Rejeu de session : la CNIL publie sa recommandation (délib. 2026-114)

La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session (session replay), ces logiciels qui enregistrent les mouvements de souris, les interactions tactiles, les clics, le défilement et parfois les saisies de formulaires pour les rejouer sous forme de vidéos de session. Le texte s'appuie sur la délibération n° 2026-114 du 8 octobre 2026 et clôt une consultation publique menée de février à mai 2026.

Impact pour les équipes : si vous déployez un outil d'analyse de type session replay (UX, détection de friction, support), il relève des traceurs soumis à consentement préalable. Pas de consentement conforme, pas de rejeu.

Ce qui est posé, et sur quelle base

Ces outils fonctionnent au moyen de traceurs : ils relèvent donc de l'article 82 de la loi Informatique et Libertés. Aucune exemption de cet article ne s'appliquant, leur usage exige le consentement préalable de l'internaute, recueilli selon les règles cookies déjà publiées par la CNIL. La recommandation rappelle par ailleurs le principe de minimisation.

Qui est concerné

La recommandation vise deux publics :

• les fournisseurs de ces outils ;
• les éditeurs de sites web et d'applications mobiles qui les déploient.

Les obligations concrètes

Au-delà du consentement, la CNIL recommande notamment de :

• déterminer les finalités en amont du déploiement, et non après la collecte — « ces finalités doivent être déterminées en amont du déploiement des outils, et non après la collecte des données » ;
• fournir une information spécifique sur ces outils dès le premier niveau de l'interface de recueil du consentement ;
• activer une fonction de masquage des données non pertinentes ;
• limiter le nombre de sessions enregistrées au regard des finalités poursuivies ;
• limiter l'usage d'identifiants ;
• masquer les mouvements de souris dans certaines zones pour éviter de capturer incidemment des codes d'authentification ;
• pour les chatbots, masquer le contenu des échanges, questions et réponses pouvant révéler des données sensibles.

Aucune date d'entrée en vigueur n'est indiquée dans la publication ; la CNIL prévoit un webinaire d'accompagnement.

Que faire

1. Recensez vos outils de session replay (Hotjar, Contentsquare, Clarity, FullStory ou équivalent) et vérifiez qu'ils ne se déclenchent qu'après consentement.
2. Remontez l'information sur ces outils au premier niveau de votre bandeau, pas seulement dans une politique enfouie.
3. Activez le masquage des champs de formulaire, zones de saisie d'OTP et contenus de chatbot.
4. Documentez les finalités avant d'activer la collecte, et bornez la rétention et le volume de sessions.

Contexte

La CNIL continue de resserrer l'application de l'article 82 au-delà du cookie publicitaire classique : après les sanctions sur les cookies — dont l'amende de 7 M€ à Fnac Darty — elle cadre ici une technologie souvent déployée sous l'étiquette « analytics » et considérée à tort comme exemptée. Le signal pour les éditeurs : le rejeu de session n'est pas une mesure d'audience anonyme, c'est un traceur, avec le régime de consentement qui va avec. À rapprocher du droit à indemnisation en cas de violation de données que la CNIL documentait récemment : le non-respect expose à la fois à la sanction et au contentieux civil.