La CNIL francese pubblica la sua raccomandazione sugli strumenti di session replay

Cosa ha pubblicato la CNIL sul session replay

Il 5 novembre 2026 la CNIL, l’autorità francese per la protezione dei dati, ha pubblicato la sua raccomandazione definitiva sugli strumenti di session replay. Il testo era stato adottato formalmente l’8 ottobre 2026.

Questi strumenti usano tracker per registrare o ricostruire il percorso di un visitatore all’interno di un sito web o di un’app mobile: movimenti del mouse, tocchi, clic, scorrimento e, in alcuni casi, ciò che le persone scrivono nei moduli. Il risultato viene riprodotto come un video. Di solito le aziende li usano per individuare malfunzionamenti e migliorare il layout e l’usabilità delle pagine.

La raccomandazione si rivolge a due gruppi: le aziende che sviluppano strumenti di session replay e quelle che li usano sui propri siti e sulle proprie app. Arriva dopo una consultazione pubblica che si è svolta tra febbraio e maggio 2026.

Perché consenso e mascheramento valgono ora per gli strumenti di replay

Secondo la CNIL, il session replay rientra nell’articolo 82 della legge francese sulla protezione dei dati, che riguarda tracker come i cookie, e non si applica nessuna delle esenzioni previste da quell’articolo. In pratica, uno strumento di replay non dovrebbe registrare nessuno prima che abbia dato il proprio consenso, secondo le regole sul consenso che la CNIL applica già ai cookie.

I punti principali della raccomandazione, alcuni dei quali aggiunti dopo la consultazione:

• il primo livello del banner dei cookie dovrebbe indicare in modo specifico che si usa il session replay, e la CNIL suggerisce una formulazione;
• le finalità della registrazione vanno stabilite prima di attivare lo strumento, non dopo aver raccolto i dati;
• i dati non pertinenti vanno mascherati, compresi i movimenti del mouse nelle aree in cui si inseriscono codici di autenticazione;
• se il replay è attivo all’interno di un chatbot, lo strumento dovrebbe poter mascherare la conversazione, perché domande e risposte possono rivelare dati sensibili;
• il numero di sessioni registrate e l’uso di identificativi vanno limitati a quanto richiesto dalla finalità.

Tutto questo ti riguarda se il tuo sito web, il tuo negozio online o la tua app usa il session replay e ha visitatori in Francia. La raccomandazione si basa sul diritto francese e l’annuncio della CNIL non dice nulla sulle norme del Regno Unito. Se non usi affatto il session replay, per te non cambia nulla.

Cosa verificare sul tuo sito o sulla tua app

L’annuncio della CNIL non indica una scadenza per adeguarsi né una data per il webinar che intende organizzare per le aziende. Se usi il session replay, conviene fare subito alcune verifiche:

• chiedi a chi gestisce il tuo sito o la tua app se è installato uno strumento di registrazione delle sessioni, anche all’interno di componenti aggiuntivi per l’analisi o per il chatbot;
• verifica che inizi a registrare solo dopo il consenso del visitatore e che il banner lo nomini nel primo livello;
• metti per iscritto perché registri le sessioni, prima di registrarne altre;
• attiva il mascheramento per i campi dei moduli, le aree di login e di inserimento dei codici di verifica e le conversazioni del chatbot;
• registra solo le sessioni che servono a quella finalità.

Tieni d’occhio la data del webinar della CNIL se vuoi sentire direttamente da lei come interpretare le misure. Cognivise offre assistenza e manutenzione continuativa per siti e app le cui impostazioni di tracciamento vanno verificate e mantenute aggiornate.