Outils de rejeu de session : la recommandation de la CNIL impose consentement et masquage
Le 5 novembre 2026, la CNIL a publié sa recommandation sur le rejeu de session : consentement préalable, finalités définies en amont, masquage.
Le 5 novembre 2026, la CNIL a publié sa recommandation définitive sur les outils de rejeu de session. Ces outils enregistrent ce que fait un internaute sur un site web ou dans une application (mouvements de souris, interactions tactiles, clics, défilement et parfois saisies dans les formulaires) et le restituent sous forme de vidéo. La recommandation s'adresse aux fournisseurs qui conçoivent ces outils et aux éditeurs qui les utilisent. Elle fait suite à une consultation publique menée entre février et mai 2026.
Ce qu'attend la CNIL
- Le consentement d'abord. Les outils de rejeu de session fonctionnent avec des traceurs : l'article 82 de la loi Informatique et Libertés s'applique. Aucune de ses exemptions ne joue, le consentement préalable est donc requis, et refuser ou retirer son consentement doit être aussi simple que l'accepter.
- Des finalités définies en amont. Les finalités doivent être déterminées avant le déploiement de l'outil, et non après la collecte des données.
- Une information claire. La CNIL recommande une information spécifique sur le rejeu de session dès le premier niveau de l'interface de recueil du consentement.
- Masquage et minimisation. Masquer les données non pertinentes, bloquer la collecte des mots de passe et des informations bancaires, limiter le nombre de sessions collectées et le recours aux identifiants. Les mouvements de souris doivent être masqués dans certaines zones pour éviter la collecte de codes d'authentification, et le contenu des échanges avec les agents conversationnels doit pouvoir être masqué.
- Des durées de conservation courtes et des habilitations. Les durées de conservation sont fixées par finalité, avec des profils d'accès distincts aux enregistrements.
Les rôles comptent aussi. Un fournisseur qui ne réutilise pas les données pour ses propres finalités agit en tant que sous-traitant ; s'il les réutilise, avec l'accord de l'éditeur, il est responsable de traitement pour cette réutilisation. La CNIL accompagnera les professionnels dans les prochains mois, notamment par un webinaire, et indique qu'elle mènera des contrôles en cas de plainte.
Que faire maintenant
Si votre site ou votre application utilise le rejeu de session, vérifiez qu'il ne démarre qu'après le consentement, que les champs sensibles sont masqués et que les enregistrements sont supprimés à temps. Inscrivez l'outil au registre des traitements, évaluez le fournisseur en tant que sous-traitant et déterminez si une AIPD est nécessaire.
Dazr Compliance tient le registre des traitements de l'article 30, un registre des AIPD et les revues fournisseurs avec leurs échéances : cette évaluation a un responsable et une prochaine vérification.
Sources
- CNIL: Outils de rejeu de session, la CNIL publie sa recommandation pour guider les acteurs (5 November 2026)
- CNIL: Outils de rejeu de session, Recommandation (PDF)
- CNIL: Rejeu de session, ces outils qui enregistrent votre activité en ligne (5 November 2026)
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 9 novembre 2026.
Également disponible en: English