Par une délibération n° 2026-114 du 8 octobre 2026, publiée au Journal officiel du 5 novembre 2026, la CNIL adopte une recommandation concernant les outils de rejeu de session. Ces outils, intégrés aux sites et applications, capturent et permettent de rejouer le parcours complet d'un utilisateur : clics, mouvements de souris, défilements et saisies. Largement utilisés par les équipes produit et support, y compris sur les téléservices publics, ils soulèvent des difficultés au regard de l'article 82 de la loi Informatique et Libertés et du RGPD. La recommandation, que la CNIL présente comme n'étant ni prescriptive ni exhaustive, fixe un référentiel de conformité que les éditeurs et leurs fournisseurs ont intérêt à suivre, puisque toute mesure alternative devra être démontrée comme équivalente. Elle intervient dans le prolongement direct de la sanction prononcée le 22 octobre 2026 contre Fnac Darty pour un traceur d'application mobile.
Des traceurs soumis au consentement, et des données identifiantes soumises au RGPD
La CNIL qualifie d'abord les opérations techniques : les outils de rejeu impliquent des opérations de lecture et d'écriture dans le terminal, soumises à l'article 82 de la loi du 6 janvier 1978. Les trois finalités identifiées, détection des erreurs techniques, amélioration de l'expérience utilisateur et support client, ne sont ni exclusivement destinées à la communication électronique ni strictement nécessaires au service demandé ; elles requièrent donc le consentement préalable. Les enregistrements qui reconstituent des sessions individuelles constituent ensuite des données identifiantes, et les traitements subséquents relèvent du RGPD, le consentement étant généralement la base légale appropriée. Les finalités doivent être définies avant le déploiement et ne peuvent être déterminées après la collecte ; l'usage à des fins de reciblage publicitaire est déconseillé, et toute réutilisation pour une autre finalité exige un nouveau consentement, sauf anonymisation.
Une information spécifique dès le premier niveau de la plateforme de gestion du consentement
La recommandation demande une information propre aux outils de rejeu, présentée dès le premier niveau de la plateforme de gestion du consentement et distinctement des autres finalités, afin que l'utilisateur comprenne qu'il consent à l'enregistrement de sa navigation et non à un simple cookie de mesure. Le consentement peut être recueilli en même temps que celui des autres traceurs, mais il doit pouvoir être prouvé ; en cas de responsabilité conjointe entre l'éditeur et le fournisseur, le contrat doit prévoir les mécanismes de preuve, leur conservation et des audits réguliers. Sur la répartition des rôles, l'éditeur est en principe responsable du traitement et le fournisseur sous-traitant ; lorsque le fournisseur utilise les données pour ses propres finalités avec l'accord de l'éditeur, il devient responsable de ces traitements et responsable conjoint de la collecte, par application de la jurisprudence Fashion ID de la Cour de justice. Le retrait du consentement doit être aussi simple que son recueil et entraîner l'arrêt des lectures et la suppression des données, y compris chez le sous-traitant.
Minimisation, masquage par défaut, habilitations et durées de conservation courtes
La CNIL décline des mesures techniques codifiées. La collecte des sessions doit être limitée, par échantillonnage aléatoire, par déclenchement sur un événement défini ou par suppression rapide des sessions inutiles. Les champs, formulaires, images et contenus sensibles doivent être masqués par défaut, avec trois options graduées : démasquage encadré, mise à disposition sur demande motivée, ou absence de collecte. Les identifiants doivent être aléatoires et de courte durée, pseudonymes ou limités à un domaine. La collecte des mots de passe, des informations bancaires et des données soumises à des conditions particulières doit être bloquée, et une politique d'habilitation par profils doit restreindre l'accès aux enregistrements. La durée de conservation doit être configurable et proportionnée : quelques mois pour la détection d'erreurs et l'expérience utilisateur, quelques heures après la fin de la session pour le support. Les fournisseurs sont invités à proposer un paramétrage par défaut le plus protecteur possible et des fonctions de suppression de sessions individuelles.
Ce que la recommandation induit pour les administrations et opérateurs de téléservices
Les collectivités, établissements publics et opérateurs qui exploitent des téléservices, des portails usagers ou des applications de démarches en ligne utilisent fréquemment ces outils pour diagnostiquer les abandons de parcours. La recommandation impose une revue immédiate : inventaire des outils de rejeu déployés, vérification que leur activation est subordonnée à un consentement spécifique et préalable, mise à jour de la bannière de consentement et de la politique de confidentialité, paramétrage du masquage par défaut des champs de formulaire, qui contiennent souvent des données d'état civil, de santé ou de situation sociale, et fixation de durées de conservation conformes aux ordres de grandeur indiqués. Les contrats avec les fournisseurs doivent être relus au regard de la qualification de sous-traitant ou de responsable conjoint, et des clauses de preuve du consentement et d'audit. L'analyse d'impact relative à la protection des données devient difficile à éviter pour les téléservices traitant des données sensibles ou concernant des personnes vulnérables. Enfin, la recommandation rappelle que la CNIL contrôle ces outils comme n'importe quel traceur, et que l'affaire Fnac montre le niveau de sanction encouru lorsque le refus de l'utilisateur n'est pas respecté.
Références : CNIL, délibération n° 2026-114 du 8 octobre 2026 portant adoption d'une recommandation concernant les outils de rejeu de session, JORF n° 0259 du 5 novembre 2026 ; article 82 de la loi n° 78-17 du 6 janvier 1978 ; règlement (UE) 2016/679 du 27 avril 2016 ; CJUE, 29 juillet 2019, Fashion ID, C-40/17 ; CNIL, délibération SAN-2026-015 du 22 octobre 2026.
