Session Replay y RGPD: configurar Hotjar, Clarity y FullStory

El 5 de noviembre de 2026, la CNIL francesa publicó su recomendación final sobre herramientas de session replay y mapas de calor, adoptada por el pleno de la CNIL el 8 de octubre. Si su sitio utiliza Hotjar, Microsoft Clarity, FullStory o cualquier herramienta que registre cómo se mueven los visitantes por una página, esta recomendación resuelve una pregunta que los equipos de CRO y analítica llevan años debatiendo: ¿observar cómo alguien usa su sitio requiere el mismo consentimiento que una cookie de rastreo? La respuesta de la CNIL es sí, sin excepción, y viene acompañada de expectativas concretas sobre qué registrar y durante cuánto tiempo conservarlo.

Session Replay y RGPD: configurar Hotjar, Clarity y FullStory

Lo que dice la recomendación de la CNIL

Las herramientas de session replay capturan movimientos del ratón, clics, desplazamiento y entradas de formulario, y luego las reconstruyen en una reproducción similar a un vídeo de una visita individual. Los mapas de calor agregan esas mismas señales de muchas sesiones en una sola vista. Ambas leen y escriben en el dispositivo del visitante para lograrlo, razón por la cual la CNIL fundamenta su recomendación en el artículo 82 de la ley francesa de protección de datos, que transpone el artículo 5.3 de la Directiva ePrivacy y rige también las cookies de rastreo ordinarias.

El artículo 82 solo exime a un rastreador del consentimiento si es estrictamente necesario para prestar el servicio solicitado por el visitante, o si existe únicamente para transmitir una comunicación electrónica. La recomendación de la CNIL aplica esa prueba directamente al session replay: los editores podrían hacer funcionar sus sitios sin él, y no tiene nada que ver con la transmisión de un mensaje, por lo que ninguna de las dos excepciones aplica. Se requiere el consentimiento previo antes de que la herramienta empiece a capturar datos, igual que se requiere antes de que se active una cookie analítica o publicitaria.

Dado que una sesión reconstruida también identifica a una persona directa o indirectamente, el RGPD se aplica además del requisito de consentimiento, en particular la base legal del artículo 6 para cualquier tratamiento posterior a la grabación.

La CNIL también traza una línea sobre las finalidades aceptables. Nombra tres: detectar y corregir errores técnicos, identificar puntos de fricción para mejorar la experiencia de usuario, y atender una solicitud concreta de atención al cliente. Según la CNIL, el session replay no debería usarse para retargeting publicitario, con el argumento de que existen alternativas menos intrusivas, cookies de recordatorio de carrito, por ejemplo, y de que esa práctica incumple la minimización de datos.

Por qué «es solo analítica» no se sostiene

El instinto de muchos equipos es integrar el consentimiento de session replay en el interruptor de analítica ya existente. La recomendación de la CNIL va en contra de ese instinto de dos maneras. Primero, cada una de las tres finalidades anteriores necesita su propia etiqueta y descripción breves en la interfaz de consentimiento, no una única casilla agrupada de «analítica». Segundo, y esto es nuevo en el texto final publicado este mes, la CNIL recomienda ahora un aviso adicional, breve y claramente redactado, en el primer nivel del banner, mostrado por separado de esas etiquetas de finalidad, que nombra específicamente el session replay como la tecnología en uso. El razonamiento es que el conocimiento del session replay entre los visitantes es bajo: la mayoría de las personas que hacen clic en «aceptar» en un banner de cookies no tiene ni idea de que una herramienta está reconstruyendo después sus movimientos de ratón y pulsaciones de teclas.

Esto es coherente con la forma en que la CNIL ha abordado otras tecnologías de rastreo específicas que ha examinado individualmente, como los píxeles de seguimiento en correos electrónicos, para los que ha establecido el consentimiento por finalidad como estándar en lugar de aceptar una única casilla agrupada. Para ver cómo se aplica ese principio en una CMP, consulte finalidades personalizadas para el consentimiento más allá de los marcos estándar, que ya incluye session_recording como ejemplo de finalidad fuera del alcance del IAB TCF.

Esto también implica revisar configuraciones anteriores a esta recomendación. Si Hotjar, Clarity o FullStory en su sitio están actualmente integrados en una categoría general de «Rendimiento / Analítica» junto a herramientas como Google Analytics, eso era razonable antes del texto final de la CNIL. Ya no lo es. Reetiquete el session replay con su propia finalidad en lugar de dejarlo agrupado.

Lo que cambia tras el consentimiento

El consentimiento solo abre la puerta: la recomendación de la CNIL dedica la mayor parte de su extensión a lo que ocurre después, organizado en torno a tres principios familiares del RGPD.

En cuanto a la minimización, la CNIL quiere que los editores limiten qué sesiones se recopilan en primer lugar, en lugar de grabar cada visita por defecto, mediante muestreo aleatorio, grabando solo cuando ocurre un evento desencadenante definido, como un error, o eliminando las sesiones con rapidez una vez que resulta claro que no eran necesarias. El enmascaramiento acompaña a esto: los campos de formulario, la información de cuenta, los campos de texto y las imágenes deben enmascararse por defecto, y el texto final añade dos categorías que no estaban en el borrador publicado a principios de este año, los movimientos del ratón y los clics en teclados en pantalla, que pueden revelar códigos de acceso, y el contenido de las conversaciones con chatbots, ya que los intercambios de preguntas y respuestas pueden por sí solos revelar datos sensibles. Los identificadores de sesión y de usuario también deben evitar, por defecto, vincular indefinidamente la actividad de un visitante.

En cuanto a la limitación del plazo de conservación, la propia tabla del anexo de la CNIL ofrece una idea de lo que significa «no más tiempo del necesario» según la finalidad: unas horas tras finalizar la sesión para los casos de soporte, y unos meses para la detección de errores y la mejora de la experiencia de usuario. Los editores necesitan poder eliminar las sesiones de un visitante concreto de forma individual, no limitarse a una ventana de conservación general, tanto para atender una solicitud de acceso o supresión bajo el RGPD como porque la retirada del consentimiento exige eliminar los datos ya recopilados, salvo que otra base jurídica justifique conservarlos.

En cuanto a la seguridad, las contraseñas y los datos de pago nunca deben llegar a la grabación, estén enmascarados o no, y el acceso a lo que se haya grabado debe pasar por permisos revisados periódicamente, la misma base que la CNIL espera de cualquier sistema interno que trate datos personales.

Configurar Hotjar, Clarity y FullStory

Cada herramienta gestiona el consentimiento de forma algo distinta, pero el objetivo es el mismo para las tres: nada debe capturar a un visitante antes de que acepte, y la captura debe detenerse de nuevo si la retira.

Microsoft Clarity

Clarity es la más sencilla de las tres porque cuenta con una señal de consentimiento bidireccional integrada, y UniConsent se comunica con ella automáticamente. Desactive «establecer cookies por defecto» en la configuración de su proyecto de Clarity, y UniConsent indicará a Clarity que inicie o detenga según la finalidad o categoría que haya asignado al session replay. La configuración completa está en el tutorial del modo de consentimiento de Microsoft Clarity. Clarity también cuenta con su propia opción de enmascaramiento para ocultar campos como los datos de cuenta en la grabación.

Hotjar

Hotjar no detecta por sí mismo una señal de la CMP, así que se utiliza la función de Finalidades Personalizadas de UniConsent para iniciarlo explícitamente: cree una finalidad dedicada al session replay, redacte la descripción de primer nivel que espera la CNIL, y configure esa finalidad para indicar a Hotjar que inicie la grabación una vez que el visitante acepte. Hotjar también admite el enmascaramiento por defecto de campos de formulario e información de cuenta específicos, en lugar de tener que bloquear cada campo sensible de uno en uno.

FullStory

FullStory funciona igual que Hotjar: permanece inactivo por defecto, y una finalidad dedicada al session replay le indica que inicie la captura una vez concedido el consentimiento. Los propios controles de enmascaramiento de FullStory permiten grabar una página excluyendo campos concretos, de modo que nunca lleguen a sus servidores.

La configuración paso a paso para conectar una finalidad personalizada a un script de terceros está en el tutorial de finalidades personalizadas y en el tutorial de UnicScript.

Definir la conservación y la eliminación

La eliminación de las sesiones de un visitante concreto a petición pasa por las herramientas de eliminación, la API o el canal de soporte de cada proveedor, y su acuerdo de encargo de tratamiento con el proveedor debería especificar la rapidez con la que ocurre. Lo que UniConsent puede hacer directamente es proporcionarle el rastro de evidencia que la recomendación de la CNIL da por hecho que existe: cada concesión y cada retirada de la finalidad de session replay se registra en la Consent DB con una marca de tiempo, de modo que cuando un visitante pregunte qué aceptó y cuándo, usted tenga una respuesta que no dependa de los propios registros del proveedor de session replay.

Qué significa esto para los equipos de marketing y CRO

Nada de esto implica retirar el session replay. La CNIL lo acepta explícitamente para la depuración técnica, la mejora de la experiencia de usuario y el soporte, lo que cubre la inmensa mayoría de lo que los equipos de CRO realmente utilizan. Lo que cambia es que la grabación ya no puede ser el estado por defecto de cada visita, que el perfilado de comportamiento reutilizado para retargeting queda descartado, y que el paso de consentimiento debe ocurrir antes de capturar el primer fotograma, en lugar de darse por supuesto a partir de un «aceptar» genérico en el banner de cookies.

Los equipos que ya gestionan un banner de consentimiento en capas y por finalidades tienen el camino más fácil: añadir una finalidad distinta para el session replay, conectar las tres herramientas a ella, activar los ajustes de enmascaramiento por defecto, y la mayor parte de la recomendación queda satisfecha. Los equipos que dependen de un único botón de «aceptar todo» tienen más trabajo por delante, empezando por separar el session replay de la finalidad en la que actualmente se esconde.

Cómo ayuda UniConsent

UniConsent admite el session replay tanto como una Finalidad Personalizada independiente como una categoría de consentimiento asignada, con una descripción del session replay en el primer nivel redactada por usted, el reenvío automático de señal a la API de consentimiento nativa de Microsoft Clarity, y el control por finalidad personalizada para Hotjar y FullStory, de modo que la grabación solo se inicia después de que el visitante haya aceptado realmente, y se detiene cuando lo retira.

Regístrese y añada una finalidad de session replay a su banner de consentimiento en pocos minutos.