Actualité tech : la CNIL précise les règles du rejeu de session
Imaginez une équipe produit penchée sur un écran, regardant la vidéo d’un internaute qui hésite, clique dans le vide, revient en arrière puis abandonne son panier. Pour elle, c’est une mine d’informations. Pour la personne enregistrée, c’est une présence invisible qui a observé chacun de ses gestes. Dans cette actualité tech, la CNIL publie une recommandation qui cherche à concilier ces deux réalités : elle encadre les outils de rejeu de session, utilisés par des sites web et des applications mobiles pour analyser le parcours de leurs utilisateurs.
Le sujet dépasse largement les grandes plateformes. Le digital est devenu un terrain où startups, entrepreneurs, éditeurs de services et prestataires intègrent très tôt des outils de mesure comportementale. Que l’on soit une jeune start up ou un acteur installé de la haute technologie, la question est la même : que capte réellement l’outil, pourquoi ces données sont-elles nécessaires, et comment les personnes en sont-elles informées ? C’est à ces interrogations que la recommandation apporte des repères juridiques et techniques.
Quand l’analyse de parcours devient une loupe sur la vie privée
Ce que l’outil enregistre vraiment
Un outil de rejeu de session fonctionne avec des traceurs. Il enregistre ou reconstitue visuellement une partie, voire la totalité, du parcours d’un internaute sur un service numérique. Sont concernés les mouvements de souris, les interactions tactiles, les clics et le défilement des pages. Selon les fonctionnalités activées, il peut aussi capter des saisies dans des formulaires. L’éditeur peut ensuite regarder le parcours sous la forme d’une séquence vidéo, comme s’il se tenait derrière l’épaule de l’utilisateur.
L’intérêt est réel. Cette restitution aide à repérer un bouton difficile à trouver, un formulaire qui bloque ou une fonctionnalité qui se comporte mal sur certains terminaux. Dans un service consulté depuis des ordinateurs, des mobiles ou d’autres appareils connectés, elle permet d’améliorer l’ergonomie et d’aider les équipes techniques à distinguer un problème d’usage d’un incident logiciel. Dans l’univers du business en ligne, où chaque friction peut coûter un client, on comprend l’attrait de ces outils.
Pourquoi le risque dépasse la simple statistique
Mais une captation étendue peut emporter bien plus que les signaux utiles. Une saisie dans un champ, un identifiant affiché à l’écran, le contenu d’une conversation ou un mouvement de souris près d’une zone sensible peuvent révéler des informations personnelles. La collecte peut alors dépasser l’objectif d’optimisation initial et conduire à recueillir des données qui n’étaient pas nécessaires à l’analyse recherchée.
Le danger ne vient pas forcément d’une intention malveillante. Une configuration trop large ou un masquage incomplet suffisent à enregistrer ce qui n’aurait jamais dû l’être. C’est ce qui distingue le rejeu d’une statistique agrégée sur les visites : il rend potentiellement observable une séquence d’actions liée à une session, parfois à un compte. Plus la captation est détaillée et plus elle se rattache facilement à un identifiant, plus il faut s’interroger sur la nécessité de chaque donnée, sur les accès aux enregistrements et sur leur durée de conservation.
Un outil de rejeu n’est pas conforme parce qu’il vient d’un prestataire reconnu : ce sont les finalités, les réglages, l’information et le consentement qui font la différence.
Une recommandation pensée pour deux publics
La recommandation s’adresse à deux catégories d’acteurs. D’un côté, les fournisseurs d’outils de rejeu, qui conçoivent les solutions techniques et définissent les paramétrages et fonctionnalités. De l’autre, les éditeurs de sites web ou d’applications mobiles, qui déploient ces outils pour analyser les parcours de leurs utilisateurs. La conformité se joue donc à deux endroits : dans la conception de l’outil et dans la manière dont il est configuré, puis exploité.
Le texte apporte des réponses concrètes aux enjeux juridiques et techniques de ces dispositifs. Il aide fournisseurs et éditeurs à respecter le principe de minimisation des données du RGPD, c’est-à-dire ne traiter que les informations adéquates, pertinentes et nécessaires, et à déterminer les conditions dans lesquelles ces solutions peuvent être déployées. Il explicite aussi les obligations d’information des personnes, la manière de recueillir leur consentement, et propose des mesures techniques et organisationnelles pour s’assurer du respect de la règlementation.
Cette démarche s’inscrit dans une actualité où les usages technologiques sont de plus en plus instrumentés, de l’analyse d’un site aux services mobiles. Pour suivre d’autres décisions qui façonnent le secteur, vous pouvez consulter notre rubrique actualité tech consacrée aux enjeux européens.
Actualité tech : le consentement préalable est central
Un article 82 sans exemption possible
La CNIL rappelle que les outils de rejeu fonctionnent avec des traceurs et relèvent à ce titre de l’article 82 de la loi Informatique et Libertés. Selon la recommandation, aucune des exemptions prévues par cet article ne s’applique à ces outils. Le consentement préalable des personnes est donc nécessaire avant leur mise en œuvre. L’intérêt d’améliorer une interface, aussi légitime soit-il pour l’éditeur, ne suffit pas à écarter cette exigence.
Le recueil doit suivre les règles déjà exposées par la CNIL pour les traceurs, notamment les cookies. Le choix doit être éclairé et exprimé avant le dépôt ou la lecture des traceurs. En pratique, une interface ne devrait pas rendre le refus plus difficile que l’acceptation, ni laisser croire que la simple navigation vaut accord. La personne doit comprendre ce à quoi elle consent et pouvoir revenir sur sa décision selon les modalités applicables.
Une information visible dès le premier niveau
La recommandation insiste sur le contenu de l’information. Elle distingue les éléments de premier niveau, visibles immédiatement, de ceux accessibles à un second niveau. La version définitive demande que l’utilisation d’outils de rejeu soit indiquée de manière spécifique dès le premier niveau, afin que l’accord soit donné en connaissance de cause. Elle propose également des formulations pour présenter cette information de façon compréhensible.
Pour les équipes produit, cela change la conception des parcours. Une mention générale sur les cookies ou les outils de mesure ne doit pas masquer la nature particulière d’un dispositif capable de reconstituer des interactions. Les écrans suivants peuvent détailler les objectifs, les catégories de données et les modalités de choix, mais l’essentiel ne doit pas être relégué derrière plusieurs clics.
Définir l’objectif avant d’appuyer sur « enregistrer »
Les outils de rejeu doivent être utilisés pour des finalités déterminées, explicites et légitimes, fixées en amont du déploiement et non après la collecte. L’éditeur doit donc savoir à l’avance ce qu’il cherche à comprendre : par exemple, identifier un blocage précis dans un parcours ou diagnostiquer un dysfonctionnement. Il ne s’agit pas de collecter largement des sessions puis de chercher, après coup, ce que l’on pourrait en tirer. Cette discipline évite que l’outil ne devienne un dispositif général d’observation des comportements.
La recommandation aide aussi les acteurs à déterminer leur qualification selon leur rôle et le cadre légal applicable. L’éditeur qui choisit les objectifs et organise l’analyse peut être responsable du traitement. Le fournisseur peut agir comme sous-traitant lorsqu’il traite les données sur instruction et pour le compte de l’éditeur. Mais les responsabilités ne se déduisent pas seulement de l’intitulé d’un contrat : elles dépendent des décisions réellement prises par chacun, notamment si le fournisseur détermine lui-même certains usages ou moyens essentiels.
Cette analyse doit se traduire par une répartition claire des tâches. Qui choisit les paramètres ? Qui peut accéder aux sessions ? Qui traite une demande d’exercice de droits ? Qui vérifie l’effacement ? Une entreprise qui s’appuie sur un outil externe reste tenue de contrôler qu’il est configuré conformément à ses propres finalités, y compris lorsqu’il s’agit d’une solution intégrée en quelques minutes par une jeune équipe.
Masquer, échantillonner, limiter : la boîte à outils de la minimisation
La recommandation propose une série de mesures techniques et opérationnelles, adaptables aux finalités poursuivies, pour s’assurer de la conformité aux principes clés du RGPD. Elle souligne trois leviers majeurs : mettre en place un outil de masquage pour occulter les données non pertinentes, limiter le nombre de sessions collectées en fonction des finalités, et limiter le recours aux identifiants. Le tableau ci-dessous résume la logique de chacun.
| Levier | Risque visé | Logique à appliquer |
|---|---|---|
| Masquage | Collecte de données non pertinentes, comme des saisies de formulaires | Occulter les champs et zones inutiles à l’analyse, puis vérifier le résultat en conditions réelles |
| Limitation du nombre de sessions | Enregistrement systématique de toutes les visites | Retenir un volume proportionné à la question posée et pouvoir le justifier |
| Limitation des identifiants | Rattachement d’une session à un compte ou à une personne | Éviter ou réduire les éléments permettant ce rapprochement quand l’analyse peut s’en passer |
Le masquage, à vérifier plutôt qu’à supposer
Le masquage est le premier réflexe. Les champs ou zones sans utilité pour l’analyse doivent être occultés, et les informations saisies dans des formulaires ne devraient pas être lisibles dans les enregistrements lorsque leur contenu n’est pas nécessaire. Un paramètre activé ne garantit pas, à lui seul, un résultat satisfaisant : le masquage doit être contrôlé dans les conditions réelles d’utilisation.
La CNIL attire aussi l’attention sur les mouvements de souris. Dans certaines zones, leur captation devrait être masquée afin qu’un déplacement ne révèle pas, par accident, un code d’authentification, par exemple près d’une zone de connexion. Ce détail rappelle que la minimisation ne concerne pas seulement le texte visible : les traces d’interaction peuvent, elles aussi, exposer des informations que personne n’avait prévu de collecter.
Échantillonner et réduire les identifiants
Enregistrer toutes les visites n’est pas automatiquement justifié pour répondre à une question ciblée. Un échantillonnage proportionné réduit l’exposition des utilisateurs tout en fournissant assez d’éléments pour diagnostiquer un problème, à condition que l’équipe puisse expliquer pourquoi le volume retenu est nécessaire.
Quant aux identifiants, lorsque l’analyse peut se faire sans relier une session à une personne identifiable, mieux vaut ne pas créer ce lien. Restreindre les accès aux enregistrements et organiser leur conservation en cohérence avec le besoin complètent ce dispositif. Ces mesures de gouvernance ne remplacent pas les réglages techniques : elles les prolongent.
Chatbots : quand le dialogue ne doit pas être rejoué
La recommandation couvre également les outils de rejeu employés dans des chatbots, ou agents conversationnels. Dans ce contexte, les interactions prennent la forme de questions et de réponses, mais leur affichage dans une session peut exposer des éléments personnels ou sensibles. Une personne peut décrire une situation privée sans imaginer que l’échange sera rejoué par une équipe d’analyse.
Les outils devraient donc permettre de masquer le contenu des discussions, questions comme réponses. Le principe vaut même lorsque le service repose sur une technologie d’intelligence artificielle : observer la qualité d’un parcours n’exige pas de conserver les propos échangés. Les entreprises qui développent des services conversationnels ont donc intérêt à séparer clairement la mesure de l’ergonomie et l’accès au contenu des conversations. Dans un paysage où l’IA artificielle s’invite dans de plus en plus d’interfaces, cette frontière devient un réflexe de conception.
Le sujet rejoint les débats sur les systèmes capables d’enchaîner des actions ou de dialoguer avec des outils numériques. Pour explorer cette autre facette des innovations logicielles, retrouvez notre actualité tech sur ce que recouvre l’IA agentique. Dans tous ces usages, la promesse fonctionnelle ne dispense jamais de définir les données réellement nécessaires.
Une version finale nourrie par la consultation publique
Avant sa publication, la recommandation a fait l’objet d’échanges avec des professionnels et des associations représentatives de la société civile. Elle a également été soumise à consultation publique entre février et mai 2026. Les contributions reçues ont permis à la CNIL de mieux comprendre les usages, les enjeux de ces outils et les difficultés de mise en œuvre des mesures.
Plusieurs clarifications en découlent. Le contenu de l’information et sa présentation en plusieurs niveaux ont été précisés, avec une mention spécifique du rejeu dès le premier écran de consentement. Le masquage des mouvements de souris dans certaines zones est mieux explicité, pour limiter le risque de collecte accidentelle de codes d’authentification. Enfin, les recommandations sur les chatbots soulignent la nécessité de masquer les questions et les réponses.
La CNIL prévoit en outre d’accompagner les professionnels, notamment par un webinaire, afin de faciliter l’appropriation des règles et des mesures proposées. Ce soutien compte pour un écosystème large, où cohabitent des structures de toutes tailles, des jeunes pousses de la French Tech aux équipes d’entreprises plus établies, souvent en lien avec un hub d’innovation ou un prestataire externe.
Par où commencer dans une équipe produit
Pour les responsables de services numériques, la démarche la plus efficace est souvent la plus simple. Il s’agit d’abord de dresser l’inventaire des outils de rejeu actifs, des finalités associées et des zones réellement enregistrées. Il faut ensuite confronter les réglages au parcours réel, vérifier les écrans de consentement, contrôler le masquage dans des conditions proches de celles des utilisateurs, puis clarifier les responsabilités entre éditeur et fournisseur. Cet exercice vaut aussi pour les services de commerce en ligne, les applications mobiles et, plus largement, tout produit de la tech qui analyse des comportements, qu’il tourne sur des objets connectés, dans un environnement de réalité virtuelle ou dans une interface pilotée par des robots conversationnels.
La recommandation ne condamne pas l’analyse des parcours : elle rappelle qu’elle doit être ciblée et maîtrisée. Dans une high tech où l’on mesure presque tout, de la Silicon Valley aux plus petites structures, la maturité consiste aussi à savoir ce que l’on choisit de ne pas enregistrer. Un outil bien paramétré, un consentement réellement éclairé et un masquage vérifié rendent l’analyse plus responsable, et plus défendable auprès des utilisateurs comme des équipes qui la mettent en œuvre. À l’heure où la confiance digitale devient un avantage concurrentiel, observer sans surveiller est sans doute la meilleure façon de faire progresser un produit.
