Rejeu de session et RGPD : configurer Hotjar, Clarity et FullStory

Le 5 novembre 2026, la CNIL a publié sa recommandation finale sur les outils de rejeu de session et de heatmap, adoptée par le collège de la CNIL le 8 octobre. Si votre site utilise Hotjar, Microsoft Clarity, FullStory, ou tout autre outil qui enregistre la façon dont les visiteurs parcourent une page, cette recommandation tranche une question que les équipes CRO et analytics débattent depuis des années : regarder comment un visiteur utilise votre site nécessite-t-il le même consentement qu'un cookie traceur ? La réponse de la CNIL est oui, sans exemption, et elle s'accompagne d'attentes précises sur ce que vous enregistrez et combien de temps vous le conservez.

Rejeu de session et RGPD : configurer Hotjar, Clarity et FullStory

Ce que dit la recommandation de la CNIL

Les outils de rejeu de session capturent les mouvements de souris, les clics, le défilement et les saisies dans les formulaires, puis les reconstituent en une lecture vidéo d'une visite individuelle. Les heatmaps agrègent ces mêmes signaux sur de nombreuses sessions en une seule vue. Les deux lisent et écrivent sur l'appareil du visiteur pour y parvenir, ce qui explique pourquoi la CNIL fonde sa recommandation sur l'article 82 de la loi Informatique et Libertés, qui transpose l'article 5.3 de la directive ePrivacy et régit déjà les cookies traceurs classiques.

L'article 82 n'exempte un traceur de consentement que s'il est strictement nécessaire à la fourniture du service demandé par le visiteur, ou s'il sert exclusivement à acheminer une communication électronique. La recommandation de la CNIL applique ce test directement au rejeu de session : les éditeurs pourraient faire fonctionner leurs sites sans lui, et il n'a rien à voir avec la transmission d'un message, donc aucune des deux exemptions ne s'applique. Le consentement préalable est requis avant que l'outil ne commence à capturer des données, de la même façon qu'il l'est avant qu'un cookie analytique ou publicitaire ne se déclenche.

Parce qu'une session reconstituée identifie également une personne directement ou indirectement, le RGPD s'applique en plus de l'exigence de consentement, en particulier la base légale de l'article 6 pour tout traitement effectué après l'enregistrement.

La CNIL fixe aussi une limite sur les finalités acceptables. Elle en retient trois : détecter et corriger des erreurs techniques, identifier des points de friction pour améliorer l'expérience utilisateur, et traiter une demande d'assistance client spécifique. Elle indique que le rejeu de session ne devrait pas être utilisé pour le reciblage publicitaire, au motif que des alternatives moins intrusives existent, des cookies de relance panier par exemple, et que cette pratique ne respecte pas le principe de minimisation.

Pourquoi « c'est juste de l'analytics » ne tient pas

Le réflexe de nombreuses équipes est d'intégrer le consentement au rejeu de session dans la case analytics existante. La recommandation de la CNIL va à l'encontre de ce réflexe, de deux façons. D'abord, chacune des trois finalités ci-dessus nécessite son propre intitulé court et sa propre description dans l'interface de consentement, et non une case « analytics » unique et groupée. Ensuite, et c'est nouveau dans le texte final publié ce mois-ci, la CNIL recommande désormais une mention courte et clairement formulée au premier niveau du bandeau, présentée séparément de ces intitulés de finalités, qui nomme spécifiquement le rejeu de session comme technologie utilisée. Le raisonnement avancé est que la connaissance du rejeu de session par les visiteurs est faible : la plupart des personnes qui cliquent sur « accepter » dans un bandeau cookies n'ont aucune idée qu'un outil reconstitue ensuite leurs mouvements de souris et leurs saisies.

Cela rejoint la façon dont la CNIL a traité d'autres technologies de traçage spécifiques qu'elle a examinées individuellement, comme les pixels de suivi dans les e-mails, pour lesquels elle a fait du consentement par finalité la norme plutôt que d'accepter une case unique et groupée. Pour voir comment ce principe s'applique dans une CMP, consultez les finalités personnalisées pour un consentement au-delà des cadres standards, qui mentionne déjà session_recording comme exemple de finalité hors du périmètre de l'IAB TCF.

Cela implique aussi de revoir les configurations antérieures à cette recommandation. Si Hotjar, Clarity ou FullStory sur votre site est actuellement rattaché à une catégorie générale « Performance / Analytics » aux côtés d'outils comme Google Analytics, c'était une configuration raisonnable avant le texte final de la CNIL. Ce n'est plus le cas aujourd'hui. Rattachez le rejeu de session à sa propre finalité plutôt que de le laisser mêlé aux autres.

Ce qui change après le consentement

Le consentement n'est que la porte d'entrée : la recommandation de la CNIL consacre l'essentiel de son contenu à ce qui se passe ensuite, autour de trois principes familiers du RGPD.

Sur la minimisation, la CNIL souhaite que les éditeurs limitent les sessions collectées plutôt que d'enregistrer chaque visite par défaut, via un échantillonnage aléatoire, un enregistrement déclenché uniquement par un événement défini comme une erreur, ou une suppression rapide des sessions dès qu'il apparaît qu'elles n'étaient pas nécessaires. Le masquage s'ajoute à cela : les champs de formulaire, les informations de compte, les champs de texte libre et les images doivent être masqués par défaut, et le texte final ajoute deux catégories absentes du projet publié plus tôt cette année, les mouvements de souris et clics sur des claviers numériques, qui peuvent révéler des codes d'authentification, et le contenu des échanges avec des chatbots, car les questions-réponses peuvent à elles seules révéler des données sensibles. Les identifiants de session et d'utilisateur doivent également éviter, par défaut, de relier indéfiniment l'activité d'un même visiteur.

Sur la limitation de la durée de conservation, le tableau en annexe de la CNIL donne une idée concrète de ce que signifie « pas plus longtemps que nécessaire » selon la finalité : quelques heures après la fin de la session pour les cas de support, et quelques mois pour la détection d'erreurs et l'amélioration de l'expérience utilisateur. Les éditeurs doivent pouvoir supprimer les sessions d'un visiteur donné individuellement, et non se contenter d'une fenêtre de conservation globale, à la fois pour honorer une demande d'accès ou d'effacement RGPD et parce que le retrait du consentement impose la suppression des données déjà collectées, si aucune autre base légale ne justifie leur conservation.

Sur la sécurité, les mots de passe et les informations de paiement ne doivent jamais atteindre l'enregistrement, masqués ou non, et l'accès aux données enregistrées doit passer par des autorisations revues périodiquement, le même socle que la CNIL attend de tout système interne traitant des données personnelles.

Configurer Hotjar, Clarity et FullStory

Chaque outil gère le consentement un peu différemment, mais l'objectif est le même pour les trois : rien ne doit capturer un visiteur avant son accord, et la capture doit s'arrêter s'il retire son consentement.

Microsoft Clarity

Clarity est le plus simple des trois car il dispose d'un signal de consentement natif bidirectionnel, et UniConsent lui parle automatiquement. Désactivez « définir les cookies par défaut » dans les paramètres de votre projet Clarity, et UniConsent indique à Clarity de démarrer ou d'arrêter selon la finalité ou la catégorie que vous avez assignée au rejeu de session. La configuration complète se trouve dans le tutoriel sur le mode de consentement Microsoft Clarity. Clarity dispose aussi de sa propre option de masquage pour cacher des champs comme les informations de compte dans l'enregistrement.

Hotjar

Hotjar ne détecte pas de signal CMP par lui-même, c'est pourquoi la fonctionnalité Finalités personnalisées d'UniConsent est utilisée pour le démarrer explicitement : créez une finalité dédiée au rejeu de session, rédigez la description de premier niveau attendue par la CNIL, et reliez cette finalité pour indiquer à Hotjar de démarrer l'enregistrement une fois le consentement donné. Hotjar permet aussi de masquer par défaut des champs de formulaire et des informations de compte spécifiques, plutôt que de devoir bloquer chaque champ sensible un par un.

FullStory

FullStory fonctionne de la même façon que Hotjar : il reste inactif par défaut, et une finalité dédiée au rejeu de session lui indique de démarrer la capture une fois le consentement accordé. Les propres outils de masquage de FullStory permettent d'enregistrer une page tout en excluant certains champs, qui n'atteignent alors jamais ses serveurs.

La configuration détaillée pour relier une finalité personnalisée à un script tiers se trouve dans le tutoriel sur les finalités personnalisées et le tutoriel UnicScript.

Définir la conservation et la suppression

La suppression des sessions d'un visiteur donné sur demande passe par les outils de suppression, l'API ou le support de chaque fournisseur, et votre accord de sous-traitance avec le fournisseur devrait préciser le délai dans lequel cela se fait. Ce qu'UniConsent peut faire directement, c'est vous fournir la piste d'audit que la recommandation de la CNIL suppose déjà en place : chaque octroi et chaque retrait de la finalité de rejeu de session est inscrit dans le Consent DB avec un horodatage, de sorte que lorsqu'un visiteur demande ce qu'il a accepté et quand, vous disposez d'une réponse qui ne dépend pas des propres registres du fournisseur de rejeu de session.

Ce que cela change pour les équipes marketing et CRO

Rien de tout cela ne signifie qu'il faut abandonner le rejeu de session. La CNIL l'accepte explicitement pour le débogage technique, l'amélioration de l'expérience utilisateur et le support, ce qui couvre l'immense majorité de ce pour quoi les équipes CRO l'utilisent réellement. Ce qui change, c'est que l'enregistrement ne peut plus être l'état par défaut de chaque visite, que le profilage comportemental réutilisé pour le reciblage est exclu, et que l'étape de consentement doit intervenir avant la capture de la première image plutôt que d'être présumée à partir d'un simple « accepter » générique sur le bandeau cookies.

Les équipes qui exploitent déjà un bandeau de consentement par couches et par finalité ont le chemin le plus simple : ajouter une finalité distincte pour le rejeu de session, y relier les trois outils, activer les options de masquage par défaut, et l'essentiel de la recommandation est satisfait. Les équipes qui reposent sur une case unique « tout accepter » ont davantage de travail devant elles, à commencer par séparer le rejeu de session de la finalité dans laquelle il se cache actuellement.

Comment UniConsent vous aide

UniConsent prend en charge le rejeu de session comme une finalité personnalisée autonome ou comme une catégorie de consentement mappée, avec une description du rejeu de session au premier niveau, rédigée par vos soins, la transmission automatique du signal vers l'API de consentement native de Microsoft Clarity, et le blocage par finalité personnalisée pour Hotjar et FullStory, afin que l'enregistrement ne démarre qu'une fois le visiteur réellement d'accord, et s'arrête lorsqu'il retire son consentement.

Inscrivez-vous et ajoutez une finalité de rejeu de session à votre bandeau de consentement en quelques minutes.