Rejeu de session : la CNIL précise le consentement et les réglages

Ce que précise la recommandation

Le 5 novembre 2026, la CNIL a publié sa recommandation définitive sur les outils de rejeu de session. Ces outils reconstituent les interactions d’un visiteur : mouvements de souris, clics, défilement et, dans certains cas, saisies. Ils peuvent servir à comprendre un problème technique, améliorer l’ergonomie ou assister un client. Présentation de la CNIL.

Le document distingue les obligations existantes des moyens proposés pour les respecter. La recommandation n’a pas de caractère réglementaire. Les mesures techniques proposées peuvent être remplacées par des solutions alternatives, à condition de pouvoir démontrer qu’elles satisfont aux obligations applicables.

La décision commence par l’objectif : s’il peut être atteint avec un outil traitant moins de données, celui-ci doit être privilégié au titre de la minimisation. La CNIL indique notamment que le rejeu ne devrait pas servir au reciblage publicitaire lorsque des solutions plus respectueuses de la vie privée existent.

Les entreprises et les responsabilités concernées

Le texte concerne les éditeurs de sites et d’applications et les fournisseurs d’outils établis en France ou dans l’Union européenne, ainsi que ceux dont les traitements concernent des personnes dans l’Union, dans les conditions territoriales du RGPD.

L’entreprise qui choisit le rejeu pour ses propres objectifs est généralement responsable du traitement. Le fournisseur est sous-traitant s’il ne réutilise pas les données pour ses propres finalités. S’il les réutilise avec l’accord de l’éditeur, il devient responsable de ces traitements et coresponsable des opérations de lecture et d’écriture qui les alimentent.

Les traceurs du rejeu nécessitent un consentement préalable : la détection d’erreurs, l’amélioration de la navigation et l’assistance ne bénéficient pas d’une exemption. Le traitement des données ainsi obtenues doit aussi disposer d’une base légale : le consentement est généralement le plus approprié, mais cette appréciation dépend du contexte. Recommandation, sections 3 à 5.

Une publication du 5 novembre, sans délai de grâce annoncé

La version porte la mention « adoptée le 8 octobre 2026 » ; sa présentation publique est datée du 5 novembre. Le document ne fixe pas de délai général de mise en conformité. Il explicite des règles existantes et propose des moyens de les appliquer.

Les finalités doivent être définies avant le déploiement. La CNIL recommande une mention spécifique au rejeu dès le premier niveau de l’interface de consentement, distincte des finalités, avec une explication détaillée facilement accessible. Le retrait doit être aussi simple que l’accord et arrêter les lectures et écritures. Les données doivent alors être supprimées si aucune autre base légale ne justifie leur conservation.

Les vérifications à engager

• Justifiez l’usage : décrivez l’objectif et comparez les solutions moins intrusives avant de conserver ou déployer le rejeu.
• Clarifiez le contrat : vérifiez les réutilisations du fournisseur et la répartition des responsabilités ; en cas de responsabilité conjointe, une clause lui permettant de se décharger du consentement sur l’éditeur ne suffit pas.
• Testez le consentement : vérifiez l’information sur chaque finalité, la mention spécifique recommandée, le blocage avant accord et l’arrêt après retrait.
• Examinez le masquage : contrôlez notamment formulaires, contenus de compte, claviers numériques et conversations. Distinguez absence de collecte et données collectées mais masquées ; les possibilités de démasquage dépendent de la finalité.
• Adaptez la conservation et les accès : utilisez l’annexe de la recommandation selon votre usage. Elle propose quelques mois pour l’analyse d’erreurs ou d’ergonomie, contre quelques heures après la session pour l’assistance, dont la durée doit être justifiée et documentée. Vérifiez aussi suppression, habilitations et blocage des mots de passe et informations bancaires.

Pour cadrer l’objectif de cette analyse dans votre dispositif marketing, VCSTS met à plat le marché, les publics, la proposition de valeur et les moyens disponibles pour construire une direction lisible, une feuille de route exploitable et un pilotage concret.