La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session, adoptée le 8 octobre et parue au Journal officiel le même jour. Ces outils enregistrent vos clics, vos mouvements de souris et parfois vos saisies pour reconstituer votre visite en vidéo. Ils ne peuvent fonctionner qu’avec votre accord.
L’essentiel à retenir
- Un outil de rejeu de session fonctionne avec des traceurs : votre consentement préalable est obligatoire.
- L’information doit figurer dès le premier écran de la bannière de cookies, avec une mention propre à ces outils.
- Les champs de formulaire, les claviers de code et les échanges avec les chatbots doivent pouvoir être masqués.
- Refuser ou retirer son accord doit être aussi simple que l’accepter.
Ce que font les outils de rejeu de session
Un outil de rejeu de session permet à l’éditeur d’un site ou d’une application d’enregistrer l’ensemble de vos interactions : mouvements de souris, gestes tactiles, clics, défilement des pages et, dans certains cas, ce que vous tapez dans les formulaires. Ces éléments sont ensuite regroupés pour revoir votre parcours sous forme de vidéo.
L’usage affiché est souvent technique : repérer un bug, comprendre pourquoi un formulaire est abandonné, améliorer l’ergonomie. Mais la CNIL souligne des risques élevés pour la vie privée, puisque ces outils peuvent collecter des données sensibles et suivre la navigation en continu.
Un consentement préalable, sans exception
La recommandation rappelle que ces outils reposent sur des traceurs et relèvent de l’article 82 de la loi Informatique et Libertés. Aucune exemption ne s’applique : votre consentement préalable est requis, selon les mêmes règles que pour les cookies.
Chaque finalité doit être présentée avant votre choix. La CNIL demande en plus une mention courte et explicite propre au rejeu de session, dès le premier niveau de la bannière de consentement. Vous devez pouvoir refuser et retirer votre accord aussi simplement que vous l’avez donné. Notre guide des cookies et des bannières explique comment refuser et supprimer les traceurs.
Masquer les saisies, les codes et les chatbots
Côté technique, la CNIL demande aux fournisseurs de ces outils un système de masquage des données qui n’ont pas à être collectées : images, formulaires, champs de texte, champs remplis automatiquement comme les informations de compte. Par défaut, si l’éditeur n’a rien réglé, le masquage doit s’appliquer à toutes ces catégories.
La version finale ajoute deux points issus de la consultation publique menée de février à mai 2026 : masquer les mouvements de souris et les clics sur les claviers numériques, pour éviter de capter un code d’authentification, et masquer le contenu des discussions avec les agents conversationnels.
Des durées de conservation courtes
Les sessions enregistrées doivent être limitées à ce qui est nécessaire. La recommandation retient quelques mois pour la correction des bugs ou l’amélioration de l’expérience, et quelques heures après la fin de la session pour l’assistance à un client. Si vous retirez votre accord, les données doivent être supprimées, sauf autre base légale.
La sanction de 7 millions d’euros prononcée contre la Fnac pour un traceur de son application montre que la CNIL contrôle aussi les applications mobiles.
Ce que la recommandation ne dit pas
Une recommandation n’est pas une loi nouvelle : elle explique comment la CNIL lit les règles existantes et ce qu’elle vérifiera. Elle ne fixe pas de date limite de mise en conformité ni de nombre maximal de sessions enregistrées. La CNIL annonce un accompagnement des professionnels, puis des contrôles. En cas de manquement, une plainte peut lui être adressée.
Pour aller plus loin
Pour limiter le suivi en ligne, relisez notre guide des cookies et des bannières.
Pour retrouver nos prochains tests et bons plans en priorité, ajoutez TopActu à vos sources préférées sur Google.
Sources : CNIL, Outils de rejeu de session : la CNIL publie sa recommandation pour guider les acteurs, 5 novembre 2026 ; CNIL, Rejeu de session : ces outils qui enregistrent votre activité en ligne, 5 novembre 2026 ; Légifrance, Délibération n° 2026-114 du 8 octobre 2026 portant adoption d’une recommandation concernant les outils de rejeu de session, JORF du 5 novembre 2026