Connexion au compte : conserver le refus cookies

Un client refuse les cookies publicitaires, puis se connecte pour consulter sa commande. La connexion ne constitue pas une nouvelle acceptation. Pourtant, un compte peut déjà contenir un choix différent, valablement recueilli pour plusieurs appareils. Le site doit alors appliquer une règle explicable, annoncée et techniquement cohérente. Rechercher simplement une valeur « accepté » dans le navigateur ou le compte ne répond pas à cette exigence.

La difficulté concerne trois moments : l’arrivée dans l’espace connecté, la modification des préférences pendant la session, puis le retour à la navigation sans compte. Voici comment spécifier ces transitions et les contrôler, sans confondre authentification, publicité et historique des choix.

Le cookie de connexion ne justifie pas le suivi publicitaire

L’article 82 de la loi Informatique et Libertés soumet les accès ou inscriptions dans le terminal au consentement après information, sauf ses exceptions précises. Un traceur strictement nécessaire pour fournir l’espace client demandé peut relever de l’exemption. Cette qualification ne s’étend pas à une fonction publicitaire ajoutée au même parcours.

Il faut donc examiner les opérations. Maintenir une session permet de retrouver une commande. Envoyer un identifiant à une régie pour rapprocher des visites poursuit une autre finalité. Mettre ces fonctions dans un seul composant ne transforme pas la seconde en nécessité de la première.

Pour les traitements de données personnelles, la finalité, la base légale, les destinataires et la durée doivent également être définis. L’Art. 6(1)(b) du RGPD ne couvre que les traitements nécessaires au contrat ou aux mesures précontractuelles demandées : la présence d’un compte client n’autorise pas tous les usages commerciaux. L’Art. 5(1)(a) et l’Art. 7 imposent notamment loyauté, transparence, preuve du consentement et possibilité de retrait.

Deux modalités possibles, une règle à expliquer

La recommandation CNIL consolidée du 16 janvier 2026, section 7.3, décrit deux modalités principales : les derniers choix formulés localement avant connexion remplacent ceux du compte, ou les choix du compte prévalent dans l’espace authentifié. La seconde suppose de distinguer le suivi connecté du suivi non connecté. L’information doit signaler la contradiction, son traitement et les moyens de modifier les choix. La section 7.4 préserve les choix antérieurs de l’espace non authentifié.

Le guide du consentement multiappareil traite l’installation du dispositif et sa migration. Ici, la question est plus précise : que doit faire chaque composant lorsqu’une personne entre dans son compte ou en sort ?

Un exemple de décision technique insuffisante serait : « Si le compte contient une acceptation, l’écrire partout. » Cette instruction omet le périmètre de l’accord, sa validité et la situation après déconnexion. Autre erreur : dater l’acceptation du jour de la connexion. L’événement technique ne doit pas devenir une preuve fictive de choix.

Comparer les deux décisions sur une même situation

Prenons une situation fictive : sur le site Maison Aube, Nora possède un compte avec un accord publicitaire valide, expressément recueilli pour son utilisation connectée sur plusieurs appareils. Sur un nouveau navigateur, elle refuse avant de se connecter. Le site connaît donc deux choix contradictoires, pas un simple défaut de chargement.

Avec une règle donnant priorité au nouveau choix local, le refus devient le choix du compte. Maison Aube doit alors traiter cette modification dans ses autres sessions concernées. Une acceptation ancienne conservée sur le téléphone ne doit pas relancer les mêmes opérations comme si rien n’avait changé.

Avec une règle donnant priorité au compte, l’accord antérieur reste applicable dans le contexte connecté prévu. Le site doit expliquer à Nora pourquoi ce contexte utilise un choix différent et lui donner accès à sa modification. Cette voie n’autorise pas à réutiliser les pages parcourues avant connexion sous refus pour enrichir son profil publicitaire.

Dans les deux hypothèses, les conditions initiales comptent. Si l’entreprise ne peut établir que l’ancien accord couvre le dispositif annoncé, elle ne peut se contenter d’invoquer la priorité du compte. Si la finalité a changé, une simple résolution de conflit technique ne règle pas la nouvelle question juridique.

Une spécification remplie pour le responsable du site

Pour rendre le travail vérifiable, Maison Aube retient, dans cet exemple, la priorité du compte avec séparation des contextes. Ce choix sert à illustrer une spécification ; il ne recommande pas cette modalité à tous les sites et ne rapporte aucun essai réel.

Le dossier C08 fixe le périmètre à un site, une finalité de publicité personnalisée et un compte individuel. Les préférences de newsletter restent gérées séparément. La connexion n’importe pas les pages visitées sans authentification dans le profil publicitaire du compte.

Le dernier cas est un choix de conception prudent de C08, pas un délai légal uniforme. Une panne de synchronisation n’est pas une manifestation de volonté. Le site doit garder l’accès aux fonctions de commande qui peuvent fonctionner indépendamment, au lieu de transformer le problème publicitaire en obligation d’accepter.

La spécification attribue aussi les responsabilités : l’équipe compte fournit l’identité de session ; la plateforme de gestion du consentement fournit le choix pertinent ; le composant publicitaire l’applique. Le responsable du site doit pouvoir expliquer leur articulation sans renvoyer entièrement la réponse à son prestataire.

Préparer un message qui décrit ce qui se passe réellement

Dans C08, un texte partiel, à adapter à l’interface et au périmètre effectifs, pourrait annoncer après connexion :

« Vous avez refusé la publicité personnalisée avant votre connexion. Votre compte conserve un accord pour cette publicité lorsque vous êtes connecté. Cet accord s’applique maintenant dans votre compte. Vous pouvez le modifier dans “Préférences du compte”. Après déconnexion, votre refus pour ce navigateur reste applicable. »

Ce message n’est pas une notice complète. Il ne remplace ni l’information préalable sur les traitements ni une commande de retrait réellement utilisable. Il serait faux si le site utilisait également l’accord du compte après déconnexion.

Si Nora choisit de retirer son accord, l’écran suivant doit décrire la portée réelle de l’action. Évitez « Vos préférences ont été enregistrées » lorsque seule une copie locale a changé et que le serveur refuse la mise à jour. L’interface peut signaler l’incident, mais le traitement ne doit pas continuer sous couvert d’une information technique que l’utilisateur ne maîtrise pas.

Observer les transitions, pas seulement les boutons

La recette proposée doit utiliser des comptes et des données de démonstration maîtrisés. Préparez deux comptes aux choix opposés, un navigateur initialement sous refus et une seconde session du premier compte. Conservez séparément le résultat attendu et ce que l’équipe constate réellement.

Premier parcours : refus, connexion, déconnexion. Relevez le choix actif avant connexion, les informations affichées à l’entrée du compte, les opérations publicitaires dans le contexte connecté, puis l’état après sortie. La page peut afficher « refusé » alors qu’une requête conserve un ancien identifiant ; cette discordance doit apparaître dans le résultat.

Deuxième parcours : retrait pendant une session. Depuis le compte, retirez l’accord et examinez aussi la seconde session. Le contrôle doit couvrir les composants déjà chargés et les nouveaux chargements. Une modification de la base des préférences ne prouve pas, à elle seule, le retrait effectif des scripts actifs.

Troisième parcours : changement d’utilisateur. Déconnectez Nora puis connectez Sami. Recherchez un éventuel maintien de l’identifiant publicitaire connecté de Nora. Si le compte change mais que l’identifiant publicitaire reste rattaché à la personne précédente, la simple exactitude du bandeau ne résout pas le rapprochement erroné.

Ajoutez un parcours où le service de préférences répond tardivement ou échoue. La consigne « attendre sa réponse » doit être observable dans le comportement des composants concernés, y compris ceux chargés depuis un gestionnaire de balises ou déclenchés côté serveur.

Que faire d’une contradiction non résolue ?

Si l’équipe observe une émission publicitaire après un retrait applicable, elle conserve les éléments nécessaires pour comprendre le trajet, désactive le circuit défaillant et corrige la cause avant de le réactiver. Effacer uniquement le cookie du navigateur de recette ne règle pas une copie serveur ou une session secondaire.

Pour C08, le responsable demande une nouvelle observation des trois transitions concernées après correction, avec la version précise de la configuration. Il conserve le résultat, les réserves éventuelles et la décision de réactivation. Cette preuve porte sur le périmètre contrôlé ; elle ne démontre pas que tous les navigateurs, extensions et parcours fonctionnent correctement.

Si des données réelles ont déjà été utilisées, un travail distinct doit déterminer lesquelles, pour quels destinataires et sous quel fondement. Réparer la synchronisation ne valide pas rétroactivement les opérations passées. La qualification d’un éventuel incident et les suites requises dépendent des faits, pas du seul intitulé « problème de cookies ».

Ce qu’il faut retenir

La règle de priorité doit être définie avant son automatisation. Il faut connaître le contexte du choix, expliquer le conflit et vérifier la sortie du compte autant que son entrée. Le dossier utile associe une décision, les états attendus et des observations datées ; un indicateur global « consentement présent » ne suffit pas.

FAQ

Faut-il demander un nouvel accord à chaque connexion ?

Non, la connexion seule n’impose pas de recommencer systématiquement le recueil. En revanche, il faut pouvoir établir la validité et la portée du choix invoqué. Un accord local ancien, un accord devenu inadapté ou une valeur sans preuve ne deviennent pas utilisables parce qu’un compte vient d’être reconnu.

Peut-on prendre la préférence la plus récente dans toutes les bases ?

Un horodatage ne suffit pas. Une écriture technique récente peut être la copie d’un choix ancien ou provenir d’un autre contexte. Déterminez d’abord qui a exprimé le choix, sa portée et la règle de résolution retenue ; utilisez ensuite les dates pour appliquer cette décision.

Comment traiter un compte partagé ?

Le compte partagé ajoute une difficulté d’attribution que l’exemple de comptes individuels ne résout pas. Ne présumez pas que l’accord d’un utilisateur exprime celui de tous les autres. Réexaminez le dispositif et privilégiez une configuration sans personnalisation fondée sur un profil individuel tant que cette attribution n’est pas maîtrisée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.