La CNIL publica las reglas definitivas para las herramientas de grabación de sesiones

Qué dice la CNIL

La CNIL considera estas herramientas rastreadores en el sentido del artículo 82 de la ley francesa de protección de datos. Según la autoridad, no se aplica ninguna de las excepciones de ese artículo, así que se requiere consentimiento previo. Sus puntos principales:

• Rechazar debe ser tan fácil como aceptar. Las personas deben poder rechazar, y retirar su consentimiento, con la misma sencillez con que lo dieron.
• Indícalo en el primer nivel del banner. La versión definitiva recomienda dar información específica sobre la grabación de sesiones en la primera pantalla de la interfaz de consentimiento.
• Define la finalidad antes de recopilar datos. Las finalidades deben fijarse antes de implantar la herramienta.
• Recopila menos. Usa una herramienta de enmascaramiento, limita el número de sesiones grabadas, limita el uso de identificadores y conserva las grabaciones durante muy poco tiempo.
• Enmascara lo que escriben las personas. Cuando el fin es mejorar la experiencia de usuario, los campos donde se introducen datos personales deben enmascararse.
• Protege los códigos de autenticación. La versión definitiva añade el enmascaramiento de los movimientos del ratón en determinadas zonas, para que no se capturen códigos por accidente.
• Enmascara las conversaciones con chatbots. Las herramientas de grabación usadas en chatbots deben poder ocultar el contenido del chat, porque las preguntas y respuestas pueden revelar datos sensibles.

La recomendación se dirige a dos grupos: las empresas que desarrollan estas herramientas y los propietarios de sitios web o aplicaciones que las usan. La CNIL afirma que acompañará a los profesionales en los próximos meses, entre otras cosas con un seminario web, y que las personas pueden presentarle una reclamación si no se cumplen las reglas.

Qué sitios web se ven afectados

Cualquier sitio que use una herramienta de grabación de sesiones o de mapas de calor, como Microsoft Clarity u Hotjar. Estos dos son ejemplos nuestros; las páginas de la CNIL no mencionan productos. Se trata de una guía francesa que no vincula directamente a otros países, pero el RGPD se aplica en toda la UE, así que conviene hacerse estas preguntas en cualquier sitio.

Qué revisar en tu sitio

1. ¿La herramienta se carga antes de que el visitante dé su consentimiento? Si es así, cambia eso primero.
2. ¿Tu banner de consentimiento menciona con claridad la grabación de sesiones? ¿Es tan fácil rechazar como aceptar?
3. ¿Están enmascarados los campos de los formularios, incluidos los de contacto, checkout e inicio de sesión?
4. Si tienes un widget de chat, ¿se oculta el texto de la conversación en las grabaciones?
5. ¿Puedes explicar por qué grabas las sesiones y durante cuánto tiempo conservas las grabaciones?

Esto es información general, no asesoramiento jurídico. Para un sitio concreto, consulta a un asesor cualificado en protección de datos.