La CNIL a publié le 5 novembre sa recommandation définitive sur les outils qui enregistrent les parcours de navigation. Consentement préalable, masquage des données sensibles et contrôle des prestataires concernent les éditeurs de sites et d’applications comme les fournisseurs de ces solutions.
Sites web : la CNIL exige un consentement préalable pour les outils de rejeu de session
Par
Publié le 10 novembre 2026 à 1h44
La Commission nationale de l’informatique et des libertés (CNIL) a précisé, le 5 novembre 2026, les règles applicables aux outils de rejeu de session, utilisés par des sites web et des applications pour reconstituer les interactions de leurs visiteurs. Sa recommandation définitive s’adresse à la fois aux éditeurs de services numériques et aux fournisseurs de ces solutions. Elle rappelle que leur utilisation suppose un consentement préalable.
Ces dispositifs, également désignés par l’expression anglaise session replay, peuvent enregistrer les clics, les déplacements de souris, le défilement des pages et certaines interactions avec les formulaires. Leur intérêt pour l’analyse des dysfonctionnements ou l’amélioration de l’ergonomie s’accompagne d’un risque de collecte excessive de données personnelles.
Le consentement avant l’enregistrement des parcours
La CNIL rattache ces outils à l’article 82 de la loi Informatique et Libertés, qui régit l’accès aux informations présentes sur les terminaux des internautes. Selon l’autorité, aucune exemption au consentement préalable ne s’applique à ces traceurs. Les éditeurs doivent donc informer les utilisateurs et recueillir leur accord avant de les activer, selon les règles déjà établies pour les cookies et autres traceurs.
La recommandation distingue les finalités possibles de l’enregistrement, à déterminer avant la collecte : détection et correction d’erreurs, amélioration de l’expérience utilisateur ou assistance aux clients. Le traitement des données recueillies demeure également soumis aux principes du règlement général sur la protection des données (RGPD), notamment la limitation à ce qui est nécessaire.
Formulaires, codes d’accès et conversations à protéger
Dans sa version définitive, la CNIL recommande de signaler spécifiquement le rejeu de session dès le premier niveau des interfaces de gestion du consentement. Les informations détaillées doivent permettre à l’internaute de comprendre ce qui peut être enregistré et dans quel but.
L’autorité insiste sur les dispositifs de masquage des données non pertinentes. Elle recommande notamment de dissimuler les mouvements de souris dans certaines zones pour éviter une collecte indirecte de codes d’authentification. Lorsqu’un outil suit des échanges avec un agent conversationnel, le contenu des questions et réponses devrait être occulté, car il peut révéler des informations sensibles.
Ces précisions figurent dans la présentation destinée aux internautes publiée par la CNIL, qui rappelle aussi l’importance d’une information claire, de la minimisation des données et de durées de conservation adaptées.
Un enjeu contractuel pour les éditeurs et leurs prestataires
La qualification du fournisseur de l’outil dépend de son rôle réel dans le traitement des données : simple sous-traitant lorsqu’il agit pour le compte de l’éditeur, ou responsable de certaines opérations lorsqu’il réutilise des informations pour ses propres finalités. Les contrats et paramètres techniques doivent refléter cette répartition.
Adoptée par la délibération n° 2026-114 du 8 octobre 2026 et rendue publique le 5 novembre, la recommandation fournit un cadre d’application des règles existantes, plutôt qu’une nouvelle loi assortie d’un délai général de grâce. La CNIL annonce un accompagnement des professionnels et un webinaire consacré à ses attentes.