Session replay e GDPR: configurare Hotjar, Clarity e FullStory

Il 5 novembre 2026 la CNIL francese ha pubblicato la sua raccomandazione finale sugli strumenti di session replay e heatmap, adottata dal collegio della CNIL l'8 ottobre. Se il tuo sito utilizza Hotjar, Microsoft Clarity, FullStory, o qualsiasi strumento che registra come i visitatori si muovono su una pagina, questa raccomandazione risolve una domanda che i team CRO e analytics si pongono da anni: osservare come qualcuno usa il tuo sito richiede lo stesso consenso di un cookie di tracciamento? La risposta della CNIL è sì, senza eccezioni, e arriva con aspettative precise su cosa registri e per quanto tempo lo conservi.

Session replay e GDPR: configurare Hotjar, Clarity e FullStory

Cosa dice la raccomandazione della CNIL

Gli strumenti di session replay catturano i movimenti del mouse, i clic, lo scorrimento e i dati inseriti nei moduli, per poi ricomporli in una riproduzione simile a un video di una singola visita. Le heatmap aggregano gli stessi segnali di molte sessioni in un'unica vista. Entrambi leggono e scrivono sul dispositivo del visitatore per farlo, motivo per cui la CNIL fonda la sua raccomandazione sull'articolo 82 della legge francese sulla protezione dei dati, che recepisce l'articolo 5.3 della direttiva ePrivacy e disciplina anche i normali cookie di tracciamento.

L'articolo 82 esenta un tracker dal consenso solo se è strettamente necessario per fornire il servizio richiesto dal visitatore, o se serve esclusivamente a veicolare una comunicazione elettronica. La raccomandazione della CNIL applica questo test direttamente al session replay: gli editori potrebbero far funzionare i loro siti senza di esso, e non ha nulla a che vedere con la trasmissione di un messaggio, quindi nessuna delle due esenzioni si applica. Il consenso preventivo è richiesto prima che lo strumento inizi a catturare dati, nello stesso modo in cui è richiesto prima che scatti un cookie analitico o pubblicitario.

Poiché una sessione ricostruita identifica anche una persona, direttamente o indirettamente, il GDPR si applica in aggiunta al requisito del consenso, in particolare la base giuridica dell'articolo 6 per qualsiasi trattamento successivo alla registrazione.

La CNIL traccia anche un confine sulle finalità ammesse. Ne indica tre: individuare e correggere errori tecnici, identificare punti di frizione per migliorare l'esperienza utente, e gestire una specifica richiesta di assistenza clienti. Secondo la CNIL il session replay non dovrebbe essere usato per il retargeting pubblicitario, motivando che esistono alternative meno invasive, i cookie di promemoria del carrello, ad esempio, e che questa pratica non rispetta la minimizzazione dei dati.

Perché «è solo analytics» non regge

L'istinto di molti team è integrare il consenso al session replay nel toggle analytics già esistente. La raccomandazione della CNIL va contro questo istinto in due modi. Primo, ciascuna delle tre finalità sopra indicate richiede una propria etichetta breve e una propria descrizione nell'interfaccia di consenso, non un'unica casella «analytics» raggruppata. Secondo, ed è una novità del testo finale pubblicato questo mese, la CNIL raccomanda ora un ulteriore avviso breve e chiaramente formulato al primo livello del banner, mostrato separatamente da quelle etichette di finalità, che nomina specificamente il session replay come tecnologia in uso. La motivazione è che la consapevolezza del session replay tra i visitatori è scarsa: la maggior parte delle persone che clicca su «accetta» in un banner cookie non ha idea che uno strumento ricostruirà poi i suoi movimenti del mouse e le sue digitazioni.

Questo è coerente con l'approccio che la CNIL ha adottato per altre tecnologie di tracciamento specifiche che ha esaminato singolarmente, come i pixel di tracciamento nelle email, per i quali ha reso lo standard il consenso per singola finalità, anziché accettare un'unica casella raggruppata. Per vedere come questo principio si applica in una CMP, consulta le finalità personalizzate per il consenso oltre i framework standard, che indica già session_recording come esempio di finalità al di fuori dell'ambito dell'IAB TCF.

Questo significa anche rivedere le configurazioni precedenti a questa raccomandazione. Se Hotjar, Clarity o FullStory sul tuo sito sono attualmente collegati a una categoria generica «Performance / Analytics» insieme a strumenti come Google Analytics, questa era una configurazione ragionevole prima del testo finale della CNIL. Non lo è più. Ricategorizza il session replay con una propria finalità distinta, invece di lasciarlo raggruppato.

Cosa cambia dopo il consenso

Il consenso apre solo la porta: la raccomandazione della CNIL dedica la maggior parte del suo contenuto a ciò che accade dopo, organizzato intorno a tre principi familiari del GDPR.

Sulla minimizzazione, la CNIL vuole che gli editori limitino quali sessioni vengono raccolte fin dall'inizio, invece di registrare ogni visita per impostazione predefinita, tramite campionamento casuale, registrando solo quando si verifica un evento scatenante definito come un errore, o eliminando le sessioni tempestivamente una volta chiaro che non erano necessarie. Il mascheramento si affianca a questo: i campi dei moduli, le informazioni dell'account, i campi di testo e le immagini dovrebbero essere mascherati per impostazione predefinita, e il testo finale aggiunge due categorie assenti nella bozza pubblicata all'inizio di quest'anno, i movimenti del mouse e i clic sui tastierini a schermo, che possono rivelare codici di accesso, e il contenuto delle conversazioni con i chatbot, poiché gli scambi di domande e risposte possono da soli rivelare dati sensibili. Anche gli identificatori di sessione e utente dovrebbero evitare, per impostazione predefinita, di collegare indefinitamente l'attività di un visitatore.

Sulla limitazione della conservazione, la tabella in appendice della CNIL offre un'idea concreta di cosa significhi «non più a lungo del necessario» a seconda della finalità: poche ore dopo la fine della sessione per i casi di assistenza, e alcuni mesi per il rilevamento di errori e il miglioramento dell'esperienza utente. Gli editori devono poter eliminare le sessioni di un singolo visitatore individualmente, non limitarsi a una finestra di conservazione generica, sia per rispondere a una richiesta di accesso o cancellazione ai sensi del GDPR, sia perché il ritiro del consenso impone l'eliminazione dei dati già raccolti, salvo che un'altra base giuridica ne giustifichi la conservazione.

Sulla sicurezza, password e dati di pagamento non dovrebbero mai raggiungere la registrazione, mascherati o meno, e l'accesso a quanto registrato dovrebbe passare attraverso permessi rivisti periodicamente, la stessa base che la CNIL si aspetta da qualsiasi sistema interno che tratta dati personali.

Configurare Hotjar, Clarity e FullStory

Ogni strumento gestisce il consenso in modo leggermente diverso, ma l'obiettivo è lo stesso per tutti e tre: nulla dovrebbe catturare un visitatore prima che acconsenta, e la cattura dovrebbe interrompersi di nuovo se la ritira.

Microsoft Clarity

Clarity è il più semplice dei tre perché dispone di un segnale di consenso nativo bidirezionale, e UniConsent comunica con esso automaticamente. Disattiva «imposta i cookie per impostazione predefinita» nelle impostazioni del tuo progetto Clarity, e UniConsent indicherà a Clarity di avviarsi o fermarsi in base alla finalità o categoria che hai assegnato al session replay. La configurazione completa è nel tutorial sulla consent mode di Microsoft Clarity. Clarity dispone anche di una propria opzione di mascheramento per nascondere campi come i dati dell'account dalla registrazione.

Hotjar

Hotjar non rileva da solo un segnale della CMP, perciò si usa la funzione Finalità personalizzate di UniConsent per avviarlo esplicitamente: crea una finalità dedicata al session replay, scrivi la descrizione di primo livello che la CNIL richiede, e collega quella finalità in modo che dica a Hotjar di avviare la registrazione una volta che il visitatore acconsente. Hotjar supporta anche il mascheramento predefinito di campi di modulo e informazioni dell'account specifici, invece di dover bloccare ogni campo sensibile uno alla volta.

FullStory

FullStory funziona come Hotjar: resta inattivo per impostazione predefinita, e una finalità dedicata al session replay gli dice di avviare la cattura una volta concesso il consenso. Gli strumenti di mascheramento propri di FullStory permettono di registrare una pagina escludendo campi specifici, che quindi non raggiungono mai i suoi server.

La configurazione passo passo per collegare una finalità personalizzata a uno script di terze parti è nel tutorial sulle finalità personalizzate e nel tutorial UnicScript.

Impostare conservazione ed eliminazione

L'eliminazione delle sessioni di un singolo visitatore su richiesta passa attraverso gli strumenti di cancellazione, l'API o il canale di supporto di ciascun fornitore, e il tuo accordo di trattamento dati con il fornitore dovrebbe specificare con quale rapidità ciò avviene. Ciò che UniConsent può fare direttamente è fornirti la traccia di controllo che la raccomandazione della CNIL dà per scontata: ogni concessione e ogni ritiro della finalità di session replay viene scritto nella Consent DB con una marca temporale, così quando un visitatore chiede cosa ha accettato e quando, hai una risposta che non dipende dai registri del fornitore di session replay stesso.

Cosa significa per i team marketing e CRO

Nulla di tutto questo significa dismettere il session replay. La CNIL lo accetta esplicitamente per il debug tecnico, il miglioramento della UX e l'assistenza, il che copre la stragrande maggioranza di ciò per cui i team CRO lo usano davvero. Ciò che cambia è che la registrazione non può più essere lo stato predefinito di ogni visita, che il profiling comportamentale riutilizzato per il retargeting è escluso, e che il passaggio del consenso deve avvenire prima che venga catturato il primo frame, invece di essere presunto da un generico «accetta» sul banner cookie.

I team che gestiscono già un banner di consenso a più livelli e per finalità specifiche hanno la strada più semplice: aggiungere una finalità distinta per il session replay, collegarvi i tre strumenti, attivare il mascheramento predefinito, e la maggior parte della raccomandazione è soddisfatta. I team che si affidano a un unico pulsante «accetta tutto» hanno più lavoro da fare, a partire dal separare il session replay dalla finalità in cui è attualmente nascosto.

Come aiuta UniConsent

UniConsent supporta il session replay sia come Finalità personalizzata autonoma sia come categoria di consenso mappata, con una descrizione del session replay al primo livello scritta da te, l'inoltro automatico del segnale all'API di consenso nativa di Microsoft Clarity, e il controllo tramite finalità personalizzata per Hotjar e FullStory, così la registrazione parte solo dopo che il visitatore ha effettivamente acconsentito, e si ferma quando lo ritira.

Registrati e aggiungi una finalità di session replay al tuo banner di consenso in pochi minuti.