La CNIL publie sa recommandation sur les outils de rejeu de session

Ce que la CNIL a publié sur le rejeu de session

Le 5 novembre 2026, la CNIL, autorité française de protection des données, a publié sa recommandation définitive sur les outils de rejeu de session. Elle avait été formellement adoptée le 8 octobre 2026.

Ces outils utilisent des traceurs pour enregistrer ou reconstituer le parcours d’un visiteur sur un site web ou une application mobile : mouvements de souris, appuis, clics, défilement et, dans certains cas, ce que les personnes saisissent dans les formulaires. Le résultat est restitué sous forme de vidéo. Les entreprises s’en servent généralement pour repérer des anomalies et améliorer la mise en page et l’ergonomie.

La recommandation s’adresse à deux publics : les éditeurs d’outils de rejeu de session et les entreprises qui les utilisent sur leurs propres sites et applications. Elle fait suite à une consultation publique menée entre février et mai 2026.

Pourquoi le consentement et le masquage s’appliquent désormais aux outils de rejeu

La CNIL estime que le rejeu de session relève de l’article 82 de la loi Informatique et Libertés, qui encadre les traceurs tels que les cookies, et qu’aucune des exemptions prévues par cet article ne s’applique. Concrètement, un outil de rejeu ne doit enregistrer personne avant que la personne ait donné son accord, selon les règles de consentement que la CNIL applique déjà aux cookies.

Les principaux points de la recommandation, dont certains ont été ajoutés après la consultation :

• le premier niveau du bandeau de consentement doit mentionner expressément le recours au rejeu de session, et la CNIL propose une formulation ;
• les finalités de l’enregistrement doivent être définies avant l’activation de l’outil, et non après la collecte des données ;
• les données non pertinentes doivent être masquées, y compris les mouvements de souris dans les zones où les personnes saisissent des codes d’authentification ;
• lorsque le rejeu fonctionne au sein d’un chatbot, l’outil doit pouvoir masquer la conversation, car les questions et les réponses peuvent révéler des données sensibles ;
• le nombre de sessions enregistrées et l’usage d’identifiants doivent être limités à ce qu’exige la finalité.

Cela vous concerne si votre site web, votre boutique en ligne ou votre application utilise le rejeu de session et reçoit des visiteurs en France. La recommandation s’inscrit dans le droit français, et l’annonce de la CNIL ne dit rien des règles britanniques. Si vous n’utilisez pas du tout le rejeu de session, rien ne change pour vous.

Ce qu’il faut vérifier sur votre site ou votre application

L’annonce de la CNIL ne fixe aucune échéance de mise en conformité ni de date pour le webinaire qu’elle prévoit d’organiser à l’intention des entreprises. Si vous utilisez le rejeu de session, il est utile de vérifier dès maintenant les points suivants :

• demandez à la personne qui gère votre site ou votre application si un outil d’enregistrement de sessions est installé, y compris au sein de modules d’analyse ou de chatbot ;
• assurez-vous qu’il ne commence à enregistrer qu’après le consentement du visiteur, et que votre bandeau le mentionne dès le premier niveau ;
• consignez par écrit la raison pour laquelle vous enregistrez des sessions, avant d’en enregistrer davantage ;
• activez le masquage des champs de formulaire, des zones de connexion et de saisie de codes de vérification, ainsi que des conversations de chatbot ;
• n’enregistrez que le nombre de sessions nécessaire à cette finalité.

Surveillez la date du webinaire de la CNIL si vous souhaitez entendre sa propre explication des mesures. Cognivise propose une offre de support et maintenance continus pour les sites et applications dont les paramètres de suivi doivent être vérifiés et tenus à jour.