Lecture rapide

Les outils de rejeu de session capturent et visualisent les actions de navigation sur les sites et applications. La CNIL recommande de limiter les données collectées, d’informer les utilisateurs et de recueillir leur consentement préalable. Les traitements doivent respecter les principes de minimisation, de limitation de la conservation et de sécurité, tandis que les responsables doivent garantir l’exercice des droits et l’effectivité du retrait du consentement.

Analyse juridique

La CNIL encadre les outils de rejeu de session au regard du RGPD

1. Par sa délibération n° 2026-114 du 8 octobre 2026, publiée au Journal officiel de la République française le 5 novembre 2026, texte 70 sur 112, la Commission nationale de l’informatique et des libertés (CNIL) adopte une recommandation consacrée aux outils de rejeu de session. Ces technologies permettent de capturer et de visualiser le parcours complet d’un utilisateur sur un site web ou une application mobile : mouvements de souris, clics, interactions tactiles, défilement, saisies et autres actions de navigation.

2. La recommandation vise à aider les professionnels à mettre leurs pratiques en conformité avec le règlement général sur la protection des données (RGPD), l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ainsi que les règles applicables aux cookies et autres traceurs. La CNIL précise que ce document n’est ni prescriptif ni exhaustif et qu’il ne présente pas de caractère réglementaire. Il fournit un cadre pratique issu d’une concertation avec les acteurs du secteur et la société civile, complétée par une consultation publique menée entre février et mai 2026.

Une technologie utile mais particulièrement intrusive

3. Le rejeu de session complète les outils classiques de mesure d’audience en donnant accès à des séquences individuelles de navigation. Les éditeurs peuvent ainsi détecter des erreurs techniques, comprendre les difficultés rencontrées par les utilisateurs ou analyser des zones de friction telles que les faux clics et les clics répétés sous l’effet de l’énervement.

4. Cette précision comporte toutefois des risques importants. Un outil de rejeu peut permettre un suivi très détaillé, voire permanent, des habitudes et centres d’intérêt d’une personne. Selon la nature du site ou de l’application, il peut aussi révéler des données sensibles. La CNIL relève en outre le risque d’une collecte excessive, lorsque les fonctionnalités activées vont au-delà de ce qui est nécessaire à la finalité poursuivie.

5. Le niveau de risque est accentué par la diversité des offres commerciales et des paramétrages proposés par les fournisseurs. Les éditeurs peuvent être incités à retenir les fonctionnalités les plus intrusives, alors même que le principe de minimisation impose de limiter les données aux seules informations adéquates, pertinentes et nécessaires.

Le double cadre juridique : article 82 et RGPD

6. Les outils de rejeu de session utilisent des traceurs. Sur le web, il peut s’agir de cookies ; dans les applications mobiles, d’identifiants mobiles ou d’autres technologies. Les opérations de lecture et d’écriture d’informations dans l’équipement terminal relèvent de l’article 82 de la loi Informatique et Libertés, qui transpose l’article 5.3 de la directive 2002/58/CE dite « vie privée et communications électroniques ».

7. Ces outils reconstituent également des sessions individuelles et peuvent collecter des données identifiant directement ou indirectement les utilisateurs. Les traitements issus des informations produites ou collectées par les traceurs, appelés traitements subséquents, doivent donc respecter le RGPD et la loi Informatique et Libertés.

8. La recommandation s’applique aux éditeurs de sites et d’applications mobiles ainsi qu’aux fournisseurs d’outils établis en France ou dans l’Union européenne, ou traitant des données concernant des personnes situées dans l’Union, conformément à l’article 3, paragraphes 1 et 2, du RGPD. Chaque acteur doit qualifier son rôle en fonction des finalités et des moyens du traitement.

La responsabilité des fournisseurs et des éditeurs

9. Le fournisseur agit comme sous-traitant lorsqu’il fournit l’outil sans réutiliser les données pour ses propres finalités. En revanche, s’il utilise les données collectées, avec l’accord de l’éditeur, pour améliorer sa solution ou poursuivre une autre finalité propre, il devient responsable indépendant du traitement correspondant. Il est également responsable conjoint avec l’éditeur des opérations de lecture et d’écriture à l’origine des traitements lorsque les données servent les finalités des deux acteurs.

10. Cette responsabilité conjointe s’inscrit dans la jurisprudence Fashion ID, notamment ses paragraphes 101 et 102, ainsi que dans les lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978, au paragraphe 38. Elle impose, conformément à l’article 26 du RGPD, une répartition claire et transparente des obligations, en particulier pour l’information des personnes et l’exercice de leurs droits.

11. L’éditeur est généralement responsable du traitement, puisqu’il choisit l’outil pour répondre à un besoin qui lui est propre et détermine les finalités ainsi que les moyens essentiels. Dans l’exemple donné par la CNIL, la société A utilise la solution SaaS de la société B pour mesurer l’audience de son site. A est responsable du traitement réalisé pour cette mesure et B est son sous-traitant. Si B réutilise les données pour améliorer son service, elle devient responsable indépendante pour cette finalité ; les opérations de collecte peuvent alors relever d’une responsabilité conjointe.

Des finalités déterminées et limitées

12. Les finalités doivent être déterminées, explicites et légitimes avant le déploiement de l’outil. Elles ne peuvent être définies après la collecte en fonction de ce que l’analyse des sessions permet de découvrir. La CNIL identifie principalement trois usages : la détection et la compréhension des erreurs ou problèmes techniques, l’amélioration de l’expérience utilisateur et le support destiné à répondre aux demandes des clients.

13. Pour la détection des erreurs, la visualisation de sessions en situation réelle peut révéler des dysfonctionnements qui ne ressortent pas des métriques classiques. Pour l’amélioration de l’expérience utilisateur, elle permet de repérer les zones de friction, les faux clics et les difficultés d’ergonomie. Pour le support, elle peut aider à comprendre le parcours d’un utilisateur confronté à un problème, par exemple lorsqu’il ne parvient pas à valider une commande.

14. La CNIL recommande de privilégier une solution moins intrusive lorsque celle-ci permet d’atteindre le même objectif. En application de l’article 5.1.c du RGPD, un outil de rejeu de session ne devrait notamment pas être utilisé pour le reciblage publicitaire lorsqu’il existe des solutions plus respectueuses de la vie privée, telles que des cookies de relance de panier.

Le consentement préalable est la règle

15. Sauf exemption, les opérations de lecture et d’écriture d’informations dans un équipement terminal nécessitent le consentement. La CNIL considère que les outils de rejeu de session ne peuvent bénéficier d’une exemption : ils ne sont pas exclusivement nécessaires à la communication électronique et ne sont pas strictement nécessaires à la fourniture du service, puisque celui-ci peut être délivré sans ces outils.

16. Le consentement doit être recueilli avant le déploiement des traceurs, selon les exigences de l’article 82 de la loi Informatique et Libertés, des lignes directrices adoptées par la délibération n° 2020-091 du 17 septembre 2020 et de la recommandation n° 2020-092 relative aux cookies et autres traceurs. Les plateformes de gestion du consentement (CMP) peuvent être utilisées, à condition que leurs interfaces et documents d’information soient correctement mis à jour.

17. Chaque finalité doit être présentée de manière distincte afin que l’utilisateur comprenne la portée de son choix. La CNIL recommande des intitulés courts et explicites, complétés par un descriptif détaillé : résolution des problèmes techniques, amélioration de la navigation et de l’ergonomie, ou assistance liée à une demande client.

18. Une information spécifique sur le rejeu de session devrait figurer dès le premier niveau de la CMP. Cette mention doit être courte, compréhensible et présentée séparément des finalités. Un descriptif plus détaillé de la technologie doit être facilement accessible, car les utilisateurs connaissent généralement mal l’existence et le fonctionnement de ces outils.

Traitements subséquents et traitements ultérieurs

19. Le consentement exigé pour la lecture et l’écriture des traceurs ne suffit pas nécessairement à fonder les traitements de données personnelles qui en découlent. Ces traitements subséquents doivent reposer sur l’une des bases légales de l’article 6 du RGPD. Le consentement est généralement la base la plus appropriée, mais chaque responsable doit procéder à une analyse tenant compte du contexte et des finalités.

20. Les traitements ultérieurs, au sens de l’article 6.4 du RGPD, obéissent à une règle distincte. Les données collectées avec le consentement ne peuvent être réutilisées pour une nouvelle finalité que si l’utilisateur a consenti à cette finalité. Une nouvelle autorisation n’est pas nécessaire lorsque les données ont été préalablement anonymisées, l’anonymisation étant présumée ne pas créer d’atteinte supplémentaire à la vie privée.

21. Le responsable du traitement doit pouvoir démontrer à tout moment la validité du consentement. Lorsque plusieurs acteurs sont conjointement responsables des opérations de lecture et d’écriture, un contrat ne peut pas se borner à mettre la charge du consentement sur l’éditeur. Il doit préciser les mécanismes de preuve, la conservation des éléments, leur mise à disposition, ainsi que les modalités d’audits réguliers.

Exercice des droits et retrait du consentement

22. Les utilisateurs disposent des droits prévus aux articles 15 à 20 du RGPD : accès, rectification, effacement, limitation du traitement et portabilité. Les responsables doivent mettre à leur disposition des dispositifs compréhensibles et ergonomiques, par exemple un centre de gestion des droits.

23. Le retrait du consentement doit être possible à tout moment et aussi simple que son recueil, conformément à l’article 7 du RGPD. Après le retrait, les opérations de lecture et d’écriture ne doivent plus intervenir. L’éditeur peut devoir supprimer les cookies, modifier leur date d’expiration ou utiliser un script pour effacer les traceurs non protégés par l’attribut « httpOnly ».

24. Les données collectées doivent également être supprimées lorsqu’aucune autre base légale ne justifie leur conservation. Le responsable doit, le cas échéant, en informer son sous-traitant, qui doit pouvoir démontrer qu’il a respecté cette obligation.

Minimisation, conservation et sécurité

25. La configuration de l’outil doit permettre de respecter les principes de minimisation, de limitation de la conservation et de sécurité. La CNIL recommande aux fournisseurs de proposer des solutions paramétrables et aux éditeurs de sélectionner les mesures adaptées à chaque finalité, avec un niveau de protection par défaut conforme à l’article 25 du RGPD.

26. Pour limiter la quantité de données, la CNIL recommande l’échantillonnage aléatoire des sessions (L1), la collecte déclenchée uniquement par un événement défini (L2) ou l’analyse suivie de la suppression rapide des sessions qui ne sont pas nécessaires (L3). Le fournisseur devrait également proposer un masquage par défaut des images, formulaires, champs de texte, informations de compte, mouvements de souris sur des claviers numériques et échanges avec des agents conversationnels (M0).

27. Les modalités de masquage peuvent être graduées : démasquage réservé à des utilisateurs habilités après validation (M1), accès aux données chiffrées uniquement sur demande motivée (M2), ou absence de collecte de la donnée (M3). Le recours aux identifiants doit également être limité : identifiant de session aléatoire et de courte durée (I1), identifiant pseudonyme propre à l’utilisateur (I2), ou identifiant limité à un domaine (I3).

28. Les durées de conservation doivent être configurables et ne pas excéder ce qui est nécessaire à la finalité. Pour la détection technique et l’amélioration de l’expérience utilisateur, la CNIL évoque une conservation de quelques mois, limitée aux problématiques de la version actuelle du site. Pour le support client, la conservation devrait prendre fin quelques heures après la session ou la clôture de la demande, sous réserve d’une justification documentée.

29. La sécurité impose notamment de bloquer la collecte des mots de passe, des informations bancaires et des autres données sensibles. Les outils doivent aussi permettre une politique d’habilitation différenciant les profils, rôles et droits, avec une revue périodique des accès et leur mise à jour lors des départs ou mobilités internes.

Une recommandation qui impose une gouvernance concrète des outils

30. La recommandation de la CNIL ne condamne pas le rejeu de session, mais en subordonne l’usage à une définition préalable des finalités, à un consentement éclairé et à une configuration proportionnée. L’éditeur doit choisir un fournisseur capable de mettre en œuvre le masquage, la limitation des sessions, la suppression individuelle, la gestion des identifiants et la protection des données sensibles.

31. L’enjeu est donc moins l’outil lui-même que la manière dont il est déployé. Un rejeu destiné à comprendre une erreur technique ne justifie pas nécessairement l’identification durable de l’utilisateur ; une analyse UX ne requiert pas l’accès aux champs saisis ; un traitement de support doit être limité à la session utile et encadré par une validation préalable. En imposant cette correspondance entre finalité, paramétrage, durée de conservation et niveau d’accès, la CNIL transforme la conformité RGPD en exigence opérationnelle de conception.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

🛡️ Point de vigilance : analyse documentaire juridique qui ne remplace pas une consultation juridique personnalisée délivrée par un Avocat ou un autre professionnel habilité