En bref. La CNIL a publié une recommandation sur les outils de rejeu de session (session replay), ces scripts qui enregistrent clics, défilements, mouvements de souris et parfois saisies de formulaire pour reconstituer la navigation d'un utilisateur en vidéo. Elle rappelle que ces outils reposent sur des traceurs et exigent le consentement préalable de l'utilisateur, aucune exemption de l'article 82 de la loi Informatique et Libertés ne s'appliquant. Pour une équipe produit, trois chantiers en découlent : le bandeau de consentement, la définition des finalités avant le déploiement, et le masquage des données non pertinentes, y compris dans les chatbots.
Ce qui a été publié
La CNIL a mis en ligne une recommandation relative aux outils de rejeu de session, accompagnée d'une synthèse des contributions reçues. Le texte a été soumis à consultation publique entre février et mai 2026, après des échanges avec des professionnels et des associations de la société civile. La CNIL annonce un webinaire pour accompagner les acteurs.
La recommandation vise deux catégories d'acteurs :
- les fournisseurs d'outils de rejeu de session, qui conçoivent les solutions et définissent paramétrages et fonctionnalités ;
- les éditeurs de sites web ou d'applications mobiles, qui déploient ces outils pour analyser les parcours de leurs utilisateurs.
Si vous êtes une startup SaaS qui a intégré un script de rejeu dans son front, vous êtes au minimum dans la seconde catégorie. Si vous éditez vous-même un outil d'analytique comportementale, vous êtes probablement dans les deux. La recommandation aide justement à déterminer cette qualification selon le rôle de chacun ; le détail de cette répartition figure dans le texte complet et pas dans la page de présentation que nous avons lue.
Comment fonctionne un outil de rejeu de session
Le principe est simple. Un script chargé dans la page ou un SDK intégré à l'application observe les interactions de l'utilisateur : mouvements de souris, interactions tactiles, clics, défilement et, selon la configuration, saisies dans les formulaires. Ces événements sont envoyés vers un service d'analyse qui les rejoue ensuite sous forme de vidéo du parcours.
Les usages cités par la CNIL sont légitimes : détecter et corriger des dysfonctionnements, optimiser la structure ou l'ergonomie d'un service. Le problème vient de la granularité. Un enregistrement qui capture tout ce qui s'affiche et tout ce qui se tape capte aussi ce qui n'a rien à voir avec l'analyse recherchée. La CNIL parle de « risques élevés d'atteinte à la vie privée », notamment par la collecte de données personnelles non nécessaires.
Deux cas précis sont relevés dans la version finale :
- les mouvements de souris dans certaines zones, qui peuvent conduire à la collecte incidente de codes d'authentification. La CNIL recommande leur masquage dans ces zones. Le texte ne détaille pas le mécanisme dans la page lue ; l'hypothèse la plus évidente est celle d'un clavier virtuel cliquable, où la trajectoire du pointeur trahit le code.
- les chatbots, dont les échanges (questions et réponses) peuvent révéler des données potentiellement sensibles. La CNIL indique que les outils de rejeu devraient permettre d'en masquer le contenu.
Qui est concerné
Toute organisation qui charge un outil de rejeu de session sur un site ou une application accessible à des utilisateurs en France. Côté équipes, le sujet ne relève pas seulement du DPO (délégué à la protection des données) :
- le produit et le design, qui demandent les enregistrements et en fixent l'usage ;
- le front et le mobile, qui intègrent le SDK et posent les attributs de masquage ;
- la sécurité, parce que des enregistrements contenant des saisies sont un stock de données à protéger comme le reste ;
- l'équipe qui opère le chatbot ou l'assistant IA, si l'outil de rejeu tourne aussi sur l'interface de conversation.
Ce que vos équipes doivent vérifier
Les points ci-dessous suivent les axes que la CNIL met en avant. Quand nous ajoutons une méthode de vérification, il s'agit d'une pratique que nous suggérons, pas d'une exigence tirée du texte.
1. Le script ne se charge qu'après consentement
C'est le point le plus net de la recommandation : pas d'exemption, donc consentement préalable, recueilli selon les règles déjà publiées par la CNIL pour les traceurs (cookies). La version finale ajoute une recommandation d'information spécifique sur l'usage de ces outils dès le premier niveau de l'interface de consentement, pour que le consentement soit éclairé. Elle distingue informations de premier et de deuxième niveau et propose des formulations.
Comment vérifier chez vous. Ouvrez votre site dans une session de navigation privée, sans rien accepter, avec l'onglet Réseau des outils de développement ouvert. Filtrez sur le domaine de votre fournisseur de rejeu. Aucune requête ne devrait partir avant l'acceptation, ni après un refus. Refaites le test sur mobile si vous avez une application : un SDK initialisé au lancement de l'application, avant l'écran de consentement, pose la même question. Relisez ensuite votre bandeau : un utilisateur comprend-il, sans cliquer sur « en savoir plus », que sa navigation peut être enregistrée ?
2. Les finalités sont écrites avant la collecte
La CNIL rappelle que les finalités doivent être déterminées, explicites et légitimes, et fixées en amont du déploiement, pas après la collecte. Une formule du type « on enregistre tout, on verra ce qu'on en tire » ne correspond pas à ce cadre.
Comment vérifier chez vous. Cherchez le document qui dit pourquoi l'outil est déployé : correction de bugs sur le tunnel de paiement, test d'un nouvel écran d'accueil, etc. S'il n'existe pas, c'est le premier livrable. Vérifiez que votre registre des traitements mentionne cet usage. Les finalités conditionnent ensuite le reste : pages enregistrées, volume, durée.
3. Le masquage couvre les saisies et les écrans sensibles
La recommandation souligne l'importance d'un outil de masquage permettant d'occulter les données non pertinentes. La page de présentation ne donne pas la liste des champs à masquer ; elle cite explicitement les saisies de formulaires parmi les données collectables, les zones où la souris peut trahir un code d'authentification, et le contenu des chatbots.
Comment vérifier chez vous. La plupart des outils proposent un masquage par défaut des champs de saisie et des attributs ou classes CSS pour masquer d'autres éléments. Trois tests concrets :
- remplissez un formulaire de test (inscription, paiement, profil) avec des valeurs reconnaissables, puis regardez le rejeu : ces valeurs ne devraient apparaître nulle part, ni dans la vidéo ni dans les métadonnées d'événements ;
- repérez les écrans où du texte personnel s'affiche sans être saisi (tableau de bord client, récapitulatif de commande, messagerie) et vérifiez qu'il est masqué aussi, puisque le masquage des seuls champs ne couvre pas l'affichage ;
- listez les écrans d'authentification (mot de passe, code à usage unique, clavier virtuel) et vérifiez que les interactions y sont masquées, mouvements de pointeur compris.
Ajoutez un contrôle dans votre revue de code : tout nouveau composant qui affiche une donnée personnelle doit porter l'attribut de masquage de votre outil. Sans cette règle, le masquage se dégrade à chaque nouvelle fonctionnalité.
4. Le chatbot n'est pas enregistré en clair
Si votre produit embarque un assistant conversationnel, la recommandation vise directement ce cas : l'outil de rejeu devrait permettre de masquer questions et réponses. C'est un point à surveiller pour les équipes qui ont ajouté un assistant IA récemment, souvent dans un composant que la configuration de masquage existante ne couvre pas.
Comment vérifier chez vous. Posez au chatbot une question contenant une valeur fictive identifiable, puis cherchez-la dans le rejeu. Si elle apparaît, ajoutez le conteneur de conversation à la liste masquée, ou excluez cette zone de l'enregistrement. Vérifiez aussi la réponse du modèle, qui peut reformuler une donnée de l'utilisateur.
5. Le volume et les identifiants sont limités
La CNIL recommande de limiter le nombre de sessions collectées en fonction des finalités et de limiter le recours aux identifiants.
Comment vérifier chez vous. Regardez votre taux d'échantillonnage : 100 % des sessions est-il justifié par la finalité écrite au point 2 ? Vérifiez ensuite si votre intégration transmet un identifiant utilisateur, un e-mail ou un identifiant client au fournisseur (souvent via une fonction d'identification appelée après la connexion). Si cet appel n'est pas nécessaire à la finalité, retirez-le.
Ce que la sécurité ajoute
La page de la CNIL ne parle pas de sécurité des enregistrements. Notre lecture défensive : un stock de sessions rejouables est une donnée de production. Vérifiez qui y a accès dans l'outil (comptes nominatifs, authentification forte, rôles), la durée de conservation configurée, la localisation des données chez le fournisseur, et l'existence d'un accord de sous-traitance. Un compte partagé « produit » sur l'outil de rejeu donne à chaque détenteur une vue sur des parcours réels d'utilisateurs.
FAQ
Le rejeu de session est-il interdit par la CNIL ? Non. La recommandation précise les conditions dans lesquelles ces outils peuvent être déployés : consentement préalable, finalités définies en amont, mesures techniques comme le masquage et la limitation des sessions collectées.
Peut-on activer un outil de rejeu de session sans consentement, au titre de la mesure d'audience exemptée ? Selon la CNIL, non : aucune exemption de l'article 82 de la loi Informatique et Libertés ne s'applique à ces outils. Le consentement préalable est requis.
Faut-il masquer les champs de formulaire dans les enregistrements ? La CNIL insiste sur un outil de masquage qui occulte les données non pertinentes, et cite les saisies de formulaires parmi les données que ces outils peuvent capter. En pratique, masquer les saisies par défaut et lever le masquage seulement là où la finalité l'exige est la configuration la plus simple à défendre.
Les conversations avec un chatbot sont-elles concernées ? Oui. La recommandation indique que les outils de rejeu utilisés sur des chatbots devraient permettre de masquer le contenu des discussions, questions comme réponses.
Sources
- CNIL, « Rejeu de session : la CNIL publie sa recommandation » : https://www.cnil.fr/fr/rejeu-de-session-recommandation
- La recommandation complète et la synthèse des contributions sont accessibles depuis cette page.
WeeSec accompagne les équipes produit et sécurité de startups et scale-ups sur la conformité RGPD de leurs outils et de leurs assistants IA. En savoir plus sur notre accompagnement RGPD.