Rejeu de session : la recommandation CNIL décryptée
Recommandation CNIL du 5 novembre 2026 sur le rejeu de session : consentement préalable, masquage par défaut, durées par finalité, réglages à vérifier.
La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session (délibération n° 2026-114 du 8 octobre 2026). Le message central est net : les traceurs de Hotjar, Microsoft Clarity, Contentsquare et des outils équivalents sont soumis au consentement préalable, aucune exemption de l’article 82 ne s’applique, et l’outil doit masquer par défaut tout ce qui n’est pas utile à la finalité. Ce qui suit traduit le texte en réglages concrets : quelle finalité déclarer, quelles options activer, combien de temps garder les sessions, et quoi écrire dans la bannière.
Ce que dit la recommandation, en une phrase par point
Un outil de rejeu de session capture et permet de revoir le parcours complet d’un visiteur : mouvements de souris, clics, défilement, saisies. La CNIL le distingue de la mesure d’audience classique, parce qu’il reconstitue des sessions individuelles et collecte plus que ce que la finalité demande.
Hotjar Microsoft Clarity Contentsquare Les points qui changent la pratique, tous tirés du texte de la recommandation :
- Consentement préalable, sans exemption. Les opérations de lecture et d’écriture ne sont ni strictement nécessaires au service, ni limitées à la communication électronique. Le dépôt du script avant le choix du visiteur n’est donc pas défendable.
- Finalités fixées avant le déploiement. Elles « ne peuvent pas être déterminées postérieurement à la collecte des données ». Trois finalités sont décrites : erreurs techniques, expérience utilisateur, support client.
- Information spécifique au premier niveau de la CMP. Une mention courte sur l’usage du rejeu de session, séparée des finalités, en plus d’un intitulé court par finalité.
- Masquage par défaut. Sans configuration, le masquage devrait couvrir toutes les catégories : images, formulaires, champs de texte, champs remplis dynamiquement, mouvements de souris et clics sur les claviers numériques, conversations avec un agent conversationnel.
- Durées courtes et différenciées. Quelques mois pour les erreurs et l’UX, quelques heures après la fin de la session pour le support.
- Pas de reciblage. Le texte écarte explicitement le rejeu de session pour le reciblage publicitaire.
La recommandation n’a pas de caractère réglementaire : le texte le dit lui-même. Mais elle décrit ce que la CNIL attend lors d’un contrôle, et le consentement préalable découle de l’article 82, qui, lui, s’applique déjà. Si votre dispositif de bannière n’a pas été revu depuis l’installation de l’outil, c’est le premier point que je reprends dans un audit de conformité Consent.
Qui est responsable : éditeur, fournisseur, ou les deux
La qualification dépend de ce que fait le fournisseur des données collectées.
| Situation | Éditeur du site | Fournisseur de l’outil |
|---|---|---|
| Le fournisseur ne réutilise pas les données | Responsable du traitement | Sous-traitant |
| Le fournisseur réutilise les données pour ses propres fins (par exemple améliorer son produit), avec l’accord de l’éditeur | Responsable de son traitement | Responsable de son propre traitement, et responsable conjoint de l’éditeur pour les opérations de lecture et d’écriture |
Le second cas a une conséquence contractuelle précise : une clause qui met uniquement à la charge de l’éditeur le recueil du consentement pour le compte du fournisseur ne suffit pas. Le contrat devrait prévoir le mécanisme de preuve du consentement, la mise à disposition de cette preuve, sa conservation et les audits réguliers du dispositif. En audit, je commence par relire les conditions de traitement des données de l’outil : la clause sur l’amélioration du produit décide de la colonne dans laquelle vous êtes.
Le tableau de décision : une finalité, un réglage
L’annexe de la recommandation code les mesures par lettres. Je l’ai réorganisée pour qu’une équipe produit ou analytics sache quoi demander à son outil. Les codes renvoient au texte de la CNIL : L pour la limitation des sessions, M pour le masquage, I pour les identifiants, S pour la sécurité.
| Finalité déclarée | Limiter les sessions | Masquage | Identifiant | Conservation recommandée |
|---|---|---|---|---|
| Détection et compréhension des erreurs techniques | Déclencheur défini (L2) ou suppression des sessions inutiles (L3) | Par défaut (M0), démasquage ponctuel possible avec validation interne (M1), chiffré sur demande (M2) ou non collecté (M3) | Identifiant de session aléatoire (I1), aucune association à un compte | Quelques mois, limités à la version actuelle du site |
| Amélioration de l’expérience utilisateur | Échantillonnage aléatoire (L1) ou suppression des sessions inutiles (L3) | Par défaut (M0), puis chiffré sur demande (M2) ou non collecté (M3) : le démasquage n’est que marginalement utile | Identifiant de session aléatoire (I1) | Quelques mois, limités à la version actuelle du site |
| Support et assistance client | Déclencheur (L2) ou suppression dès la fin de la prise en charge (L3) | Par défaut (M0), démasquage après validation avec l’utilisateur | Pseudonyme (I2) ou identifiant limité au domaine (I3) | Quelques heures après la fin de la session, durée justifiée par écrit |
Pour les trois finalités, deux mesures de sécurité sont attendues : blocage de la collecte des mots de passe et données bancaires (S1), et politique d’habilitation avec revue périodique des accès (S2).
Lecture pratique : la finalité « UX » est celle que la plupart des sites déclarent, et c’est celle où le démasquage est le moins justifiable. Si vous avez besoin de voir ce que tape un visiteur, vous êtes dans la finalité support, avec une conservation de quelques heures, pas de quelques mois.
Le parcours conforme, de la bannière à la suppression
Rien n'est enregistré avant le choix. Après acceptation, l'enregistrement est masqué par défaut, trié, puis supprimé selon la finalité. Le retrait du consentement arrête la collecte et déclenche la suppression.
Le point 5 est souvent oublié. La recommandation précise qu’un retrait n’est effectif que si les traceurs déjà déposés ne sont plus lus : expiration forcée du cookie par un en-tête Set-Cookie daté dans le passé, ou suppression par script pour les cookies sans attribut HttpOnly. Le responsable doit aussi supprimer les données collectées s’il n’a pas d’autre base légale, et demander la même chose à son sous-traitant.
Ce qu’il faut écrire dans la bannière
La CNIL propose des formulations par finalité, à afficher en intitulé court au premier niveau, avec un descriptif plus long au second niveau. Je les reprends telles quelles, en remplaçant le nom de l’éditeur :
| Finalité | Formulation proposée par la CNIL |
|---|---|
| Erreurs techniques | « [Nom de l’éditeur] enregistre et visualise vos actions pendant votre navigation pour résoudre d’éventuels problèmes techniques. » |
| Expérience utilisateur | « [Nom de l’éditeur] enregistre et visualise vos actions pendant votre navigation pour identifier les difficultés rencontrées et améliorer la navigation et l’ergonomie du site. » |
| Support client | « [Nom de l’éditeur] enregistre vos parcours de navigation et visualise la ou les session(s) de certains utilisateurs afin d’identifier les problèmes et répondre aux demandes adressées aux équipes de [Nom de l’éditeur]. » |
S’y ajoute la mention spécifique, présentée séparément des finalités. Le texte n’en donne pas de modèle ; il demande une mention courte, explicite, qui nomme l’usage du rejeu de session, avec un lien vers une description plus détaillée.
Côté outil de bannière, c’est un réglage de finalité et de catégorie de traceurs, pas une question de Consent Mode : les signaux Google analytics_storage et ad_storage ne décrivent pas le rejeu de session. Je crée une finalité dédiée dans la CMP et je conditionne le déclenchement de la balise de l’outil à cette finalité seulement. Le rejeu ne doit pas se déclencher sur l’acceptation de la mesure d’audience. Si vous testez plusieurs formats de bannière, l’ajout d’une ligne au premier niveau se mesure : la méthode de mesure du taux d’interaction de la bannière dans GA4 s’applique telle quelle.
Ce que la recommandation ne règle pas
- Les cartes de chaleur agrégées. Le texte vise la reconstitution de sessions individuelles. Une heatmap qui n’agrège que des clics reste soumise aux règles générales sur les traceurs ; la recommandation ne lui crée ni exemption ni régime particulier.
- L’exemption de mesure d’audience. Elle ne couvre pas le rejeu de session. Les conditions d’exemption décrites dans mon guide de l’exemption CNIL pour Matomo ne s’étendent pas à un module d’enregistrement de session, même hébergé par le même éditeur.
- Les transferts hors UE et l’analyse d’impact. La recommandation n’en parle pas. Pour un outil hébergé hors de l’Union, ces questions relèvent du droit commun du RGPD ; je les renvoie au DPO.
- Le calendrier. Aucun délai de mise en conformité n’est fixé. La CNIL annonce un accompagnement des professionnels, dont un webinaire.
Le contexte européen peut encore évoluer : le paquet Digital Omnibus en négociation touche aux règles sur les traceurs. Tant qu’il n’est pas adopté, l’article 82 et cette recommandation sont le cadre à appliquer. Et les sanctions liées aux traceurs déposés sans consentement restent en tête des décisions recensées dans mon bilan des sanctions CNIL 2025.
La checklist que je déroule sur un site équipé
- Réseau, navigation privée, avant tout clic : aucune requête vers le domaine de l’outil de rejeu, aucun cookie de l’outil.
- Refus : même vérification après « Tout refuser », puis après navigation sur trois pages.
- Acceptation de la seule mesure d’audience : le rejeu ne doit pas démarrer.
- Paramètres de l’outil : masquage des champs de saisie actif par défaut, pages de paiement et d’espace client exclues ou masquées, échantillonnage réglé.
- Durée de conservation configurée dans l’outil et cohérente avec la finalité déclarée dans la bannière.
- Accès : liste des comptes qui peuvent visionner les sessions, revue de cette liste à chaque départ.
- Contrat : clause sur la réutilisation des données par le fournisseur, et répartition de la preuve du consentement si vous êtes responsables conjoints.
- Retrait : depuis le lien de gestion des cookies, le retrait arrête l’enregistrement sur la page suivante.
Les points 1 à 3 se vérifient en dix minutes avec les outils de développement du navigateur. Les points 4 à 7 demandent un accès à l’outil et au contrat. Si vous voulez que ce contrôle soit fait avec le reste de votre dispositif de consentement, c’est l’objet d’une mission de consultant Consent Mode v2.
Sources
- CNIL, Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs, 5 novembre 2026.
- CNIL, Recommandation sur les outils de rejeu de session (PDF), version adoptée le 8 octobre 2026.
- CNIL, Rejeu de session : ces outils qui enregistrent votre activité en ligne, 5 novembre 2026.
