Ce qui a changé
- La CNIL a adopté la recommandation finale Délibération n° 2026-114 à la suite d'une consultation publique menée entre février et mai 2026.
- L'autorité a confirmé que les outils de session replay nécessitent le consentement préalable de l'utilisateur en vertu de l'article 82 de la loi Informatique et Libertés, sans aucune exemption légale.
- La CNIL a imposé des garanties opérationnelles comprenant une transparence de premier niveau, le masquage des mouvements de la souris pour les zones d'authentification et le masquage des conversations pour les chatbots.
Le 5 novembre 2026, l'autorité française de protection des données (CNIL) a publié sa recommandation finale (Délibération n° 2026-114 du 8 octobre 2026) concernant les outils de session replay. Ces outils s'appuient sur des traceurs pour enregistrer visuellement ou reconstituer les sessions de navigation des utilisateurs sur les sites web et les applications mobiles. Bien qu'ils soient utilisés pour détecter des dysfonctionnements techniques et optimiser l'expérience utilisateur, la CNIL a souligné que les outils de session replay comportent des risques élevés pour la vie privée, notamment la collecte non autorisée de données personnelles inutiles.
**Champ d'application et entités concernées**
La recommandation s'adresse à deux groupes opérationnels clés :
1. **Fournisseurs d'outils :** Entités concevant les solutions techniques, les fonctionnalités et les configurations par défaut.
2. **Éditeurs de sites web et d'applications mobiles :** Organisations déployant ces outils pour suivre et analyser le comportement des utilisateurs.
**Cadre juridique et règles de consentement préalable**
La CNIL a précisé que les outils de session replay fonctionnent via des traceurs régis par l'article 82 de la loi Informatique et Libertés. Aucune exemption légale ne s'appliquant à ces outils, les éditeurs doivent obtenir le consentement préalable, éclairé et explicite de l'utilisateur conformément aux règles standard relatives aux cookies avant de les activer. En outre, les finalités de l'utilisation des outils de session replay doivent être spécifiées et documentées avant la collecte des données.
**Exigences techniques et de transparence**
À la suite d'une consultation publique menée entre février et mai 2026, la CNIL a introduit des mesures de conformité concrètes :
- **Information de premier niveau :** Des détails spécifiques concernant les outils de session replay doivent être divulgués au niveau primaire des interfaces de consentement afin de garantir un consentement éclairé.
- **Mécanismes de masquage des données :** Les déployeurs doivent mettre en œuvre des outils pour masquer les données non pertinentes. Cela comprend le masquage des mouvements de la souris dans des zones d'interface spécifiées afin d’éviter la capture accidentelle de codes d'authentification.
- **Protections relatives aux chatbots :** Pour les outils déployés dans des chatbots conversationnels, le contenu textuel des conversations (questions et réponses) doit être masqué afin d'éviter la révélation de données personnelles sensibles.
- **Minimisation des données :** Les entités doivent limiter le volume de sessions d'utilisateurs enregistrées à ce qui est nécessaire pour leur finalité définie et minimiser l'utilisation d'identifiants persistants.
La CNIL a annoncé qu'elle accompagnerait les professionnels dans la mise en œuvre de la conformité à travers de prochains webinaires.
Qui peut être concerné
Fournisseurs d'outils logiciels de session replay et éditeurs de sites web/d'applications mobiles déployant des technologies de session replay ciblant des utilisateurs en France.
Contexte transfrontalier
S'applique aux entreprises étrangères et nationales utilisant des technologies de suivi de session sur des plateformes numériques accessibles aux utilisateurs relevant de la juridiction française en vertu du droit européen sur la protection des données.
Points à vérifier ensuite
- Consultez la Délibération n° 2026-114 du 8 octobre 2026 sur Légifrance pour obtenir le texte réglementaire exact.
- Consultez le site web de la CNIL pour connaître le calendrier des prochains webinaires d'information sur la conformité professionnelle.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.