Ce qui a changé
- La CNIL a adopté une recommandation en novembre 2026 pour guider les professionnels vers un déploiement transparent et conforme des outils de rejeu de session.
- Les éditeurs sont tenus d'obtenir un consentement préalable, de permettre un refus et un retrait simples du consentement, de fournir une information claire et dédiée, et de masquer les champs de formulaire contenant des données personnelles.
- La CNIL accompagnera les professionnels durant une période initiale de mise en œuvre avant d'effectuer des contrôles et d'appliquer des mesures correctives en cas de plainte.
### Contexte et aperçu des outils de rejeu de session
Lorsque des personnes naviguent sur des sites web ou utilisent des applications mobiles, les éditeurs et développeurs emploient fréquemment des outils appelés outils de rejeu de session (*session replay tools*). Ces logiciels enregistrent les interactions des utilisateurs sur les plateformes numériques, notamment les mouvements de souris, les interactions tactiles, les clics, le défilement des pages et, dans certains cas, le texte saisi dans les champs de formulaire. Ces actions enregistrées sont agrégées sous forme de sessions individuelles permettant aux éditeurs de reconstituer et de visualiser les parcours des utilisateurs sous la forme d'enregistrements vidéo. Les éditeurs déploient principalement ces technologies pour diagnostiquer et résoudre des problèmes techniques sur leurs sites ou applications et pour analyser l'expérience utilisateur numérique.
Cependant, les outils de rejeu de session présentent des risques importants pour la vie privée. En facilitant un suivi continu de la navigation sur les sites web et les applications mobiles, ces outils peuvent collecter de nombreux détails relatifs à la vie privée d'une personne, y compris des données personnelles sensibles. Sans contrôle, la technologie de rejeu de session peut entraîner un traçage intrusif et une collecte de données non conforme. Afin de faire face à ces risques, l'autorité française de protection des données, la *Commission nationale de l'informatique et des libertés* (CNIL), a publié en novembre 2026 une recommandation spécifique destinée aux professionnels. Cette recommandation vise à accroître la transparence autour des pratiques de rejeu de session et à établir des règles opérationnelles claires pour les professionnels, renforçant ainsi la capacité des personnes à comprendre et à décider de la manière dont leurs données personnelles sont traitées.
### Exigences juridiques et pratiques fondamentales pour les professionnels
Les directives de la CNIL de novembre 2026 détaillent des mesures opérationnelles et techniques spécifiques que les éditeurs de sites web et d'applications mobiles doivent mettre en œuvre lors du déploiement d'outils de rejeu de session :
1. **Consentement préalable et éclairé**
- **Exigence de consentement :** Les éditeurs doivent obtenir le consentement de l'utilisateur avant de déployer des outils de rejeu de session.
- **Présentation des finalités spécifiques :** Chaque finalité ou objectif pour lequel l'outil est déployé doit être présenté à l'utilisateur avant la demande de consentement, permettant à l'utilisateur de comprendre la portée globale de son choix.
- **Facilité de refus et de retrait :** Les utilisateurs doivent pouvoir refuser ou retirer leur consentement aussi facilement qu'ils l'ont donné, au moyen des mêmes interfaces de gestion du consentement.
- **Transparence claire :** L'information fournie aux utilisateurs doit être accessible, compréhensible et présentée au moment opportun. Elle doit permettre aux utilisateurs d'identifier les finalités du traitement et de savoir que des traceurs seront déposés sur leurs appareils. La CNIL recommande spécifiquement aux éditeurs de fournir une information dédiée relative aux outils de rejeu de session afin de garantir la transparence.
2. **Minimisation des données et limites d'utilisation**
- **Spécification de la finalité :** Les outils doivent être soigneusement configurés et utilisés pour des finalités spécifiques et prédéterminées fixées à l'avance par l'éditeur afin d'éviter toute collecte excessive.
- **Limitation des données :** Le traitement doit respecter les principes clés du Règlement général sur la protection des données (RGPD). La collecte ne doit pas être indifférenciée et doit être strictement limitée à ce qui est nécessaire au regard de la finalité visée.
- **Masquage des saisies sensibles :** Lorsqu'un éditeur utilise des outils de rejeu de session pour améliorer l'expérience utilisateur, il est tenu de masquer les champs de formulaire dans lesquels les utilisateurs saisissent des données personnelles afin d'éviter toute capture involontaire de données.
### Implications pratiques et contrôle réglementaire
Pour les professionnels et les éditeurs de plateformes numériques, la recommandation de la CNIL nécessite un réexamen immédiat des configurations techniques et des pratiques de gestion du consentement. La CNIL a annoncé qu'elle accompagnera les professionnels au cours des prochains mois afin de les aider à intégrer ces règles et garanties dans leurs activités. À l'issue de cette période d'accompagnement initiale, la CNIL contrôlera la conformité au moyen de vérifications et d'enquêtes formelles. En cas de non-conformité constatée, la CNIL est habilitée à adopter des mesures correctives appropriées pour protéger efficacement la vie privée.
Pour les personnes physiques, les directives précisent leurs droits : comprendre à quel moment le traçage par rejeu de session a lieu, choisir d'autoriser ou non un tel traçage et révoquer facilement leur consentement à tout moment.
### Foire aux questions
**Q1 : Que sont les outils de rejeu de session et pourquoi les éditeurs les utilisent-ils ?**
*Réponse :* Les outils de rejeu de session enregistrent les interactions des utilisateurs sur les sites web et les applications mobiles (telles que les mouvements de souris, les actions tactiles, les clics, le défilement et la saisie dans les formulaires) pour les reconstituer sous forme de représentations vidéo des sessions d'utilisateurs. Les éditeurs les utilisent principalement pour résoudre des problèmes techniques et analyser les parcours des utilisateurs afin d'améliorer la performance du site ou de l'application.
**Q2 : Les utilisateurs doivent-ils donner leur consentement avant le déploiement des outils de rejeu de session ?**
*Réponse :* Oui. Le consentement doit être demandé avant le déploiement des outils de rejeu de session. Les éditeurs doivent présenter chaque finalité spécifique d'utilisation de l'outil avant d'obtenir le consentement, et les utilisateurs doivent pouvoir refuser ou retirer leur consentement aussi facilement qu'ils l'ont donné.
**Q3 : Comment les données personnelles saisies dans les formulaires web doivent-elles être traitées selon les directives de la CNIL ?**
*Réponse :* Afin de respecter la vie privée et d'éviter toute collecte excessive de données, les éditeurs utilisant des outils de rejeu de session (par exemple pour l'amélioration de l'expérience utilisateur) doivent masquer les champs de formulaire où les utilisateurs saisissent des données personnelles.
**Q4 : Quelles actions les particuliers peuvent-ils entreprendre si un site web ou une application ne respecte pas ces règles ?**
*Réponse :* Les utilisateurs qui constatent un non-respect de ces règles peuvent adresser directement une réclamation à la CNIL. La CNIL procédera aux vérifications nécessaires et appliquera les mesures correctives requises pour protéger la vie privée des personnes.
Qui peut être concerné
Éditeurs de sites web et d'applications mobiles utilisant des outils de rejeu de session, développeurs de logiciels, fournisseurs de solutions de gestion du consentement et utilisateurs de plateformes numériques en France et dans l'UE.
Contexte transfrontalier
S'applique aux éditeurs de plateformes numériques opérant en France ou ciblant des utilisateurs en France dans le champ d'application du RGPD.
Points à vérifier ensuite
- Consulter le texte de recommandation publié par la CNIL pour obtenir des directives de mise en œuvre technique sur la configuration des outils de rejeu de session et le masquage des formulaires.
- Examiner les outils actuels de gestion du consentement des sites web et des applications mobiles afin de vérifier leur conformité avec les normes de la CNIL relatives au retrait du consentement et à la présentation des finalités.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.