CNIL : recommandation sur les outils de rejeu de session

Les outils de rejeu de session permettent d’enregistrer et de reconstituer le parcours de navigation d’un internaute sur un site web ou une application mobile. Ils s’appuient sur des traceurs pour capturer des interactions comme les mouvements de souris, les clics ou les saisies dans les formulaires, puis génèrent des vidéos analysables.

Ces solutions, bien que utiles pour détecter des dysfonctionnements ou optimiser l’ergonomie, exposent à des risques élevés de collecte excessive de données personnelles. Leur déploiement doit donc respecter des principes stricts pour éviter toute atteinte à la vie privée.

Publics concernés par la recommandation

La recommandation de la CNIL s’adresse à deux catégories d’acteurs :

• Les fournisseurs d’outils de rejeu de session, responsables de la conception technique et des paramétrages ;
• Les éditeurs de sites web ou d’applications mobiles, qui intègrent ces outils pour analyser les parcours utilisateurs.

Objectifs et cadre juridique

La recommandation vise à clarifier les obligations des acteurs en matière de minimisation des données et de recueil du consentement. Elle rappelle que ces outils sont soumis à l’article 82 de la loi Informatique et Libertés et au RGPD, nécessitant un consentement préalable des personnes concernées.

Les finalités de collecte doivent être déterminées, explicites et légitimes dès la conception des outils. Toute utilisation ultérieure des données doit s’y conformer strictement.

Mesures techniques et organisationnelles

Pour garantir la conformité, la CNIL propose des recommandations adaptables aux finalités poursuivies :

• Mettre en place un outil de masquage pour occulter les données non pertinentes ;
• Limiter le nombre de sessions collectées en fonction des objectifs définis ;
• Éviter le recours aux identifiants pour réduire les risques de réidentification ;
• Masquer les mouvements de souris dans les zones sensibles pour éviter la collecte incidente de codes d’authentification.

Ces mesures s’appliquent également aux outils de rejeu utilisés dans les chatbots, où le contenu des discussions doit être protégé pour éviter la révélation de données sensibles.

Consultation publique et enrichissements

La recommandation a été enrichie par une consultation publique menée entre février et mai 2026. Les contributions ont permis d’affiner les exigences, notamment sur l’information à fournir en deux niveaux pour garantir un consentement éclairé.