Qué exige de verdad el RGPD en session replay

¿Cumple session replay con el RGPD?

La respuesta honesta a una pregunta sobre el RGPD en session replay es que la herramienta no cumple ni incumple por sí sola, porque el cumplimiento es una propiedad de un despliegue concreto y lo deciden cuatro pruebas separadas. Un script de grabación no filma una pantalla. Serializa el DOM en el navegador del visitante, transmite las mutaciones y reconstruye la sesión más tarde, lo que significa que toca el dispositivo, produce datos sobre una persona identificable en la mayoría de configuraciones y puede arrastrar categorías que el RGPD trata como prohibidas por defecto.

Las cuatro pruebas, en el orden en que se aplican:

1. Artículo 5(3) de la Directiva ePrivacy, sobre almacenar información en el dispositivo del visitante o acceder a ella.
2. Artículo 6 del RGPD, sobre una base legal para el tratamiento posterior.
3. Artículo 9 del RGPD, sobre categorías especiales de datos personales.
4. Artículo 35 del RGPD, sobre si una evaluación de impacto relativa a la protección de datos es obligatoria.

¿Qué ley se aplica primero, el RGPD o ePrivacy?

ePrivacy se aplica primero, porque regula el acceso al dispositivo y no el tratamiento que viene después. El texto consolidado del artículo 5(3) de la Directiva 2002/58/CE, modificado en 2009, dice:

"Member States shall ensure that the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned has given his or her consent, having been provided with clear and comprehensive information, in accordance with Directive 95/46/EC, inter alia, about the purposes of the processing. This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service."

Dos palabras de ese texto hacen todo el trabajo. Dice "information", no datos personales. Y cubre "gaining of access to information already stored", no solo escribir una cookie.

El EDPB cerró las salidas habituales en las Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, versión 2.0, adoptadas el 16 de octubre de 2024. El párrafo 10 cita al Tribunal de Justicia en Planet49 (asunto C-673/17, párrafo 70): "That protection applies to any information stored in such terminal equipment, regardless of whether or not it is personal data". El párrafo 12 concluye que la noción "includes both non-personal data and personal data, regardless of how this data was stored and by whom".

El párrafo 33 nombra el mecanismo exacto que usa un grabador: "Additional examples would include JavaScript code, where the accessing entity instructs the browser of the user to send asynchronous requests with the targeted information. Such access clearly falls within the scope of Article 5(3) ePD."

El párrafo 53, en una sección titulada Local processing, mata el argumento de que un grabador es seguro porque construye su payload en el navegador: "If at any point and for example in the client-side code, the processed information is made available to a third-party, for example sent back over the network to a server, such an operation ... would constitute a 'gaining of access to information already stored'. The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD."

El párrafo 56 añade el matiz que importa: aplicabilidad no es lo mismo que requisito de consentimiento, y "in each case it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply". Las dos exenciones disponibles son la transmisión y la estricta necesidad, y un grabador que se mantiene para que un equipo de producto vea sesiones más tarde no es estrictamente necesario para entregar la página que pidió el visitante.

¿Qué base legal puedes usar para session replay?

El artículo 6(1) del RGPD dice que el tratamiento "shall be lawful only if and to the extent that at least one of the following applies", y las dos candidatas para replay son:

"(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes"

"(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child."

La respuesta de ePrivacy condiciona la respuesta del RGPD. Si el artículo 5(3) exige consentimiento para siquiera ejecutar el script, apoyar el tratamiento posterior en el interés legítimo no te salva, porque la recogida ya era ilícita antes de que empezara la ponderación. El consentimiento también tiene una forma definida: el artículo 4(11) exige "any freely given, specific, informed and unambiguous indication of the data subject's wishes ... by a statement or by a clear affirmative action", y el artículo 7(3) añade que "It shall be as easy to withdraw as to give consent", lo que en replay significa un interruptor vivo dentro del script y no una dirección de correo en una política. La misma lógica está desarrollada para herramientas de medición en requisitos de consentimiento del RGPD para analítica web.

¿Cuándo captura una grabación datos de categoría especial?

Siempre que un visitante los escriba en un campo que no enmascaraste. El artículo 9(1) es una prohibición, no un factor de riesgo:

"Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited."

El artículo 9(2)(a) levanta la prohibición solo con "explicit consent", un listón más alto que el consentimiento del artículo 6(1)(a) que cubre los datos ordinarios. Un verificador de síntomas, un formulario de presupuesto de seguro o la renovación de una afiliación sindical producen datos del artículo 9 en el momento en que la pulsación se serializa, y el enmascarado por defecto es la única configuración que los mantiene fuera de tu almacenamiento. Ese valor por defecto varía enormemente entre librerías, que es el tema de redacción de PII en session replay. Si una dirección IP por sí sola convierte una grabación en dato personal es una pregunta aparte, tratada en si una dirección IP es un dato personal.

¿Session replay obliga a hacer una EIPD?

A menudo, y la prueba está en el artículo 35(1): una EIPD es obligatoria "Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons".

El artículo 35(3) enumera después tres casos en los que una "shall in particular be required":

Grabar a todos los visitantes por defecto en un sitio que maneja datos del artículo 9 aterriza en (b) sin mucha discusión. Grabar una muestra enmascarada para reproducir bugs puede no alcanzar siquiera el umbral del artículo 35(1), pero esa conclusión es de las que se documentan en lugar de darse por supuestas.

¿Qué han dicho realmente las autoridades de control?

Menos de lo que esperarías, y la declaración más clara no viene de una autoridad de la UE.

La guía sobre el uso de tecnologías de almacenamiento y acceso de la ICO británica, publicada el 20 de diciembre de 2024 y finalizada el 29 de abril de 2026, afirma que "Regulation 6 of PECR applies whenever the use of scripts and tags accesses or stores information on a user's device". Después deja a replay fuera de la excepción de analítica que la Data (Use and Access) Act añadió al derecho británico: "The statistical purposes exception does not allow you to monitor or track individual visitors to your service. You must obtain consent for: logs or recordings of individual visitors to your website and the actions they took (if not obtained for the purposes of security)". Eso es un regulador nombrando la práctica y colocándola del lado del consentimiento, con una excepción de seguridad estrecha.

La advertencia es jurisdiccional. Esa excepción por fines estadísticos existe en la PECR británica y no tiene equivalente en la Directiva ePrivacy de la UE, así que el Reino Unido es más permisivo con la analítica ordinaria mientras sigue exigiendo consentimiento para las grabaciones.

En la UE, la CNIL publica las condiciones bajo las que la medición de audiencia se libra del consentimiento, y están dibujadas con la estrechez suficiente para excluir replay por construcción. Los trackers deben ser "utilisés pour une finalité strictement limitée à la seule mesure de l'audience du site ou de l'application", deben "servir à produire des données statistiques anonymes uniquement", y no deben "permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web". La CNIL añade un tope de trece meses para la vida del tracker y de veinticinco meses para los datos resultantes. Una grabación por visitante no es estadística anónima, así que falla la segunda condición antes de que los topes de retención importen.

Lo que falta es una decisión sancionadora. Buscar la expresión "session replay" en el propio sitio de la CNIL devolvió cero resultados el 13 de septiembre de 2026, y en esta investigación no apareció ninguna guía del EDPB ni decisión de autoridad de la UE que nombre la práctica. El historial sancionador que sí existe está en los tribunales de Estados Unidos bajo las leyes de escuchas, un cuerpo normativo aparte tratado en demandas por escuchas contra session replay. Trata la ausencia de una decisión en la UE como precedente sin probar, no como permiso.

Preguntas frecuentes

¿Session replay necesita siempre consentimiento en la UE?

Casi siempre, porque el artículo 5(3) de la Directiva ePrivacy atrapa al script antes de que el RGPD pregunte nada. Las únicas salidas son la exención de transmisión y la de estricta necesidad, y un grabador que se mantiene para análisis posterior no es estrictamente necesario para prestar el servicio que pidió el visitante.

¿Enmascarar todos los campos elimina la necesidad de consentimiento?

No. El artículo 5(3) cubre "information", no datos personales, y el EDPB confirmó en el párrafo 12 de las Guidelines 2/2023 que la noción "includes both non-personal data and personal data". El enmascarado reduce tu exposición al artículo 9 y el radio de daño de una brecha. No saca al script de ePrivacy.

¿Puedo apoyarme en el interés legítimo para session replay?

Solo para el tratamiento que sigue a una recogida lícita. El artículo 6(1)(f) es una ponderación entre tus intereses y los "interests or fundamental rights and freedoms" del visitante, y no puede curar un acceso al dispositivo para el que el artículo 5(3) exigía consentimiento desde el principio.

¿Necesito una EIPD antes de activar session replay?

Si grabas a gran escala en páginas donde los visitantes introducen datos del artículo 9, el artículo 35(3)(b) la hace obligatoria. Fuera de ese caso, aplica la prueba del artículo 35(1) sobre naturaleza, alcance, contexto y fines, y escribe la conclusión en cualquier sentido para poder enseñar el razonamiento después.

¿Ha multado algún regulador de la UE a una empresa por session replay?

En esta investigación no apareció ninguna decisión así, y el buscador del propio sitio de la CNIL no devuelve nada para la expresión. La declaración de regulador más cercana es la de la ICO británica, que exige consentimiento para "logs or recordings of individual visitors to your website and the actions they took".

¿El procesamiento en el cliente deja al grabador fuera de ePrivacy?

No. El párrafo 53 de las Guidelines 2/2023 del EDPB aborda exactamente ese argumento y responde que "The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD" una vez el resultado se envía de vuelta por la red.

¿La excepción de necesidad estricta puede cubrir session replay?

No. Esa excepción es para accesos necesarios para prestar el servicio que pidió el visitante, y un grabador que se mantiene para que el equipo de producto revise sesiones más tarde no llega a ese nivel. El ICO británico deja una excepción estrecha para registros mantenidos solo por seguridad, pero una grabación de analítica de producto normal queda fuera de ella.

¿La excepción de medición de audiencia de la CNIL cubre session replay?

No. Esa excepción exige que los rastreadores se usen de forma estrictamente estadística y anónima, y una grabación por visitante individual falla esa condición antes de que importen los plazos de conservación. Las propias condiciones de la CNIL excluyen cualquier cosa que permita seguir a un visitante identificado, que es justo lo que hace session replay.

¿Session replay se regula igual en Estados Unidos que en la UE?

El marco legal no es el mismo en ambos casos. En la UE y el Reino Unido las reglas pasan por ePrivacy, PECR y el RGPD, mientras que el historial de aplicación en Estados Unidos hasta ahora está en sentencias judiciales bajo leyes estatales de escuchas telefónicas, no en un regulador de protección de datos. Trata ambos como cuerpos de derecho separados con riesgos separados, no como un único programa de cumplimiento que cubra los dos.

¿Cuál es la diferencia entre el consentimiento explícito y el consentimiento ordinario para session replay?

El consentimiento ordinario del artículo 6(1)(a) debe ser libre, específico, informado e inequívoco, tal como se exige para la mayoría de los datos personales. El consentimiento explícito del artículo 9(2)(a) es el nivel más alto que se exige en cuanto una grabación capta datos de categoría especial, como información de salud escrita en un campo sin enmascarar, y es la única vía que levanta la prohibición del artículo 9(1).