Ce que la conformité RGPD du session replay exige vraiment

Le session replay est-il conforme au RGPD ?

La réponse honnête à une question de conformité RGPD du session replay, c'est que l'outil n'est ni conforme ni non conforme en soi, parce que la conformité est une propriété d'un déploiement précis et que quatre tests distincts la décident. Un script de replay ne filme pas un écran. Il sérialise le DOM dans le navigateur du visiteur, diffuse les mutations, et reconstruit la session plus tard, ce qui veut dire qu'il touche l'appareil, produit des données sur une personne identifiable dans la plupart des configurations, et peut ramasser des catégories que le RGPD traite comme interdites par défaut.

Les quatre tests, dans l'ordre où ils s'appliquent :

1. L'article 5(3) de la directive ePrivacy, sur le stockage ou l'accès à de l'information sur l'appareil du visiteur.
2. L'article 6 du RGPD, sur la base légale du traitement qui suit.
3. L'article 9 du RGPD, sur les catégories particulières de données personnelles.
4. L'article 35 du RGPD, sur le caractère obligatoire ou non d'une analyse d'impact relative à la protection des données.

Quelle loi s'applique en premier, le RGPD ou ePrivacy ?

ePrivacy s'applique en premier, parce qu'elle encadre le fait d'aller chercher dans l'appareil plutôt que le traitement qui suit. Le texte consolidé de l'article 5(3) de la directive 2002/58/CE, tel que modifié en 2009, dit :

"Member States shall ensure that the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned has given his or her consent, having been provided with clear and comprehensive information, in accordance with Directive 95/46/EC, inter alia, about the purposes of the processing. This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service."

Deux mots de ce texte font tout le travail. Il dit "information", pas donnée personnelle. Et il couvre le "gaining of access to information already stored", pas seulement l'écriture d'un cookie.

L'EDPB a fermé les échappatoires habituelles dans les Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, version 2.0, adoptées le 16 octobre 2024. Le paragraphe 10 cite la Cour de justice dans Planet49 (affaire C-673/17, paragraphe 70) : "That protection applies to any information stored in such terminal equipment, regardless of whether or not it is personal data". Le paragraphe 12 conclut que la notion "includes both non-personal data and personal data, regardless of how this data was stored and by whom".

Le paragraphe 33 nomme exactement le mécanisme qu'utilise un enregistreur de replay : "Additional examples would include JavaScript code, where the accessing entity instructs the browser of the user to send asynchronous requests with the targeted information. Such access clearly falls within the scope of Article 5(3) ePD."

Le paragraphe 53, dans une section intitulée Local processing, tue l'argument selon lequel un enregistreur serait à l'abri parce qu'il construit sa charge utile dans le navigateur : "If at any point and for example in the client-side code, the processed information is made available to a third-party, for example sent back over the network to a server, such an operation ... would constitute a 'gaining of access to information already stored'. The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD."

Le paragraphe 56 ajoute la nuance qui compte : l'applicabilité n'est pas la même chose qu'une obligation de consentement, et "in each case it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply". Les deux exemptions disponibles sont la transmission et la stricte nécessité, et un enregistreur conservé pour qu'une équipe produit puisse regarder les sessions plus tard n'est pas strictement nécessaire à la livraison de la page que le visiteur a demandée.

Quelle base légale peux-tu utiliser pour le session replay ?

L'article 6(1) du RGPD dit que le traitement "shall be lawful only if and to the extent that at least one of the following applies", et les deux candidats pour le replay sont :

"(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes"

"(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child."

La réponse ePrivacy contraint la réponse RGPD. Si l'article 5(3) exige le consentement pour exécuter le script tout court, faire reposer le traitement ultérieur sur l'intérêt légitime ne te sauve pas, parce que la collecte était illicite avant même que la mise en balance commence. Le consentement a aussi une forme définie : l'article 4(11) exige "any freely given, specific, informed and unambiguous indication of the data subject's wishes ... by a statement or by a clear affirmative action", et l'article 7(3) ajoute qu'"It shall be as easy to withdraw as to give consent", ce qui, pour le replay, veut dire un coupe-circuit en direct dans le script plutôt qu'une adresse e-mail dans une politique. Le même raisonnement est déroulé pour les outils de mesure dans les exigences de consentement RGPD pour l'analyse web.

Quand un enregistrement capture-t-il des données sensibles ?

Dès qu'un visiteur les tape dans un champ que tu n'as pas masqué. L'article 9(1) est une interdiction, pas un facteur de risque :

"Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited."

L'article 9(2)(a) ne lève l'interdiction que sur "explicit consent", une barre plus haute que le consentement de l'article 6(1)(a) qui couvre les données ordinaires. Un questionnaire de symptômes, un formulaire de devis d'assurance ou un renouvellement d'adhésion syndicale produit des données article 9 à la seconde où la frappe est sérialisée, et le masquage par défaut est la seule configuration qui les garde hors de ton stockage. Ce réglage par défaut varie énormément d'une librairie à l'autre, ce qui fait l'objet de la rédaction des données personnelles dans le session replay. Savoir si une adresse IP suffit à elle seule à faire d'un enregistrement une donnée personnelle est une autre question, traitée dans une adresse IP est-elle une donnée personnelle.

Le session replay déclenche-t-il une AIPD ?

Souvent, et le test est à l'article 35(1) : une AIPD est requise "Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons".

L'article 35(3) liste ensuite trois cas où elle "shall in particular be required" :

Enregistrer chaque visiteur par défaut sur un site qui traite des champs article 9 tombe sur le (b) sans grande discussion. Enregistrer un échantillon masqué pour reproduire des bugs peut ne jamais atteindre le seuil de l'article 35(1), mais c'est une conclusion que tu documentes plutôt que tu ne présumes.

Qu'ont réellement dit les autorités de contrôle ?

Moins que tu ne le croirais, et la déclaration la plus claire ne vient pas d'une autorité de l'UE.

Les lignes directrices de l'ICO britannique sur l'usage des technologies de stockage et d'accès, publiées le 20 décembre 2024 et finalisées le 29 avril 2026, indiquent que "Regulation 6 of PECR applies whenever the use of scripts and tags accesses or stores information on a user's device". Elles excluent ensuite le replay de la dérogation analytique que le Data (Use and Access) Act a ajoutée au droit britannique : "The statistical purposes exception does not allow you to monitor or track individual visitors to your service. You must obtain consent for: logs or recordings of individual visitors to your website and the actions they took (if not obtained for the purposes of security)". Voilà un régulateur qui nomme la pratique et la place du côté consentement de la ligne, avec une exception de sécurité étroite en pièce jointe.

La réserve est juridictionnelle. Cette dérogation pour finalités statistiques existe dans le PECR britannique et n'a aucun équivalent dans la directive ePrivacy de l'UE, donc le Royaume-Uni est plus permissif sur l'analyse ordinaire tout en exigeant le consentement pour les enregistrements.

Dans l'UE, la CNIL publie les conditions dans lesquelles la mesure d'audience échappe au consentement, et elles sont rédigées assez serré pour exclure le replay par construction. Les traceurs doivent être "utilisés pour une finalité strictement limitée à la seule mesure de l'audience du site ou de l'application", doivent "servir à produire des données statistiques anonymes uniquement", et ne doivent pas "permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web". La CNIL ajoute un plafond de treize mois sur la durée de vie du traceur et de vingt-cinq mois sur les données qui en résultent. Un enregistrement par visiteur n'est pas une statistique anonyme, donc il échoue à la deuxième condition avant même que les plafonds de conservation entrent en jeu.

Ce qui manque, c'est une décision de sanction. Une recherche de l'expression "session replay" sur le site de la CNIL renvoyait zéro résultat le 13 septembre 2026, et aucune ligne directrice de l'EDPB ni décision d'autorité de l'UE nommant la pratique n'est ressortie de cette recherche. Le contentieux qui existe se trouve devant les tribunaux américains, au titre des lois sur les écoutes, un corpus juridique distinct traité dans les procès sur le session replay et les lois anti-écoutes. Traite l'absence de décision européenne comme un précédent non testé, pas comme une autorisation.

Questions fréquentes

Le session replay a-t-il toujours besoin du consentement dans l'UE ?

Presque toujours, parce que l'article 5(3) de la directive ePrivacy attrape le script avant que le RGPD ne demande quoi que ce soit. Les seules sorties sont l'exemption de transmission et l'exemption de stricte nécessité, et un enregistreur conservé pour analyse ultérieure n'est pas strictement nécessaire à la fourniture du service demandé par le visiteur.

Masquer tous les champs supprime-t-il le besoin de consentement ?

Non. L'article 5(3) couvre l'"information", pas les données personnelles, et l'EDPB a confirmé au paragraphe 12 des Guidelines 2/2023 que la notion "includes both non-personal data and personal data". Le masquage réduit ton exposition article 9 et le rayon d'explosion d'une fuite. Il ne fait pas sortir le script d'ePrivacy.

Puis-je m'appuyer sur l'intérêt légitime pour le session replay ?

Seulement pour le traitement qui suit une collecte licite. L'article 6(1)(f) est une mise en balance entre tes intérêts et les "interests or fundamental rights and freedoms" du visiteur, et il ne peut pas rattraper un accès à l'appareil pour lequel l'article 5(3) exigeait le consentement au départ.

Faut-il une AIPD avant d'activer le session replay ?

Si tu enregistres à grande échelle sur des pages où les visiteurs saisissent des données article 9, l'article 35(3)(b) la rend obligatoire. En dehors de ce cas, applique le test de l'article 35(1) sur la nature, la portée, le contexte et les finalités, et note la conclusion dans un sens comme dans l'autre pour pouvoir montrer le raisonnement plus tard.

Un régulateur européen a-t-il déjà sanctionné une entreprise pour du session replay ?

Aucune décision de ce type n'est ressortie de cette recherche, et la recherche interne du site de la CNIL ne renvoie rien pour l'expression. La déclaration de régulateur la plus proche est celle de l'ICO britannique, qui exige le consentement pour "logs or recordings of individual visitors to your website and the actions they took".

Le traitement côté client garde-t-il un enregistreur hors d'ePrivacy ?

Non. Le paragraphe 53 des Guidelines 2/2023 de l'EDPB traite exactement cet argument et répond que "The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD" dès lors que le résultat est renvoyé sur le réseau.

L'exception de nécessité stricte peut-elle couvrir le session replay ?

Non. Cette exception vise les accès nécessaires pour fournir le service demandé par le visiteur, et un enregistreur maintenu pour qu'une équipe produit revisionne des sessions plus tard n'atteint pas ce seuil. L'ICO britannique laisse une exception étroite pour les journaux conservés uniquement à des fins de sécurité, mais un enregistrement d'analyse produit ordinaire en reste exclu.

L'exception de mesure d'audience de la CNIL couvre-t-elle le session replay ?

Non. Cette exception exige des traceurs utilisés strictement à des fins statistiques et anonymes, et un enregistrement par visiteur individuel échoue à cette condition avant même que les durées de conservation entrent en jeu. Les conditions de la CNIL excluent elles-mêmes tout ce qui permet de suivre un visiteur identifié, ce qui est exactement ce que fait le session replay.

Le session replay est-il régulé de la même façon aux États-Unis et dans l'UE ?

Pas par le même texte. Dans l'UE et au Royaume-Uni, les règles passent par ePrivacy, la PECR et le RGPD, alors que le dossier d'application aux États-Unis repose pour l'instant sur des décisions de justice fondées sur des lois d'écoute électronique de certains États, pas sur un régulateur de la protection des données. Traite les deux comme des corpus juridiques distincts avec des expositions distinctes, pas comme un seul programme de conformité qui couvrirait les deux.

Quelle est la différence entre le consentement explicite et le consentement ordinaire pour le session replay ?

Le consentement ordinaire au titre de l'article 6(1)(a) doit être libre, spécifique, informé et univoque, comme l'exige la plupart des traitements de données personnelles. Le consentement explicite au titre de l'article 9(2)(a) est le seuil plus élevé qui s'applique dès qu'un enregistrement capture des données sensibles, par exemple des informations de santé saisies dans un champ non masqué, et c'est la seule voie qui lève l'interdiction de l'article 9(1).