Le rejeu de session exige le consentement préalable de l’internaute, sans aucune exemption possible. La Commission nationale de l’informatique et des libertés (CNIL) l’écrit dans la délibération n° 2026-114 du 8 octobre 2026. Ce texte adopte sa recommandation sur les outils de rejeu de session, publiée le 5 novembre 2026. La CNIL en résume les attentes sur sa page de présentation de la recommandation sur le rejeu de session.
Votre site enregistre les parcours des visiteurs pour les revoir en vidéo ? Ce texte vous concerne donc directement. Il vise aussi le fournisseur de l’outil, et il dit qui répond de quoi.
Ce qu’un outil de rejeu de session voit vraiment
Un outil de rejeu de session, ou session replay, capte bien plus que les pages vues. Selon la CNIL, il enregistre les mouvements de souris, les interactions tactiles, les clics et le défilement. Parfois, il capte aussi les saisies dans les formulaires. L’éditeur visionne ensuite le parcours sous forme de vidéo.
Concrètement, la personne qui regarde la vidéo voit l’internaute hésiter, puis corriger son adresse. Elle le voit aussi taper un message au service client ou interroger un agent conversationnel. La CNIL en tire deux risques. D’abord, l’outil permet un suivi permanent de la navigation, qui révèle habitudes, centres d’intérêt et parfois données sensibles. Ensuite, il entraîne une collecte sans rapport avec l’objectif annoncé. Le niveau de risque dépend de la nature du site visité.
Faites le test vous-même. Ouvrez la console de votre outil et lancez une session récente. Si vous lisez à l’écran un nom, un numéro de commande ou le texte d’un formulaire, votre paramétrage collecte trop.
Le consentement au rejeu de session est obligatoire
La CNIL rattache ces outils à l’article 82 de la loi Informatique et Libertés. Cet article transpose la directive « vie privée et communications électroniques ». En effet, ces outils fonctionnent avec des traceurs : cookies sur le web, identifiants mobiles dans les applications. Or aucune des deux exemptions ne joue. D’une part, les opérations de lecture et d’écriture ne servent pas exclusivement à la communication électronique. D’autre part, elles ne sont pas strictement nécessaires au service, puisque l’éditeur pourrait le fournir sans elles.
Pendant la consultation publique, un contributeur a soutenu que la détection des pannes rendait l’outil indispensable. La CNIL a rejeté l’argument dans sa synthèse des contributions. Pour elle, la nécessité s’apprécie au regard du service demandé par l’utilisateur, et non de l’utilité de l’outil pour l’éditeur. Le débat est donc clos. Contrairement aux outils de mesure d’audience exemptés de consentement, le rejeu de session passe toujours par le bandeau.
Ce que votre bandeau de consentement doit afficher
La CNIL demande de présenter chaque finalité avant le choix de l’internaute. Un intitulé court figure au premier niveau de la plateforme de gestion du consentement (CMP), puis un descriptif détaillé au second niveau. Par exemple, elle propose cette formulation : « (nom de l’éditeur) enregistre et visualise vos actions pendant votre navigation pour résoudre d’éventuels problèmes techniques. »
Surtout, la version finale ajoute une mention spécifique au rejeu de session dès le premier niveau, séparée des finalités. Une simple ligne « mesure d’audience » ne suffit donc plus.
Ensuite, le retrait du consentement doit rester aussi simple que l’accord. Il produit aussi un effet réel : plus aucune lecture des traceurs après le retrait. Enfin, l’éditeur supprime les données collectées si aucune autre base légale ne justifie leur conservation, et il prévient son sous-traitant.
Une finalité fixée avant le déploiement, et une durée qui en découle
La recommandation retient trois usages : détecter les erreurs techniques, améliorer l’expérience utilisateur, assurer le support client. Vous fixez la finalité avant de déployer l’outil. La CNIL refuse en effet une finalité choisie après coup, selon ce que les vidéos laissent voir.
Elle ferme aussi une porte : l’outil ne devrait pas servir au reciblage publicitaire. Des solutions moins intrusives existent pour cela, comme les cookies de relance « panier ». De plus, si un outil qui traite moins de données atteint le même objectif, privilégiez-le.
Pour chaque finalité, l’annexe de la recommandation associe des mesures et une durée de conservation. Nous la résumons ci-dessous en langage courant.
| Finalité | Mesures recommandées | Durée de conservation |
|---|---|---|
| Erreurs techniques | Collecte sur événement déclencheur ou suppression rapide. Masquage par défaut, avec démasquage encadré ou absence de collecte. Identifiant de session aléatoire. Blocage des données sensibles et habilitations. | Quelques mois, limités à la version actuelle du site. |
| Expérience utilisateur | Échantillonnage aléatoire ou suppression rapide. Masquage par défaut, avec démasquage sur demande motivée ou absence de collecte. Identifiant de session aléatoire. Blocage des données sensibles et habilitations. | Quelques mois, limités à la version actuelle du site. |
| Support client | Collecte sur événement déclencheur ou suppression rapide. Masquage par défaut. Identifiant pseudonyme ou limité au domaine. Blocage des données sensibles et habilitations. Validation avec l’utilisateur avant tout démasquage. | Quelques heures après la fin de la session, durée à justifier par écrit. |
Pour les deux premières finalités, la CNIL ne voit aucune raison d’associer une session à un identifiant utilisateur. Par conséquent, si votre outil rattache les vidéos aux comptes clients pour améliorer l’ergonomie, corrigez ce réglage.
Comment vérifier le masquage et le paramétrage de votre outil
La CNIL recommande un outil de masquage systématique, actif par défaut sur toutes les catégories si vous ne configurez rien. Elle cite les images, les formulaires, les champs de texte et les champs remplis avec les informations du compte. De plus, elle vise les mouvements de souris et les clics sur les claviers numériques, ainsi que les échanges avec les agents conversationnels. Le masquage sur ces claviers répond à un risque précis : la collecte incidente des codes d’authentification.
Toutefois, ces mesures ne sont pas impératives. Vous pouvez en retenir d’autres, à condition de démontrer, avec votre fournisseur, qu’elles respectent la réglementation. En pratique, la charge de la preuve repose sur vous. Nous recommandons donc de vérifier l’outil dans cet ordre :
- Notez par écrit la finalité de chaque outil de rejeu de session installé, avec sa date de mise en service.
- Ouvrez le bandeau de consentement : chaque finalité y figure, avec une mention du rejeu de session dès le premier niveau.
- Refusez les traceurs. Vérifiez ensuite dans les outils de développement du navigateur que le script de l’outil ne se charge pas.
- Revoyez trois sessions enregistrées : aucun champ de formulaire, aucune donnée de compte, aucun message de chatbot ne doit rester lisible.
- Contrôlez que les mots de passe et les informations bancaires ne sont jamais collectés, même masqués à l’affichage.
- Relevez la durée de conservation réglée dans la console et comparez-la au tableau ci-dessus.
- Listez les personnes habilitées à visionner les sessions et à demander un démasquage, puis retirez les comptes inutiles.
Le niveau de risque dépend du site. Sur un site de santé, d’emploi ou destiné à des personnes vulnérables, les vidéos révèlent davantage. Dans ce cas, examinez le besoin d’une analyse d’impact relative à la protection des données (AIPD) avant d’étendre l’outil.
Éditeur et fournisseur : qui répond de l’enregistrement de session
Le fournisseur qui se contente de fournir l’outil agit comme sous-traitant. En revanche, il peut réutiliser les données pour ses propres besoins, par exemple pour améliorer son produit. Il devient alors seul responsable de ces traitements. De plus, il partage avec vous la responsabilité des opérations de lecture et d’écriture. Dans ce cas, l’article 26 du RGPD impose une répartition claire des obligations.
La CNIL vise ici une pratique courante : le contrat qui renvoie tout le recueil du consentement sur l’éditeur. Pour elle, cette clause seule ne suffit pas. Selon la recommandation, le contrat précise qui prouve le consentement, puis comment les preuves sont transmises et conservées. Il prévoit aussi des audits réguliers des mécanismes de recueil.
Ouvrez donc le contrat ou les conditions générales de votre fournisseur et cherchez la clause de réutilisation des données. Si elle existe, inscrivez le fournisseur comme responsable conjoint dans votre registre et faites compléter l’accord. Le pilier mise en conformité RGPD détaille la tenue du registre.
Quoi faire maintenant avec la recommandation CNIL sur le rejeu de session
La recommandation ne fixe aucun délai de mise en conformité. Elle ne présente pas de caractère réglementaire, selon ses propres termes. Bien que le texte se présente comme un guide, l’obligation de consentement découle de l’article 82. Ainsi, un outil qui dépose ses traceurs sans accord préalable est déjà irrégulier aujourd’hui.
La CNIL présente sa recommandation lors d’un webinaire le 17 novembre 2026. Les inscriptions sont ouvertes sur la page Les webinaires de la CNIL. Notre agenda des webinaires CNIL de fin 2026 recense les autres sessions. D’ici là, faites le tri. Supprimez l’outil installé « pour voir » et jamais consulté, puis passez les autres au contrôle décrit plus haut.
Sources
La CNIL présente le texte dans Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs.
Le texte intégral figure dans Outils de rejeu de session, recommandation (PDF), adopté par la délibération n° 2026-114 du 8 octobre 2026.
Les réponses de la CNIL figurent dans Consultation publique sur le projet de recommandation concernant les outils de rejeu de session, synthèse des contributions.
La page destinée au public s’intitule Rejeu de session : ces outils qui enregistrent votre activité en ligne.
