Rejeu de session (Hotjar, Clarity…) et RGPD : ce qui change
La CNIL a précisé ses attentes sur les outils de "session replay" qui enregistrent le comportement de vos visiteurs. Voici ce que cela change concrètement pour votre site, et comment vérifier votre situation en quelques minutes.
Qu'est-ce qu'un outil de rejeu de session ?
Des outils comme Hotjar, Microsoft Clarity, FullStory, Mouseflow ou Smartlook enregistrent les mouvements de souris, les clics, le défilement, et parfois jusqu'au contenu saisi dans les formulaires de vos visiteurs, pour ensuite permettre de "rejouer" la visite comme une vidéo.
Très utiles pour comprendre l'expérience utilisateur, ces outils traitent cependant des données personnelles au sens du RGPD dès lors qu'ils permettent, même indirectement, d'identifier un visiteur (adresse IP, identifiant, parfois des champs de formulaire mal masqués).
Une vigilance accrue de la CNIL
La CNIL a renforcé son attention sur ces outils, au même titre que les cookies publicitaires ou les polices Google Fonts chargées à distance : un traitement qui s'exécute sans consentement préalable explicite, ou sans information claire dans la politique de confidentialité, expose l'éditeur du site à un risque de non-conformité.
Concrètement, un site qui installe un outil de rejeu de session doit généralement :
- Recueillir le consentement de l'utilisateur avant le déclenchement du script (comme pour tout cookie non essentiel) ;
- Informer clairement, dans la politique de confidentialité, de l'existence de ce traitement, de sa finalité et de sa durée de conservation ;
- Masquer ou exclure les champs sensibles (mots de passe, coordonnées bancaires, données de santé) de l'enregistrement ;
- Vérifier les garanties offertes par l'éditeur de l'outil en cas de transfert de données hors Union européenne.
Ce que vous risquez en cas de manquement
Au-delà de la sanction financière, c'est souvent l'image de l'entreprise qui est en jeu : un client, un partenaire ou un concurrent peut facilement repérer ces outils via les outils de développement du navigateur, et le signaler. Une mise en demeure de la CNIL implique en général un délai court pour se mettre en conformité, sous le regard de l'administration.
Votre site utilise-t-il un outil de rejeu de session ?
Notre diagnostic gratuit détecte automatiquement la présence d'outils comme Hotjar, Clarity, FullStory ou Mouseflow sur votre site, ainsi que plus de 30 autres critères de conformité RGPD (cookies, mentions légales, hébergeur, chiffrement...).