La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une recommandation relative à l'utilisation des outils de rejeu de session, qui permettent d'enregistrer et de reconstituer le parcours de navigation des utilisateurs sur un site ou une application.

La recommandation s'adresse aux fournisseurs de ces outils et aux éditeurs de sites web ou d'applications mobiles qui les déploient. Ces solutions, qui enregistrent les interactions des utilisateurs (mouvements de souris, clics, saisies) pour analyser leur parcours, utilisent des traceurs et sont donc soumises à l'article 82 de la loi Informatique et Libertés. La CNIL rappelle que le consentement préalable des personnes est obligatoire, aucune exemption n'étant applicable, et que les finalités du traitement doivent être déterminées avant toute collecte. La recommandation vise à aider les acteurs à respecter le principe de minimisation des données et clarifie leurs rôles respectifs.

Issue de la délibération n° 2026-114 du 8 octobre 2026 et enrichie par une consultation publique, la recommandation propose des mesures techniques et organisationnelles. Elle insiste sur la mise en place d'outils de masquage pour occulter les données non pertinentes, la limitation du nombre de sessions collectées et le recours restreint aux identifiants. Des précisions ont été ajoutées pour exiger une information spécifique sur l'usage de ces outils dès le premier niveau de l'interface de consentement. Il est également préconisé de masquer les mouvements de souris dans certaines zones pour éviter la collecte accidentelle de codes d'authentification et de masquer le contenu des discussions dans les agents conversationnels.