Rejeu de session : la CNIL publie sa recommandation, consentement préalable et masquage par défaut

· Par Edouard Schlumberger
👈 les autres actualités

La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session, ces solutions qui enregistrent les clics, les mouvements de souris, le défilement et parfois les saisies d'un internaute pour reconstituer son parcours en vidéo. Adoptée par la délibération n° 2026-114 du 8 octobre 2026, elle fixe un cadre précis : consentement préalable, trois finalités identifiées, masquage par défaut et durées de conservation courtes. Pour un DPO, c'est une grille d'audit directement applicable aux outils déjà en place.

Ce que la CNIL a publié

Le texte s'adresse à deux catégories d'acteurs : les fournisseurs d'outils de rejeu de session, qui conçoivent les solutions et leurs paramétrages, et les éditeurs de sites web ou d'applications mobiles, qui les déploient. Il fait suite à une concertation ouverte en avril 2025 puis à une consultation publique lancée le 25 février 2026, qui a recueilli douze contributions (deux associations professionnelles, une association de la société civile, deux sociétés privées et sept personnes privées).

Par rapport au projet, la version finale ajoute trois précisions : une information spécifique sur le rejeu de session dès le premier niveau des interfaces de recueil du consentement, avec des formulations types ; le masquage des mouvements de souris dans certaines zones pour éviter la collecte incidente de codes d'authentification ; et le masquage du contenu des échanges lorsque l'outil enregistre un agent conversationnel. La CNIL précise que sa recommandation n'est ni exhaustive ni réglementaire, et annonce un webinaire d'accompagnement.

Pourquoi c'est important

La CNIL rattache d'abord ces outils à l'article 82 de la loi Informatique et Libertés : ils fonctionnent avec des traceurs, et aucune exemption n'est applicable. Le consentement préalable est donc requis, dans les conditions des lignes directrices et de la recommandation « cookies et autres traceurs » du 17 septembre 2020. Les traitements qui exploitent ensuite les sessions relèvent du RGPD, et la CNIL considère que le consentement y est « généralement la base légale la plus appropriée ».

Le texte tranche aussi la question des rôles. Le fournisseur qui n'utilise pas les données pour ses propres besoins est un sous-traitant au sens de l'article 28. S'il les réutilise, par exemple pour améliorer son outil, il devient seul responsable de ce traitement et responsable conjoint avec l'éditeur des opérations de lecture et d'écriture, au sens de l'article 26 et dans la lignée de l'arrêt Fashion ID de la CJUE. Dans ce cas, une clause qui met le recueil du consentement à la seule charge de l'éditeur ne suffit pas : le contrat doit organiser la preuve du consentement, sa mise à disposition, sa conservation et des audits réguliers.

Enfin, la recommandation s'appuie sur la protection des données par défaut de l'article 25 : le fournisseur doit proposer le paramétrage le plus protecteur possible. La CNIL avait suivi la même démarche pour les pixels de suivi dans les courriels, et elle sanctionne les traceurs mal encadrés, comme l'a rappelé l'amende de 7 millions d'euros infligée à la Fnac pour un traceur dans son application mobile.

Ce que ça change pour les organisations

  • Recenser les outils de rejeu de session présents sur les sites et applications, et leur rattacher une fiche dans le registre des traitements.
  • Rattacher chaque outil à l'une des trois finalités retenues par la CNIL (détection des erreurs techniques, amélioration de l'expérience utilisateur, support client), définie avant le déploiement. La CNIL déconseille le reciblage publicitaire et demande de préférer un outil moins intrusif s'il atteint le même objectif.
  • Vérifier l'interface de consentement : chaque finalité présentée, et une mention spécifique au rejeu de session dès le premier niveau. Le retrait du consentement doit stopper effectivement la lecture des traceurs et, sauf autre base légale, entraîner la suppression des données.
  • Contrôler le paramétrage : masquage par défaut de toutes les catégories sensibles (formulaires, champs de texte, images, clics sur les claviers numériques, échanges avec un chatbot), blocage des mots de passe et données bancaires, identifiants limités au besoin de la finalité, habilitations revues périodiquement.
  • Aligner les durées de conservation sur l'annexe : quelques mois pour la détection d'erreurs et l'UX, quelques heures après la fin de la session pour le support.
  • Relire le contrat avec le fournisseur pour vérifier s'il réutilise les données, ce qui change sa qualification, et l'intégrer à l'audit des sous-traitants.

Ce que Leto en pense

Le rejeu de session ressemble à de l'analytics, et c'est précisément pourquoi il peut s'installer sans passer par le DPO. L'apport de la CNIL est d'être opérationnelle : une annexe qui associe à chaque finalité un jeu de mesures et une durée, que l'on peut reprendre telle quelle comme liste de contrôle face au fournisseur. Le vrai travail est moins juridique que d'inventaire : savoir quel outil tourne où, avec quel paramétrage et quel contrat. C'est ce que Leto outille au quotidien, du registre au suivi des sous-traitants, et nous pouvons vous le montrer en démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo