Outils de rejeu de session : ce que la recommandation de la CNIL du 8 octobre 2026 impose aux sites et applications

Afficher le sommaire Masquer le sommaire

• Une délibération du 8 octobre 2026 adressée aux fournisseurs et aux éditeurs
• Le consentement préalable, sans exemption possible
• Trois finalités admises, le reciblage publicitaire écarté
• Les données à masquer et les collectes à limiter
• Éditeur, fournisseur et contrat : qui répond de l’outil
• Une recommandation préparée depuis février 2026
• Les droits des internautes et ce que le texte laisse ouvert

Une page qui suit chaque mouvement de votre souris, chaque défilement et chaque clic, puis permet à son éditeur de revoir votre visite comme une vidéo : ce n’est pas une hypothèse, c’est le principe des outils de rejeu de session. Selon la Commission nationale de l’informatique et des libertés, ces dispositifs servent à reconstituer le parcours complet de navigation d’un internaute sur un site web ou une application mobile. Ils sont souvent présentés comme de simples aides au diagnostic technique.

La CNIL a publié le 5 novembre 2026 une recommandation qui encadre leur usage, adoptée par la délibération n° 2026-114 du 8 octobre 2026. Elle s’inscrit dans le cadre plus large des règles applicables aux traceurs, ces mécanismes qui lisent ou inscrivent des informations dans votre appareil. Que change ce texte pour les internautes et pour les entreprises qui exploitent un site ou une application, et quelle est sa portée juridique exacte ?

Une délibération du 8 octobre 2026 adressée aux fournisseurs et aux éditeurs

La recommandation est issue de la délibération n° 2026-114 du 8 octobre 2026, référencée au Journal officiel. Elle vise deux catégories d’acteurs : les fournisseurs, qui conçoivent les solutions techniques et en fixent les paramétrages, et les éditeurs qui déploient ces outils sur leurs services pour analyser le parcours de leurs utilisateurs. Une TPE qui ajoute un tel module à sa boutique en ligne relève donc de la seconde catégorie.

À lireHameçonnage : la négligence grave du client ne dispense pas la banque du remboursement immédiat (CJUE, 15 octobre 2026)

Sa portée doit être située avec précision. Une recommandation de la CNIL n’est pas une loi : elle expose la lecture que l’autorité fait des textes en vigueur et les mesures qu’elle attend des organismes contrôlés. L’obligation elle-même découle de l’article 82 de la loi Informatique et Libertés du 6 janvier 1978 et du règlement général sur la protection des données. C’est sur ce socle que repose le point central du texte.

Le consentement préalable, sans exemption possible

La CNIL rappelle que ces outils doivent respecter l’article 82 de la loi Informatique et Libertés, qui soumet au consentement toute lecture ou écriture d’informations dans le terminal de l’utilisateur, sauf exemption. Or, d’après la version adoptée de la recommandation, les finalités du rejeu de session ne sont pas strictement nécessaires à la fourniture du service. Aucune des exemptions prévues par l’article ne s’applique donc.

Concrètement, l’enregistrement ne peut commencer qu’après votre accord. La CNIL demande une information dédiée à ces outils dès le premier niveau de la fenêtre de consentement, sous la forme d’une mention courte, distincte des autres finalités. Le refus ou le retrait doivent être aussi simples que l’acceptation, par exemple depuis la même interface de gestion des cookies.

Votre consentement à l’utilisation d’outils de rejeu de session doit vous être demandé.

Commission nationale de l’informatique et des libertés, fiche d’information aux particuliers sur les outils de rejeu de session, publiée le 5 novembre 2026

Cette exigence prolonge les lignes directrices et la recommandation sur les traceurs adoptées par les délibérations n° 2020-091 et n° 2020-092 du 17 septembre 2020, auxquelles le texte renvoie. Le recueil du consentement suit les mêmes règles que pour les cookies publicitaires ou de mesure d’audience. Reste à savoir à quelles fins un éditeur peut ensuite utiliser les sessions enregistrées.

Trois finalités admises, le reciblage publicitaire écarté

La recommandation retient trois usages légitimes : la détection des erreurs techniques, l’amélioration de l’expérience utilisateur et le support client. Ces finalités doivent être déterminées en amont du déploiement des outils, et non après la collecte des données. Un éditeur ne peut pas enregistrer d’abord et décider ensuite de ce qu’il fera des sessions.

La CNIL précise à l’inverse que l’outil ne devrait pas être utilisé à des fins de reciblage publicitaire. Elle module aussi la durée de conservation selon l’usage : quelques mois pour l’analyse des erreurs et de l’ergonomie, quelques heures après la fin de la session pour le support client. Le texte ne fixe aucun chiffre plus précis, ce qui laisse à chaque responsable le soin de justifier la durée retenue. Les garanties techniques attendues sont, elles, plus détaillées.

Les données à masquer et les collectes à limiter

La partie la plus concrète du texte porte sur la minimisation, principe posé à l’article 5 du RGPD. La CNIL attend des outils plusieurs mesures de protection activées par défaut :

• un masquage par défaut des images, formulaires, champs de texte et champs remplis dynamiquement ;
• le blocage de la collecte des mots de passe et des informations bancaires ;
• le masquage des mouvements de souris dans certaines zones, pour éviter la collecte de codes d’authentification ;
• le masquage du contenu des échanges avec un agent conversationnel ;
• une limitation du nombre de sessions enregistrées, par échantillonnage aléatoire ou par déclenchement sur un événement.

Ces mesures répondent à un risque bien identifié : un outil qui capture tout ce qui s’affiche peut enregistrer, sans que personne l’ait voulu, un numéro de carte ou un code de connexion. Le texte recommande enfin de supprimer rapidement les sessions qui ne sont pas utiles à la finalité annoncée, ce qui conduit à s’interroger sur la répartition des responsabilités.

Éditeur, fournisseur et contrat : qui répond de l’outil

Selon la recommandation, l’éditeur du site ou de l’application est généralement considéré comme responsable du traitement des données collectées. Le fournisseur de l’outil agit comme sous-traitant tant qu’il ne réutilise pas les données pour ses propres besoins. S’il les réutilise avec l’accord de l’éditeur, il devient responsable de ces traitements et responsable conjoint de l’éditeur pour les opérations de lecture et d’écriture, au sens de l’article 26 du RGPD.

À lireCongé supplémentaire de naissance : depuis le 1er novembre 2026, l’employeur le déclare par un formulaire en ligne

Le contrat entre les deux parties doit organiser la preuve du consentement, les audits et la répartition des obligations. La sanction de 7 millions d’euros rendue publique le 29 octobre 2026 contre deux sociétés du groupe Fnac montre l’enjeu : elle visait un traceur maintenu malgré le refus des utilisateurs, et c’est l’éditeur de l’application qui a été sanctionné. La recommandation sur le rejeu de session s’inscrit dans une séquence déjà longue.

Une recommandation préparée depuis février 2026

Le texte publié le 5 novembre 2026 est l’aboutissement d’un travail entamé plusieurs années plus tôt sur les traceurs, dont les principales étapes sont documentées par la CNIL :

1. 4 juillet 2019 : premières lignes directrices sur les cookies et autres traceurs, délibération n° 2019-093 ;
2. 17 septembre 2020 : lignes directrices révisées et recommandation sur les traceurs, délibérations n° 2020-091 et n° 2020-092 ;
3. 25 février 2026 : ouverture de la consultation publique sur le projet de recommandation ;
4. 22 avril 2026 : clôture de la consultation publique ;
5. 8 octobre 2026 : adoption de la recommandation par la délibération n° 2026-114 ;
6. 5 novembre 2026 : publication de la recommandation et d’une fiche destinée aux particuliers.

Moins de six mois séparent ainsi la fin de la consultation de l’adoption du texte, qui a été enrichi par les contributions reçues selon la CNIL. Pour les internautes, ce calendrier débouche sur des droits que la commission détaille dans une fiche distincte.

Les droits des internautes et ce que le texte laisse ouvert

Dans sa fiche publiée le 5 novembre 2026, la CNIL rappelle que vous pouvez refuser ou retirer votre consentement et, si les règles ne sont pas respectées, lui adresser une plainte pouvant déboucher sur un contrôle. Les autres droits prévus par le RGPD, comme l’accès ou l’effacement, restent mobilisables, ainsi que l’a montré la sanction de 300 000 euros prononcée contre Extia pour des demandes d’effacement restées sans réponse.

Plusieurs points demeurent à préciser par la pratique : la durée de conservation exacte, le taux d’échantillonnage acceptable, la manière dont les contrôles intégreront ce nouveau référentiel. La CNIL annonce un webinaire pour accompagner les acteurs, et la conformité des fenêtres de consentement existantes sera le premier chantier pour de nombreux éditeurs. Pour un litige portant sur l’utilisation de données personnelles, l’avocat est le professionnel compétent.