La CNIL adopte une recommandation sur les outils de rejeu de session

La Commission nationale de l'informatique et des libertés (CNIL) a adopté une recommandation sur les outils de rejeu de session. La délibération n° 2026-114 du 8 octobre 2026Legifrance adopte la recommandation figurant en annexe de l'acte (article 1er)Legifrance et prévoit sa publication au Journal officiel de la République française (article 2) ; l'annexe renvoie à l'extrait du Journal officiel électronique authentifié, JORF n° 0259 du 5 novembre 2026, pour l'intégralité du texte. L'acte a été pris sur le rapport de Mme Laurence Franceschini, commissaire, après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, et vise le règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données) ainsi que la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-2°.b.

La recommandation porte sur les outils de rejeu de session : des outils qui capturent et permettent de visualiser le parcours complet de navigation d'un utilisateur de site web ou d'application mobileLegifrance. Ils permettent de reconstituer l'ensemble des actions de navigation — mouvements de souris, clics ou interactions tactiles, défilement des pages ou des écrans visités, saisies de l'utilisateur et autres interactions. Ils répondent à des besoins spécifiques, en remplacement ou en complément d'outils plus classiques tels que les outils de mesure d'audience.

L'objectif affiché est d'aider les professionnels dans la mise en conformité de leurs pratiques avec le RGPD. Le texte vise à clarifier les exigences juridiques applicables et à mieux encadrer ces pratiques, afin de promouvoir des traitements respectueux des libertés individuelles. Deux précisions définissent son statut : il n'est ni prescriptif ni exhaustifLegifrance. Il a été élaboré à la suite d'une concertation avec des représentants du secteur et des associations représentatives de la société civile, et a fait l'objet d'une consultation publique entre les mois de février et mai 2026.

Pour les organismes — ou leurs prestataires et conseils — qui exploitent des outils de rejeu de session ou d'analyse sur des sites web ou des applicationsLegifrance, la conséquence opérationnelle est un travail de lecture à partir d'une source datée : retrouver la recommandation annexée telle que publiée au JORF n° 0259 du 5 novembre 2026Legifrance, identifier lesquels des outils déployés capturent les actions de navigation qu'elle décrit, et utiliser ses clarifications pour vérifier les traitements correspondants. Parce que le texte se présente comme ni prescriptif ni exhaustif, il vaut comme aide à la mise en conformité pour les pratiques décrites, non comme un relevé complet de toutes les obligations qu'un déploiement donné peut porter au titre du RGPD et de la loi du 6 janvier 1978Legifrance.

Fondement juridique : délibération CNIL n° 2026-114 du 8 octobre 2026, prise sous le règlement (UE) 2016/679 et la loi n° 78-17 du 6 janvier 1978 (article 8-I-2°.b), recommandation publiée au JORF n° 0259 du 5 novembre 2026.