Vous avez installé un outil qui enregistre les clics et les mouvements de souris de vos visiteurs pour comprendre où ils bloquent ? Depuis le 5 novembre 2026, la CNIL a publié sa recommandation définitive sur ces outils dits de « rejeu de session ». Le message est simple : pas d'enregistrement sans accord préalable du visiteur. Voici ce que cela change concrètement pour un site de TPE, d'association ou de commerce, et comment se mettre en règle sans y passer la semaine.
Le rejeu de session, c'est quoi exactement ?
Un outil de rejeu de session reconstitue la visite d'un internaute comme une petite vidéo : déplacements de la souris, clics, défilement de la page, gestes sur mobile, et parfois même ce qui est tapé dans les formulaires. On le retrouve souvent sous forme de « cartes de chaleur » et d'enregistrements dans des solutions d'analyse gratuites ou peu chères, comme Microsoft Clarity ou Hotjar, que beaucoup de petits sites ont ajoutées en deux clics via une extension.
L'intérêt est réel : repérer un bouton que personne ne trouve, un formulaire qui plante sur téléphone, une page où tout le monde abandonne. Mais la CNIL rappelle que ces outils peuvent capter bien plus que nécessaire, y compris des informations personnelles saisies par erreur ou des échanges avec un assistant en ligne.
Ce que dit la nouvelle recommandation
Le texte a été adopté par la CNIL le 8 octobre 2026 et rendu public début novembre, après une consultation menée au printemps. Ce n'est pas une nouvelle loi : c'est la lecture que fait la CNIL des règles existantes sur les traceurs et du RGPD. Autrement dit, c'est la grille qu'elle utilisera lors de ses contrôles.
| Point | Ce que la CNIL attend |
|---|---|
| Consentement | Obligatoire avant tout enregistrement, sans aucune exemption. L'outil ne doit se lancer qu'après un « oui » du visiteur. |
| Information | Le rejeu de session doit être mentionné dès le premier écran du bandeau de consentement, pas caché dans une page secondaire. |
| Finalités | Trois usages reconnus : corriger des erreurs techniques, améliorer l'ergonomie, aider un client. Ils doivent être définis avant d'activer l'outil. Le reciblage publicitaire est déconseillé. |
| Masquage | Formulaires, champs de texte et échanges avec un chatbot masqués par défaut. Mots de passe et données bancaires bloqués. Mouvements de souris masqués sur les zones de saisie de codes. |
| Conservation | Quelques mois au plus pour l'analyse technique et l'ergonomie, quelques heures après la visite pour l'assistance client. |
| Volume | Enregistrer seulement le nombre de sessions utile à l'objectif, et limiter les identifiants associés aux visiteurs. |
La CNIL précise aussi le rôle de l'éditeur de l'outil : s'il réutilise les enregistrements pour ses propres besoins, par exemple pour améliorer son produit, il devient coresponsable avec vous. Dans ce cas, le contrat doit organiser clairement la preuve du consentement. Pour un petit site, retenez surtout ceci : c'est vous, propriétaire du site, qui serez interrogé en premier en cas de contrôle.
Suis-je concerné ?
Bien plus de sites qu'on ne le pense. Les cas les plus fréquents que nous croisons :
- un outil d'analyse gratuit ajouté au moment de la mise en ligne, puis oublié ;
- une extension WordPress de « heatmap » installée pour tester une nouvelle page ;
- un module d'assistance ou de chat qui propose une option d'enregistrement des visites ;
- une boutique en ligne dont le thème intègre un script d'analyse comportementale par défaut.
Si le script se charge dès l'arrivée du visiteur, avant tout choix dans le bandeau cookies, votre site n'est pas conforme. C'est le défaut le plus courant, et aussi le plus facile à repérer lors d'un contrôle en ligne : la CNIL a déjà prononcé de nombreuses sanctions simplifiées pour des traceurs déposés sans accord.
Se mettre en règle en 5 étapes
- Faire l'inventaire. Ouvrez votre site en navigation privée, sans rien accepter, puis regardez les scripts chargés (onglet Réseau des outils de développement) ou listez vos extensions et le code ajouté dans l'en-tête. Notez chaque outil d'enregistrement ou de carte de chaleur.
- Se poser la vraie question. Utilisez-vous encore ces enregistrements ? Si personne ne les a regardés depuis six mois, le plus simple et le plus sûr est de retirer l'outil. Une mesure d'audience classique et sobre suffit souvent.
- Brancher l'outil sur le bandeau de consentement. Le script ne doit se déclencher qu'après acceptation, et s'arrêter si le visiteur retire son accord. Ajoutez une mention claire dès le premier niveau du bandeau, du type « enregistrement anonymisé de votre navigation pour améliorer le site ».
- Régler le masquage et la durée. Dans les paramètres de l'outil, activez le masquage de tous les champs de saisie, du chat et des zones sensibles, et réduisez la durée de conservation au strict nécessaire.
- Mettre à jour vos documents. Complétez la politique de confidentialité (finalité, durée, destinataire) et ajoutez l'outil à votre registre des traitements si vous en tenez un.
Et si je préfère ne plus m'en occuper ?
Ces réglages ne sont pas compliqués, mais ils demandent de mettre les mains dans le code, dans les extensions et dans le bandeau cookies, puis de vérifier que tout fonctionne vraiment. C'est exactement le genre de tâche qui reste en bas de la liste quand on gère une entreprise ou une association.
Avec la maintenance de site Ouioweb, nous faisons ce contrôle pour vous : inventaire des traceurs, réglage du bandeau de consentement, retrait des scripts inutiles, mises à jour régulières et sauvegardes. Votre site reste hébergé sur nos propres serveurs, dans des datacenters en France, et vous avez un interlocuteur basé à Poitiers qui répond à vos questions en français, sans jargon.
Cet article présente la recommandation de la CNIL de novembre 2026 de façon simplifiée et ne remplace pas un conseil juridique. Pour les cas particuliers, référez-vous au texte officiel publié sur le site de la CNIL.