La CNIL a publié le 5 novembre 2026 une recommandation destinée aux acteurs utilisant des « outils de rejeu de session » (ou « session replay »). Ces outils peuvent enregistrer mouvements de souris, clics, défilements et parfois des saisies. Voici, en langage simple, ce que cela signifie pour vous et ce que vous pouvez faire dès aujourd’hui.
Qu’est‑ce qu’un outil de « rejeu de session » ?
Un outil de rejeu de session enregistre ce que fait un visiteur sur une page : où il clique, comment il fait défiler la page, parfois ce qu’il tape dans les formulaires. L’objectif des sites peut être légitime (améliorer l’ergonomie), mais ces enregistrements peuvent aussi capturer des données sensibles par inadvertance.
Quels risques pour la vie privée ?
- Fuite d’informations sensibles : champs de mot de passe, données bancaires ou messages privés dans des fenêtres de chat peuvent être enregistrés si l’outil n’est pas configuré pour les masquer.
- Profilage et traçage : les enregistrements peuvent être liés à un identifiant qui suit votre navigation sur plusieurs visites ou sites.
- Conservation inutile : des sessions conservées trop longtemps augmentent le risque en cas de fuite ou d’accès non autorisé.
Que dit la CNIL (points essentiels) ?
- Ces outils sont soumis aux règles sur les traceurs : les sites doivent informer clairement et, lorsque nécessaire, obtenir votre consentement avant de charger des outils non essentiels.
- Les opérateurs doivent mettre en place des mesures techniques : omission/masquage des données sensibles, limitations sur la durée et le périmètre d’enregistrement.
- La recommandation demande aussi des contrôles et garanties de la part des fournisseurs d’outils pour éviter les usages abusifs.
Source officielle : CNIL — Rejeu de session : recommandation (5/11/2026).
6 actions simples pour vous protéger
- Lisez l’avis de confidentialité et la bannière de cookies : si un site charge des outils de « session replay », il doit l’indiquer et vous proposer de refuser les traceurs non essentiels.
- Refusez les traceurs non essentiels via le bandeau de cookies si vous n’avez pas confiance ou si l’outil n’est pas nécessaire au service que vous utilisez.
- Évitez de saisir d’informations sensibles sur des pages non sécurisées (page sans cadenas HTTPS ou sur un appareil public). Même si le site affirme masquer les champs, privilégiez la prudence.
- Effacez cookies et données de site régulièrement dans votre navigateur pour limiter le lien entre vos visites successives.
- Signalez les pratiques douteuses : si un site enregistre des données sensibles ou charge des outils sans information/consentement clairs, vous pouvez le signaler à la CNIL.
- Utilisez des outils de protection (extensions de navigateur anti‑traçage ou réglages de confidentialité) pour bloquer des enregistreurs connus lorsque vous naviguez.
Que peut faire la CNIL si vos droits ne sont pas respectés ?
La recommandation publiée est un guide pour les acteurs. Si un site ne respecte pas les règles (pas d’information, consentement non obtenu, enregistrement de données sensibles), vous pouvez déposer un signalement auprès de la CNIL. La recommandation clarifie les attentes mais n’est pas une sanction automatique : la CNIL peut enquêter et prendre des mesures selon les cas.
Ce que cela change pour vous, au quotidien
La recommandation renforce votre droit à la transparence : les sites doivent mieux informer et vous donner le choix. Concrètement, retenez trois gestes utiles : vérifier la bannière de cookies, refuser les traceurs non essentiels et signaler les enregistrements problématiques à la CNIL.
Pour en savoir plus (ressources)
- Texte de la recommandation de la CNIL (5/11/2026) — source officielle.
- Article de relais documentaire — compte rendu de la publication.
