Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs

Les enjeux

Les outils de rejeu de session fonctionnent avec des traceurs et servent à enregistrer visuellement ou à reconstituer le parcours complet de navigation d'un internaute sur un site web ou une application mobile. Ils peuvent notamment être utilisés pour détecter et corriger des dysfonctionnements, ou encore optimiser la structure ou l'ergonomie d'un service numérique.

Concrètement, ces outils offrent à l'éditeur d'un site ou d'une application mobile la possibilité d'enregistrer l'ensemble des interactions des utilisateurs : mouvements de souris, interactions tactiles, clics, défilement des pages et, dans certains cas, saisies dans les formulaires. Ces éléments sont ensuite utilisés pour analyser le parcours de l'internaute sous forme de vidéos.

Si ces solutions offrent de nouvelles possibilités de suivi et d'analyse des comportements des internautes, elles présentent également des risques élevés d'atteinte à la vie privée de ces derniers. Elles peuvent notamment conduire à collecter des données personnelles qui ne sont pas nécessaires à l'analyse recherchée.

Une recommandation pour encadrer l'utilisation des outils de rejeu de session

À qui s'adresse-t-elle ?

La recommandation de la CNIL s'adresse à deux catégories d'acteurs :

• les fournisseurs d'outils de rejeu de session, qui conçoivent les solutions techniques et définissent les paramétrages et fonctionnalités ;
  
• les éditeurs de sites web ou d'applications mobiles, qui déploient ces outils pour analyser les parcours de leurs utilisateurs.

Quels sont ses objectifs ?

La recommandation apporte des réponses concrètes aux enjeux juridiques et techniques liés à l'utilisation des outils de rejeu de session. Elle vise à aider les fournisseurs et les éditeurs à respecter le principe de minimisation des données et à déterminer les conditions dans lesquelles ces solutions peuvent déployées.

Elle explicite notamment les obligations relatives à l'information des personnes et la manière de recueillir leur consentement. Elle propose également des recommandations techniques et organisationnelles qui doivent permettre aux fournisseurs qui proposent ces outils et aux éditeurs qui les exploitent de s'assurer du respect de la règlementation applicable.

Les principaux apports de la recommandation

Clarifier le rôle des acteurs et le cadre juridique applicable

La recommandation aide les acteurs à déterminer leur qualification en fonction de leur rôle et en lien avec le cadre légal applicable. Elle précise que les outils de rejeu de session fonctionnent avec des traceurs et qu'ils doivent respecter les dispositions de l'article 82 de la loi Informatique et Libertés.

La recommandation rappelle que ces outils sont soumis au consentement préalable des personnes, puisqu'aucune exemption prévue par cet article n'est applicable. Le recueil du consentement doit donc respecter les règles déjà exposées par la CNIL en matière de traceurs (cookies).

Préciser les finalités pour lesquelles les outils peuvent être déployés

La recommandation rappelle que les outils de rejeu de session doivent être utilisés pour des finalités déterminées, explicites et légitimes. Ces finalités doivent être déterminées en amont du déploiement des outils, et non après la collecte des données.

Proposer des recommandations concrètes aux acteurs

La recommandation propose aux acteurs une série de mesures techniques et opérationnelles, adaptables aux finalités poursuivies, afin de s'assurer de la conformité de ces outils aux principes clés du RGPD.

Elle souligne l'importance de mettre en place un outil de masquage permettant d'occulter les données non pertinentes, de limiter le nombre de sessions collectées en fonction des finalités poursuivies et de limiter le recours aux identifiants.

Lire la recommandation

Une recommandation enrichie par la consultation publique

Cette recommandation a fait l'objet d'échanges avec des professionnels et des associations représentatives de la société civile. Elle a également été soumise à consultation publique entre février et mai 2026. Les contributions reçues ont permis de mieux comprendre les usages et les enjeux de ces outils.

La CNIL a apporté plusieurs clarifications dans cette version finale :

• La recommandation apporte aux acteurs des précisions sur le contenu de l'information à fournir en distinguant les informations de premier et deuxième niveau des interfaces de recueil du consentement. La recommandation propose des formulations pour parvenir à cet objectif.
  
• La version définitive du document prévoit désormais une recommandation relative à l'information spécifique sur l'utilisation de ces outils, à fournir dès le premier niveau des interfaces utilisées afin de s'assurer du recueil d'un consentement éclairé.
  
• Enfin, elle ajoute une précision dans les mesures techniques proposées en recommandant le masquage des mouvements de souris dans certaines zones afin d'éviter la collecte incidente de codes d'authentification.
  
• La recommandation couvre les risques associés à l'usage d'outils de rejeu utilisés dans des chatbots (agents conversationnels). Elle précise que ces outils devraient permettre de masquer le contenu des discussions (questions et réponses), celles-ci pouvant révéler des données potentiellement sensibles.

Lire la synthèse des contributions

Les prochaines étapes

La CNIL accompagnera les acteurs professionnels, notamment à travers un webinaire. L'objectif est que les professionnels s'approprient au mieux les règles et les recommandations présentées dans la recommandation et qu'ils puissent mettre en œuvre les mesures proposées pour assurer leur conformité.