuent de s'appliquer.
Est-ce que ça va faire baisser mes données pour le retargeting ?
Une synchronisation plus stricte du consentement pourrait réduire le volume d'utilisateurs identifiés de façon fiable sur l'ensemble de leurs appareils, ce qui rétrécirait potentiellement votre audience de reciblage. L'ampleur exacte dépend de votre trafic et ne peut pas être généralisée sans mesure propre à votre compte.
À retenir
- La cohérence du consentement aux cookies CNIL viserait désormais un même utilisateur identifié entre appareils, pas seulement par navigateur, à vérifier sur cnil.fr avant toute décision.
- L'impact réel dépend de votre modèle : élevé pour l'e-commerce avec comptes connectés, faible pour un site B2B sans espace client.
- Le vrai risque business n'est pas la sanction, rare pour une PME, mais la dégradation du tracking cross-device et de l'attribution.
- Un CPL faussé par une donnée incomplète pousse souvent à réallouer le budget vers des canaux moins dépendants du tracking individuel.
- Un audit de votre CMP précède toute décision de budget ou de délai de mise en conformité.