Rejeu de session : la CNIL publie sa recommandation pour les acteurs

Rejeu de session : la CNIL publie sa recommandation pour guider les acteurs

La CNIL a publié le 5 novembre 2026 une recommandation portant sur les outils de rejeu de session. Ces dispositifs, qui s'appuient sur des traceurs, permettent d'enregistrer visuellement ou de reconstituer le parcours complet de navigation d'un internaute sur un site web ou une application mobile. L'objectif de cette recommandation est d'aider les acteurs concernés à se mettre en conformité avec le règlement général sur la protection des données (RGPD).

Que sont les outils de rejeu de session ?

Concrètement, ces outils offrent à l'éditeur d'un site ou d'une application mobile la possibilité d'enregistrer l'ensemble des interactions des utilisateurs : mouvements de souris, interactions tactiles, clics, défilement des pages et, dans certains cas, saisies dans des formulaires. Ces éléments sont ensuite restitués sous forme de vidéos permettant d'analyser le parcours de l'internaute.

Ces solutions sont notamment utilisées pour détecter et corriger des dysfonctionnements techniques, ou pour optimiser la structure et l'ergonomie d'un service numérique. Elles présentent cependant des risques élevés d'atteinte à la vie privée, en particulier parce qu'elles peuvent conduire à collecter des données personnelles qui ne sont pas nécessaires à l'analyse recherchée.

À qui s'adresse la recommandation ?

La CNIL distingue deux catégories d'acteurs visés par sa recommandation :

• Les fournisseurs d'outils de rejeu de session, qui conçoivent les solutions techniques et définissent les paramétrages et fonctionnalités disponibles.
• Les éditeurs de sites web ou d'applications mobiles, qui déploient ces outils pour analyser les comportements de leurs utilisateurs.

Ces deux catégories ont des responsabilités distinctes mais complémentaires au regard du RGPD, et la recommandation apporte des réponses concrètes à leurs obligations respectives.

Les principales obligations rappelées

La recommandation explicite plusieurs exigences clés. Elle porte notamment sur le respect du principe de minimisation des données, qui impose de ne collecter que les informations strictement nécessaires à la finalité poursuivie. Elle précise également les obligations relatives à l'information des personnes concernées et les conditions dans lesquelles leur consentement doit être recueilli avant le déploiement de ces traceurs.