# La CNIL publie ses règles définitives pour les outils de session replay

Le 5 novembre 2026, l’autorité française de protection des données, la CNIL, a publié sa recommandation définitive sur les outils de session replay. Ces outils enregistrent la manière dont les visiteurs utilisent un site web ou une application : mouvements de souris, clics, défilement et, dans certains cas, ce qu’ils saisissent dans les formulaires. La recommandation a été adoptée le 8 octobre 2026, à la suite d’une consultation publique menée de février à mai 2026.

- Page: https://www.cognivise.co.uk/fr/news/cnil-publie-regles-definitives-outils-session-replay
- Original (anglais): https://www.cognivise.co.uk/news/cnil-publishes-final-rules-for-session-replay-tools
- Sujet: Faire vivre un logiciel
- Publié: 2026-11-11
- Mis à jour: 2026-11-11
- Auteur: Cognivise
- Source: CNIL, Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs (https://www.cnil.fr/fr/rejeu-de-session-recommandation)
- Source: CNIL, Rejeu de session : ces outils qui enregistrent votre activité en ligne (https://www.cnil.fr/fr/rejeu-de-session-vos-droits)

## À retenir

- Selon la CNIL, les outils de session replay exigent un consentement préalable, sans exemption.
- Les champs de formulaire doivent être masqués, et les conversations avec les chatbots doivent pouvoir l’être.
- Refuser son consentement doit être aussi simple que l’accepter.

## Ce que dit la CNIL

La CNIL considère ces outils comme des traceurs au sens de l’article 82 de la loi Informatique et Libertés. Selon elle, aucune exemption prévue par cet article ne s’applique : **un consentement préalable est donc obligatoire**. Ses principaux points :

- **Refuser doit être aussi simple qu’accepter.** Les personnes doivent pouvoir refuser, et retirer leur consentement, aussi facilement qu’elles l’ont donné.
- **Le dire dès le premier niveau du bandeau.** La version définitive recommande une information spécifique sur le session replay dès le premier écran de l’interface de consentement.
- **Fixer la finalité avant de collecter.** Les finalités doivent être définies avant le déploiement de l’outil.
- **Collecter moins.** Utilisez un outil de masquage, limitez le nombre de sessions enregistrées, limitez l’usage d’identifiants et conservez les enregistrements très peu de temps.
- **Masquer les saisies.** Pour l’amélioration de l’expérience utilisateur, les champs où les personnes saisissent des données personnelles doivent être masqués.
- **Protéger les codes d’authentification.** La version définitive ajoute le masquage des mouvements de souris dans certaines zones, afin que les codes ne soient pas captés par accident.
- **Masquer les conversations avec les chatbots.** Les outils de session replay utilisés sur des chatbots doivent pouvoir masquer le contenu des échanges, car les questions et les réponses peuvent révéler des données sensibles.

La recommandation s’adresse à deux publics : les entreprises qui conçoivent ces outils et les éditeurs de sites web ou d’applications qui les utilisent. La CNIL indique qu’elle accompagnera les professionnels dans les prochains mois, notamment au moyen d’un webinaire, et que les personnes peuvent la saisir d’une plainte si les règles ne sont pas respectées.

## Quels sites sont concernés

Tout site qui utilise un outil de session replay ou de heatmap, comme Microsoft Clarity ou Hotjar. Ces deux outils sont nos exemples ; les pages de la CNIL ne citent aucun produit. Il s’agit d’une recommandation française, qui ne s’impose pas directement aux autres pays, mais le RGPD s’applique dans toute l’UE : ces questions méritent donc d’être posées pour n’importe quel site.

## Ce qu’il faut vérifier sur votre site

1. L’outil se charge-t-il avant que le visiteur ait donné son accord ? Si oui, corrigez cela en priorité.
2. Votre bandeau de consentement mentionne-t-il clairement le session replay, et refuser est-il aussi simple qu’accepter ?
3. Les champs de formulaire sont-ils masqués, y compris dans les formulaires de contact, le tunnel de commande et les formulaires de connexion ?
4. Si vous avez un widget de chat, le texte des conversations est-il masqué dans les enregistrements ?
5. Pouvez-vous expliquer pourquoi vous enregistrez les sessions, et combien de temps vous conservez les enregistrements ?

Ces informations sont générales et ne constituent pas un conseil juridique. Pour un site en particulier, consultez un conseiller qualifié en protection des données.