CMP multi-sites : partager quels choix ?
CMP sur plusieurs sites : définissez la portée du choix, distinguez domaines techniques et propriétés distinctes, puis vérifiez refus et retrait.
Le groupe possède trois marques et souhaite une seule fenêtre de consentement. La proximité juridique des sociétés ou l’utilisation de la même CMP ne suffit pas à rendre un choix valable partout. Il faut déterminer ce que l’utilisateur perçoit comme un service unique et ce qu’il comprend réellement.
Distinguer domaines techniques et sites distincts
La FAQ CNIL sur les cookies, question 35 admet sous conditions un recueil unique lorsque plusieurs domaines constituent, pour l’utilisateur, un même site. Elle distingue cette situation du consentement entre propriétés distinctes d’un groupe.
Ne présentez donc pas une option technique « cross-domain » comme une autorisation générale de partager le choix. Décrivez les services et les destinataires avant de configurer la CMP.
Préparer une matrice de périmètre
| Élément | Question à documenter |
|---|---|
| Domaines | S’agit-il de rubriques d’un même service ou de marques distinctes ? |
| Organismes | Qui détermine les traitements sur chacun ? |
| Finalités | Sont-elles identiques et compréhensibles dans tous les parcours ? |
| Partenaires | La liste varie-t-elle selon le domaine ? |
| Information | Le périmètre est-il visible avant le choix ? |
| Retrait | Où le choix peut-il être modifié et avec quels effets ? |
Ne pas élargir un ancien choix silencieusement
Un consentement recueilli pour un périmètre déterminé ne doit pas être réutilisé pour de nouveaux usages sans examen. Les conditions des Art. 4(11) et 7 du RGPD exigent un choix spécifique et éclairé ; le cadre CNIL des traceurs fournit la référence pratique.
Le cas des newsletters multimarques illustre la même nécessité de distinguer identité commerciale du groupe et portée des choix, même si les règles techniques des traceurs diffèrent.
Contrôler la circulation du signal
Vérifiez les cas où l’utilisateur arrive directement sur un domaine secondaire, refuse, revient au site principal ou utilise un ancien lien. Ne transmettez pas plus d’identifiants que nécessaire pour gérer les choix, et n’utilisez pas ce mécanisme pour ajouter un suivi publicitaire distinct.
Le retrait des scripts actifs doit fonctionner sur le périmètre concerné. Le consentement multiappareil est un autre sujet : plusieurs terminaux pour un même service ne signifient pas plusieurs propriétés commerciales.
Ce qu’il faut retenir
- Un domaine technique et une marque distincte ne sont pas équivalents.
- Définissez le périmètre visible avant le choix.
- Vérifiez refus et retrait sur tous les parcours concernés.
FAQ
Le même responsable de traitement suffit-il pour partager le consentement ?
Non. La compréhension du périmètre, les finalités et les conditions de validité doivent aussi être examinées.
Une CMP capable de partager le signal garantit-elle sa validité ?
Non. Elle transporte une information technique ; la portée juridique du choix dépend du parcours présenté à la personne.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.