La CNIL a publié le 5 novembre sa recommandation sur le rejeu de session. Ces outils exigent le consentement préalable des internautes et un masquage des données sensibles.
La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session. Le texte est adopté par la délibération n° 2026-114 du 8 octobre 2026, parue au Journal officiel du 5 novembre. Il s’adresse aux fournisseurs de ces outils et aux éditeurs de sites web ou d’applications mobiles qui les utilisent.
Ces outils enregistrent le parcours complet d’un internaute : mouvements de souris, interactions tactiles, clics, défilement et parfois saisies dans les formulaires. Les éditeurs s’en servent pour corriger des dysfonctionnements ou améliorer l’ergonomie. La CNIL juge les risques pour la vie privée élevés.
Le rejeu de session fonctionne avec des traceurs. Il relève donc de l’article 82 de la loi Informatique et Libertés, sans qu’aucune exemption ne s’applique. Le consentement préalable de l’internaute est obligatoire, selon les mêmes règles que pour les cookies. Les finalités doivent être fixées avant le déploiement, et non après la collecte. Au nom de la minimisation, le responsable du traitement doit préférer un outil moins intrusif s’il atteint le même objectif. La délibération écarte ainsi l’usage du rejeu de session pour le reciblage publicitaire, en citant les cookies de relance « panier » comme alternative.
La recommandation liste des mesures techniques : outil de masquage des données non pertinentes, nombre limité de sessions collectées, recours réduit aux identifiants. La version finale ajoute le masquage des mouvements de souris dans certaines zones, pour éviter la capture de codes d’authentification. Le contenu des échanges avec les agents conversationnels devrait aussi pouvoir être masqué. Le fournisseur devrait permettre de régler des durées de conservation et de supprimer une session isolée. Le projet avait été soumis à consultation publique de février à mai 2026.
La version définitive distingue les informations de premier et de deuxième niveau dans les interfaces de recueil du consentement, et propose des formulations types. Elle demande une mention spécifique du rejeu de session dès le premier niveau. Elle aide aussi à qualifier les rôles : dans l’exemple donné par la délibération, l’éditeur qui utilise une solution en ligne pour mesurer son audience est responsable du traitement et son fournisseur agit en sous-traitant.
Moteurs de réservation, billetteries en ligne et sites d’offices de tourisme peuvent recourir à ces outils d’analyse. Trois vérifications s’imposent : la présence du rejeu de session dans le bandeau de consentement dès le premier niveau d’information, le masquage des formulaires de paiement et des chatbots, et le contrat avec le fournisseur. La CNIL annonce un webinaire pour accompagner les professionnels.
Sources :
CNIL, « Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs », 5 novembre 2026
Légifrance, délibération n° 2026-114 du 8 octobre 2026 portant adoption d’une recommandation concernant les outils de rejeu de session, JORF n° 0259 du 5 novembre 2026
