Outils de rejeu de session : ce que change la recommandation CNIL pour vos dispositifs d'analyse UX

Le rejeu de session, un outil d'analyse UX désormais encadré

Les outils de rejeu de session (ou « session replay ») permettent d'enregistrer visuellement ou de reconstituer le parcours complet d'un internaute sur un site web ou une application mobile : mouvements de souris, interactions tactiles, clics, défilement des pages et, dans certains cas, saisies dans les formulaires. Ces éléments sont ensuite restitués sous forme de vidéos pour analyser le comportement des utilisateurs.

Très répandus dans les équipes marketing et produit, ces outils servent notamment à détecter et corriger des dysfonctionnements, ou à optimiser la structure et l'ergonomie d'un service numérique. Mais la CNIL (Commission nationale de l'informatique et des libertés) souligne qu'ils présentent aussi des risques élevés d'atteinte à la vie privée : ils peuvent conduire à collecter des données personnelles qui ne sont pas nécessaires à l'analyse recherchée, par exemple des informations saisies dans un formulaire ou échangées avec un chatbot.

C'est pour encadrer ces usages que la CNIL a adopté, par la délibération n° 2026-114 du 8 octobre 2026, une recommandation publiée le 5 novembre 2026, après une consultation publique menée entre février et mai 2026 auprès de professionnels et d'associations de la société civile.

À qui s'adresse la recommandation ?

La recommandation vise deux catégories d'acteurs :

• les fournisseurs d'outils de rejeu de session, qui conçoivent les solutions techniques et définissent les paramétrages et fonctionnalités ;
• les éditeurs de sites web ou d'applications mobiles, qui déploient ces outils pour analyser les parcours de leurs utilisateurs.

Autrement dit, la responsabilité ne repose pas uniquement sur l'éditeur de la solution : toute organisation qui utilise un outil de session replay sur son site est directement concernée. La recommandation aide d'ailleurs chaque acteur à déterminer sa qualification juridique en fonction de son rôle dans le traitement des données.

Les obligations clés à retenir

Un consentement préalable obligatoire, sans exemption

La CNIL précise que les outils de rejeu de session fonctionnent avec des traceurs et doivent donc respecter l'article 82 de la loi Informatique et Libertés, qui encadre le dépôt de cookies et autres traceurs. Point essentiel : aucune exemption prévue par cet article n'est applicable à ces outils. Leur usage est donc soumis au consentement préalable des personnes, recueilli selon les règles déjà exposées par la CNIL en matière de cookies.

Concrètement, contrairement à certaines solutions de mesure d'audience qui peuvent bénéficier d'une exemption de consentement, un outil de session replay ne peut pas être activé par défaut : il doit attendre un consentement libre et éclairé de l'utilisateur.

Des finalités définies avant le déploiement

Les outils de rejeu de session doivent être utilisés pour des finalités déterminées, explicites et légitimes. La CNIL insiste sur le fait que ces finalités doivent être définies en amont du déploiement, et non après la collecte des données. Il n'est donc pas conforme d'enregistrer massivement des sessions « au cas où », puis de décider ensuite de leur usage.

Des mesures techniques de minimisation des données

En application du principe de minimisation (ne collecter que les données strictement nécessaires), la recommandation propose une série de mesures techniques et opérationnelles, adaptables aux finalités poursuivies :

• mettre en place un outil de masquage permettant d'occulter les données non pertinentes ;
• limiter le nombre de sessions collectées en fonction des finalités poursuivies ;
• limiter le recours aux identifiants permettant de relier les enregistrements à des personnes.

Les apports de la version finale, enrichie par la consultation publique

Les contributions reçues lors de la consultation publique ont conduit la CNIL à préciser plusieurs points dans la version définitive du texte :

• Information des personnes : la recommandation distingue les informations à fournir au premier et au deuxième niveau des interfaces de recueil du consentement (typiquement, le bandeau cookies et la fenêtre de paramétrage détaillé), et propose des formulations concrètes. Une information spécifique sur l'utilisation de ces outils doit figurer dès le premier niveau, afin de garantir un consentement éclairé.
• Masquage des mouvements de souris : la CNIL recommande de masquer les mouvements de souris dans certaines zones, afin d'éviter la collecte incidente de codes d'authentification (par exemple lorsqu'un utilisateur saisit un code via un clavier virtuel).
• Chatbots : la recommandation couvre les risques liés au rejeu de session dans les agents conversationnels. Les outils devraient permettre de masquer le contenu des discussions (questions et réponses), celles-ci pouvant révéler des données potentiellement sensibles.

Et maintenant ? Les prochaines étapes

La CNIL annonce qu'elle accompagnera les acteurs professionnels, notamment via un webinaire, pour les aider à s'approprier les règles et à mettre en œuvre les mesures proposées. Pour les directions digitales, c'est le moment d'inventorier les outils de session replay et de heatmaps déployés, de vérifier le paramétrage du consentement, les règles de masquage et les finalités documentées, et d'impliquer le DPO (délégué à la protection des données) dans la gouvernance de ces dispositifs.