Protection des données et outils de rejeu de session : adoption d’une recommandation non prescriptive de la CNIL

La CNIL adopte une recommandation destinée à aider les professionnels à mettre en conformité les outils de rejeu de session avec le règlement (UE) 2016/679 et la loi n° 78-17 du 6 janvier 1978, notamment son article 8-I-2°.b. Ces outils permettent de capturer et de visualiser le parcours complet de navigation, y compris les mouvements, clics, défilements, saisies et interactions tactiles.

La recommandation clarifie les exigences juridiques applicables et vise à encadrer ces traitements dans le respect des libertés individuelles. Elle n’est ni prescriptive ni exhaustive. Son élaboration s’est appuyée sur une concertation avec le secteur et la société civile, ainsi que sur une consultation publique menée de février à mai 2026.

⬇️Télécharger la décision version officielle

La Commission nationale de l’informatique et des libertés adopte une recommandation sur les outils de rejeu de session utilisés sur les sites web et les applications mobiles. Ces outils enregistrent les interactions des utilisateurs, notamment les mouvements, clics, défilements, écrans consultés et saisies. La recommandation accompagne les professionnels dans leur mise en conformité avec le RGPD et l’encadrement de ces traitements, sans caractère prescriptif ni exhaustif.

La Commission nationale de l’informatique et des libertés adopte une recommandation relative aux outils de rejeu de session utilisés sur les sites web et les applications mobiles.

Ces outils capturent et permettent de visualiser le parcours complet d’un utilisateur : mouvements de souris, clics, interactions tactiles, défilements, écrans consultés, saisies et autres actions. Ils peuvent remplacer ou compléter les outils classiques de mesure d’audience.

La recommandation vise à aider les professionnels à mettre leurs pratiques en conformité avec le règlement général sur la protection des données et à mieux encadrer ces traitements. Elle est présentée comme non prescriptive et non exhaustive. Son élaboration a été précédée d’une concertation avec des représentants du secteur et des associations de la société civile, puis d’une consultation publique entre février et mai 2026.

• Identifier la capture du parcours complet de navigation
• Prendre en compte les mouvements, clics, défilements et saisies
• Mettre les pratiques en conformité avec le RGPD
• Encadrer les traitements dans le respect des libertés individuelles
• Tenir compte du caractère non prescriptif de la recommandation

• Description des fonctionnalités de capture et de visualisation
• Référence au règlement (UE) 2016/679
• Référence à l’article 8-I-2°.b de la loi n° 78-17
• Concertation avec les représentants du secteur et la société civile
• Consultation publique menée de février à mai 2026

Les professionnels disposent d’un cadre de référence pour examiner la conformité de leurs outils de rejeu de session. La recommandation n’étant ni prescriptive ni exhaustive, elle clarifie les exigences applicables sans se substituer aux obligations résultant du RGPD et de la loi Informatique et Libertés.

• Recenser les interactions et saisies effectivement capturées
• Évaluer la conformité des traitements au RGPD
• Intégrer les exigences de la loi n° 78-17
• Encadrer la visualisation des parcours utilisateurs
• Documenter les mesures de protection des libertés individuelles

À faire

• Recenser les outils de rejeu utilisés
• Identifier les données et interactions capturées
• Examiner la conformité au RGPD
• Vérifier l’application de la loi n° 78-17
• Documenter les mesures d’encadrement retenues

À éviter

• Capturer des saisies sans analyse préalable
• Assimiler la recommandation à une règle prescriptive
• Négliger les libertés individuelles
• Confondre rejeu de session et mesure d’audience
• Présenter la recommandation comme exhaustive

Le cadre juridique des outils de rejeu de session

La recommandation vise la mise en conformité des pratiques relatives aux outils de rejeu de session avec le règlement (UE) 2016/679 et la loi n° 78-17 du 6 janvier 1978, notamment son article 8-I-2°.b. Elle porte sur des traitements permettant de reconstituer les actions de navigation et les saisies des utilisateurs.

La portée non prescriptive d’une recommandation de la CNIL

La recommandation adoptée est expressément présentée comme non prescriptive et non exhaustive. Elle a pour objet de clarifier les exigences juridiques applicables et de promouvoir des traitements respectueux des libertés individuelles, sans constituer une règle impérative autonome.

Règlement (UE) 2016/679, Article 8-I-2°.b de la loi n° 78-17 du 6 janvier 1978