# La CNIL pubblica le regole definitive sugli strumenti di session replay Il 5 novembre 2026 l’autorità francese per la protezione dei dati, la CNIL, ha pubblicato la sua raccomandazione definitiva sugli strumenti di session replay. Questi strumenti registrano come i visitatori usano un sito web o un’app: movimenti del mouse, clic, scorrimento e, in alcuni casi, ciò che scrivono nei moduli. La raccomandazione è stata adottata l’8 ottobre 2026 ed è arrivata dopo una consultazione pubblica tra febbraio e maggio 2026. - Pagina: https://www.cognivise.co.uk/it/news/cnil-pubblica-regole-definitive-strumenti-session-replay - Originale (inglese): https://www.cognivise.co.uk/news/cnil-publishes-final-rules-for-session-replay-tools - Argomento: Gestire il software - Pubblicato: 2026-11-11 - Aggiornato: 2026-11-11 - Autore: Cognivise - Fonte: CNIL, Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs (https://www.cnil.fr/fr/rejeu-de-session-recommandation) - Fonte: CNIL, Rejeu de session : ces outils qui enregistrent votre activité en ligne (https://www.cnil.fr/fr/rejeu-de-session-vos-droits) ## Punti chiave - Secondo la CNIL gli strumenti di session replay richiedono il consenso preventivo, senza esenzioni. - I campi dei moduli vanno mascherati, e le conversazioni con i chatbot devono poter essere mascherate. - Rifiutare il consenso deve essere facile quanto accettarlo. ## Cosa dice la CNIL La CNIL considera questi strumenti dei tracker ai sensi dell’articolo 82 della legge francese sulla protezione dei dati. Secondo la CNIL nessuna delle esenzioni previste da quell’articolo si applica, quindi **serve il consenso preventivo**. I punti principali: - **Rifiutare deve essere facile quanto accettare.** Le persone devono poter rifiutare, e revocare il consenso, con la stessa semplicità con cui l’hanno dato. - **Dirlo al primo livello del banner.** La versione definitiva raccomanda di dare informazioni specifiche sul session replay nella prima schermata dell’interfaccia di consenso. - **Stabilire la finalità prima di raccogliere.** Le finalità devono essere definite prima di mettere in uso lo strumento. - **Raccogliere meno.** Usare uno strumento di mascheramento, limitare il numero di sessioni registrate, limitare l’uso di identificativi e conservare le registrazioni per un tempo molto breve. - **Mascherare ciò che le persone scrivono.** Se lo scopo è migliorare l’esperienza utente, i campi in cui si inseriscono dati personali vanno mascherati. - **Proteggere i codici di autenticazione.** La versione definitiva aggiunge il mascheramento dei movimenti del mouse in alcune aree, così che i codici non vengano registrati per errore. - **Mascherare le conversazioni con i chatbot.** Gli strumenti di replay usati sui chatbot dovrebbero poter nascondere il contenuto della chat, perché domande e risposte possono rivelare dati sensibili. La raccomandazione si rivolge a due gruppi: le aziende che sviluppano questi strumenti e i proprietari dei siti web o delle app che li usano. La CNIL dice che nei prossimi mesi affiancherà i professionisti, anche con un webinar, e che le persone potranno presentarle un reclamo se le regole non vengono rispettate. ## Quali siti sono interessati Qualsiasi sito che usa uno strumento di session replay o di heatmap, come Microsoft Clarity o Hotjar. Questi due sono esempi nostri: le pagine della CNIL non citano prodotti. Si tratta di linee guida francesi, che non vincolano direttamente altri Paesi, ma il GDPR si applica in tutta l’UE, quindi vale la pena porsi queste domande su qualsiasi sito. ## Cosa verificare sul tuo sito 1. Lo strumento si carica prima che il visitatore dia il consenso? Se sì, è la prima cosa da cambiare. 2. Il tuo banner dei cookie cita chiaramente il session replay, e rifiutare è facile quanto accettare? 3. I campi dei moduli sono mascherati, compresi i moduli di contatto, di checkout e di login? 4. Se hai un widget di chat, il testo delle conversazioni è nascosto nelle registrazioni? 5. Sai dire perché registri le sessioni e per quanto tempo conservi le registrazioni? Queste sono informazioni generali, non una consulenza legale. Per un sito specifico, rivolgiti a un consulente qualificato in protezione dei dati.