Checklist rejeu de session CNIL : consentement, masquage et conservation, finalité par finalité

Le rejeu de session enregistre ce qu'un visiteur a réellement fait sur votre page : mouvements de souris, clics, défilement, saisies. Le 8 octobre 2026, la CNIL a adopté la délibération 2026-114, sa recommandation sur les outils de rejeu de session, publiée le 5 novembre 2026. Elle s'applique à tout site ou application qui rejoue les sessions de visiteurs situés dans l'UE. Cette page transforme la recommandation en checklist à remettre à qui installe ou vérifie un tel outil : votre agence, votre DPO ou vous-même.

Ceci est une lecture factuelle du texte de la CNIL, pas un avis juridique. La CNIL l'affirme et nous le répétons : le rejeu de session n'est pas exempté des règles de consentement. Savoir si et comment votre site enregistre des sessions est votre décision, à prendre avec votre propre conseiller juridique. Rien ici ne promet une conformité, ni pour nous, ni pour vous.

Dernière mise à jour: 13 novembre 2026

Ce que demande la recommandation CNIL

Voici les exigences qui comptent pour quiconque installe ou vérifie un outil de rejeu de session, lues dans la recommandation elle-même :

  • Un consentement préalable, sans exemption. Le rejeu de session lit et écrit des informations dans le terminal du visiteur : c'est un traceur au sens de l'article 82 de la loi Informatique et Libertés (et de l'ePrivacy). La CNIL indique qu'aucune exemption ne s'applique, le consentement doit donc précéder le démarrage du rejeu.
  • Des finalités décidées avant le déploiement. Vous choisissez d'abord les finalités, par écrit, et l'outil ne doit pas servir à autre chose. La recommandation nomme trois finalités acceptables : détection et compréhension des erreurs ou problèmes techniques, amélioration de l'expérience utilisateur, et support et assistance client.
  • Un consentement recueilli via une plateforme de gestion du consentement (CMP) mise à jour. Votre outil de cookies existant convient, mais son premier niveau doit mentionner le rejeu de session séparément et décrire les finalités comme ce que le rejeu fait réellement.
  • Un retrait effectif. Arrêter doit réellement arrêter la capture, et les enregistrements déjà pris doivent être supprimés quand aucune autre base légale ne les justifie.
  • Des réglages protecteurs par défaut. L'article 25 du RGPD : la configuration la plus protectrice doit être celle livrée par défaut, pas celle à laquelle on adhère à la main.
  • Des mesures adaptées à la finalité. L'annexe de la recommandation donne une matrice par finalité (échantillonnage, masquage, identifiants, conservation), répartie entre erreurs techniques, UX et support. Utilisez la matrice pour les finalités choisies ; le reste de cette page la suit.

Le texte CMP : ce qu'il faut demander à votre plateforme de consentement

La CNIL attend que chaque finalité apparaisse au premier niveau de la CMP sous forme d'intitulé court, avec un descriptif plus détaillé au deuxième niveau, et une mention distincte au premier niveau indiquant que le rejeu de session est utilisé. La recommandation donne son propre exemple de formulation, cité ci-dessous (en français), avec une traduction anglaise simple. Le texte cité est l'exemple de la CNIL ; ce n'est pas un avis juridique et nous ne recommandons pas une phrase plutôt qu'une autre.

Premier niveau : un intitulé court par finalité, plus une mention rejeu de session distincte

La CNIL demande que chaque finalité soit présentée sous forme d'intitulé court au premier niveau et décrite plus en détail au deuxième, et que le rejeu de session bénéficie d'une mention courte et explicite, présentée séparément des finalités, car la plupart des visiteurs ignorent l'existence de ces outils. Les intitulés d'exemple de la recommandation sont « Détection et compréhension des erreurs ou problèmes techniques », « Amélioration de l'expérience utilisateur (« UX ») » et « Support et assistance pour gérer les demandes clients ».

Finalité 1 : détection et compréhension des erreurs ou problèmes techniques

Exemple CNIL, en français : « [Nom de l'éditeur] enregistre et visualise vos actions pendant votre navigation pour résoudre d'éventuels problèmes techniques. »

Traduction anglaise : « [Publisher] records and reviews your actions while you browse, so that possible technical problems can be fixed. »

Finalité 2 : amélioration de l'expérience utilisateur (UX)

Exemple CNIL, en français : « [Nom de l'éditeur] enregistre et visualise vos actions pendant votre navigation pour identifier les difficultés rencontrées et améliorer la navigation et l'ergonomie du site [ou de l'application]. »

Traduction anglaise : « [Publisher] records and reviews your actions while you browse, to identify difficulties and improve how easy the site [or app] is to navigate and use. »

Finalité 3 : support et assistance client

Exemple CNIL, en français : « [Nom de l'éditeur] enregistre vos parcours de navigation et visualise la ou les session(s) de certains utilisateurs afin d'identifier les problèmes et répondre aux demandes adressées aux équipes de [Nom de l'éditeur]. »

Traduction anglaise : « [Publisher] records your browsing paths and reviews the session(s) of certain users, so that problems can be identified and requests sent to [Publisher]'s teams can be answered. »

La mention rejeu de session au premier niveau

Séparément de la liste des finalités, le premier niveau doit porter une phrase courte et explicite indiquant que le rejeu de session est utilisé. La CNIL n'impose pas de phrase. Un exemple simple, dans le même esprit : « Nous enregistrons un échantillon de sessions de navigation pour comprendre les erreurs et améliorer le site. Vous pouvez refuser ou retirer votre consentement à tout moment. » Présentez votre propre phrase comme votre formulation d'éditeur, pas comme un texte de la CNIL. Pour les sites Hitsteps, rappelez-vous que le consentement détermine ce que révèle un rejeu, pas si l'enregistrement a lieu : un refus ou un retrait fait passer la visite à l'enregistrement masqué, et l'enregistrement ne s'arrête que par la page d'opt-out du visiteur, Do Not Track, ou les pages et adresses IP exclues.

Le retrait doit être aussi simple que l'acceptation, et la capture doit réellement cesser en cas de retrait. Demandez à votre CMP de relier refus et retrait à l'outil d'enregistrement, et de pouvoir prouver que le consentement a été recueilli.

Checklist de masquage : ce que le rejeu n'a pas besoin de voir

La CNIL liste les catégories à masquer par défaut (mesure M0 de son annexe) : images, formulaires, champs de texte, champs remplis dynamiquement comme les informations de compte, mouvements de souris et clics sur les claviers numériques, et contenus des échanges avec des agents conversationnels. Le masquage doit s'appliquer par défaut avant toute configuration. Parcourez cette liste pour votre site :

  • Images, formulaires et champs de texte de la page, masqués par défaut.
  • Les champs remplis dynamiquement, par exemple les données de compte qui apparaissent quand un visiteur se connecte.
  • Les clics et mouvements de souris sur les claviers numériques, pour qu'un code PIN ou un code de carte ne puisse pas être relu dans le rejeu.
  • Les conversations avec un chatbot et les contenus de iframes tiers où le visiteur peut saisir du texte ou où des données personnelles apparaissent.
  • Les mots de passe et les informations de paiement, toujours exclus, ainsi que toute autre donnée sensible que votre site collecte.

Où se situe Hitsteps sur le masquage

  • Le masquage se fait dans le navigateur du visiteur avant que quoi que ce soit ne soit stocké. Le niveau par défaut, Protégé, masque le texte de la page ; des exceptions de texte visible peuvent révéler un texte choisi, et Flexible et Uncover en révèlent davantage.
  • Les mots de passe et les informations de paiement restent toujours masqués, quel que soit le niveau choisi pour un site.
  • Vous pouvez aussi masquer ou bloquer des éléments précis de la page et exclure des pages et des adresses IP dans les réglages Experience du site. Le masquage de pointeur par zone n'est pas disponible aujourd'hui : excluez de l'enregistrement les pages avec clavier numérique ou saisie de code PIN. Pour les widgets de chat, vérifiez un enregistrement de test, puis bloquez le widget ou excluez la page si le contenu du chat apparaît.

Checklist de conservation : combien de temps garder les rejeux

La CNIL lie la durée de conservation à la finalité : quelques mois pour les erreurs techniques et l'UX, et seulement quelques heures après la fin de la session pour le support client. Celui qui vérifie l'outil doit confronter la durée réglée à la finalité choisie :

  • Erreurs techniques et UX : conserver quelques mois au maximum, pour corriger les problèmes de la version actuelle du site, et supprimer les sessions qui ne sont plus utiles.
  • Support client : quelques heures après la session, car l'enregistrement existe pour répondre à une demande précise. Si le réglage le plus court de l'outil dépasse cette durée, l'outil ne doit pas être utilisé pour la finalité de support.
  • Suppression à la demande et au retrait : l'outil doit permettre de supprimer une session individuelle, et les enregistrements doivent être supprimés quand le consentement est retiré et qu'aucune autre base légale ne les justifie.

Où se situe Hitsteps sur la conservation

Hitsteps Experience supprime automatiquement les enregistrements après la durée choisie dans les réglages Experience du site, qui est de 30 jours par défaut et peut être réduite à 1 jour. La CNIL demandant quelques heures pour le support, et la conservation la plus courte chez Hitsteps étant de 1 jour, les enregistrements Hitsteps ne conviennent pas aujourd'hui à la finalité de support. Utilisez-les pour les finalités erreurs techniques et UX, pour lesquelles la CNIL demande quelques mois.

Où se situe Hitsteps : le consentement contrôle ce que le rejeu révèle

Nous préférons être francs avec vous plutôt que de cocher une liste. Voici ce que fait Hitsteps Experience aujourd'hui, face à la recommandation :

  • L'enregistrement reste désactivé tant qu'une personne disposant des droits ne l'active pas pour ce site, et seules les visites postérieures peuvent être rejouées. Rien n'est enregistré avant.
  • L'enregistrement démarre une fois qu'une personne disposant des droits l'a activé pour ce site et que la visite fait partie de l'échantillon quotidien. Le consentement détermine ce que révèle un enregistrement : tant que le visiteur n'a pas cliqué sur « oui » dans la popup de consentement intégrée, ou après un refus, la visite est enregistrée avec masquage des informations identifiantes. Experience respecte Do Not Track par défaut, et le site peut exclure des pages et des adresses IP dans ses réglages Experience.
  • Hitsteps enregistre un échantillon quotidien de visites, pas chaque visite, et les enregistrements sont supprimés automatiquement après la durée choisie (30 jours par défaut). La conservation la plus courte est de 1 jour, c'est pourquoi nous indiquons que les enregistrements ne conviennent pas à la finalité de support de la CNIL.
  • Le masquage se fait dans le navigateur du visiteur avant tout stockage. Le niveau par défaut, Protégé, masque le texte de la page dans le navigateur du visiteur ; des exceptions de texte visible peuvent révéler un texte choisi, et Flexible et Uncover en révèlent davantage. Les mots de passe et les champs de paiement restent masqués. L'éditeur garde la main sur la checklist : pas de masquage de pointeur par zone aujourd'hui, donc excluez de l'enregistrement les pages avec clavier numérique ou saisie de code PIN, et vérifiez un enregistrement de test pour les chatbots.
  • Le retrait fait immédiatement passer la visite à l'enregistrement masqué : la capture continue, mais les informations identifiantes sont masquées et les données identifiantes en attente ne sont pas stockées. Les enregistrements déjà stockés ne sont pas supprimés automatiquement ; ils disparaissent à la fin de la durée de conservation, et une personne disposant des droits de gestion peut supprimer un enregistrement individuel.
  • Un seul « oui » dans la popup couvre toutes les utilisations d'enregistrement activées. Il n'y a pas de choix par finalité.
  • Les enregistrements sont liés au visiteur d'analytics. Il n'existe pas d'identifiant propre à la session.
  • Un site qui s'appuie sur sa propre plateforme de consentement ne peut pas encore la connecter, car le crochet HitstepsExperienceConsent n'a aucune documentation publique. L'enregistrement fonctionne dans tous les modes de confidentialité ; lorsque le consentement n'est pas donné, les informations identifiantes sont masquées dans le navigateur avant tout stockage.

Nous ne revendiquons ni conformité CNIL, ni exemption, ni l'absence de bannière de consentement. La CNIL demande un consentement avant qu'un rejeu ne démarre et précise que le masquage ne le remplace pas ; nous répétons cette règle. Voici l'écart assumé : Hitsteps enregistre aujourd'hui les visites éligibles, que le visiteur ait accepté ou non, avec masquage des informations identifiantes dans le navigateur, et un site ne peut pas être réglé pour n'enregistrer qu'après consentement. L'enregistrement ne s'arrête que par la page d'opt-out du visiteur, Do Not Track, ou les pages et adresses IP exclues. Si vous utilisez Hitsteps pour des visiteurs dans l'UE, le choix du consentement, des mentions et du masquage vous appartient, et nous nous ferons un plaisir de vous accompagner dans les réglages.

Ce que vous pouvez faire ensuite

  • Lisez vous-même la recommandation : la page CNIL et le PDF de 12 pages sont liés dans les sources ci-dessous.
  • Transmettez les exemples de formulation CMP ci-dessus à qui gère votre plateforme de consentement, et demandez la mention rejeu de session distincte au premier niveau.
  • Passez la checklist de masquage sur votre site, surtout les claviers numériques (excluez ces pages), les chatbots et les champs de compte remplis dynamiquement.
  • Pour en savoir plus ou poser une question : la FAQ confidentialité d'Experience couvre conservation, masquage et consentement ; contactez-nous et nous répondrons clairement.

Questions fréquentes

Le rejeu de session exige-t-il un consentement selon la CNIL ?

Oui. Le rejeu de session lit et écrit des informations dans le terminal du visiteur, ce qui en fait un traceur au sens de l'article 82 de la loi Informatique et Libertés. La recommandation de la CNIL indique explicitement qu'aucune exemption ne s'applique : un consentement préalable est donc requis avant qu'un rejeu ne démarre.

Quel outil de consentement puis-je utiliser ?

La CNIL accepte les interfaces usuelles de recueil d'un consentement valable, dont les plateformes de gestion du consentement. L'outil doit être mis à jour pour que le premier niveau mentionne le rejeu de session séparément et présente chaque finalité avec un intitulé court, complété d'un descriptif plus détaillé au deuxième niveau.

Combien de temps puis-je conserver les enregistrements ?

La CNIL recommande quelques mois pour les finalités erreurs techniques et UX, et seulement quelques heures après la fin de la session pour le support client. Si la conservation la plus courte de votre outil dépasse quelques heures, ne l'utilisez pas pour la finalité de support. Hitsteps Experience propose 30 jours par défaut avec un minimum de 1 jour : nous le recommandons donc pour les finalités erreurs et UX.

Le masquage suffit-il à être conforme ?

Non. Le masquage limite ce que le rejeu montre, mais la CNIL dit que le consentement reste exigé car le rejeu de session est un traceur, et le masquage ne le remplace pas. Masquez par défaut (images, formulaires, textes, champs dynamiques, claviers numériques, chat), excluez les mots de passe et informations de paiement, et vérifiez que la capture s'arrête au retrait, comme le demande la CNIL. Le masquage est une partie de la recommandation, pas un substitut au consentement.

Où puis-je lire les sources CNIL ?

L'annonce de la CNIL et le PDF de la recommandation (outils de rejeu de session, adoptée le 8 octobre 2026) sont liés dans la section sources, et la délibération est publiée sur Légifrance.

Les sources

Les exigences de la recommandation ci-dessus s'appuient sur ces publications de la CNIL (toutes à jour au 12 novembre 2026). Les faits produit décrivent le traceur Hitsteps tel que documenté dans la FAQ Experience en ligne :

Les recommandations CNIL s'appliquent au droit français et aux règles ePrivacy telles que mises en œuvre en France. D'autres autorités de protection des données de l'UE publient leurs propres positions ; renseignez-vous auprès de la vôtre.