O que a conformidade do session replay com o GDPR realmente exige de você

O session replay está em conformidade com o GDPR?

A resposta honesta a uma pergunta sobre a conformidade do session replay com o GDPR é que a ferramenta não é conforme nem não conforme por si só, porque conformidade é propriedade de uma implantação específica e quatro testes separados decidem o caso. Um script de replay não filma a tela. Ele serializa o DOM no navegador do visitante, transmite as mutações e reconstrói a sessão depois, o que significa que toca o dispositivo, produz dados sobre uma pessoa identificável na maioria das configurações e pode varrer categorias que o GDPR trata como proibidas por padrão.

Os quatro testes, na ordem em que se aplicam:

1. Artigo 5(3) da Diretiva ePrivacy, sobre armazenar ou acessar informação no dispositivo do visitante.
2. Artigo 6 do GDPR, sobre a base legal para o tratamento que vem depois.
3. Artigo 9 do GDPR, sobre categorias especiais de dados pessoais.
4. Artigo 35 do GDPR, sobre a obrigatoriedade de uma avaliação de impacto sobre a proteção de dados.

Qual lei se aplica primeiro, o GDPR ou a ePrivacy?

A ePrivacy se aplica primeiro, porque ela governa o ato de alcançar o dispositivo, e não o tratamento que vem em seguida. O texto consolidado do Artigo 5(3) da Diretiva 2002/58/CE, com as alterações de 2009, diz:

"Member States shall ensure that the storing of information, or the gaining of access to information already stored, in the terminal equipment of a subscriber or user is only allowed on condition that the subscriber or user concerned has given his or her consent, having been provided with clear and comprehensive information, in accordance with Directive 95/46/EC, inter alia, about the purposes of the processing. This shall not prevent any technical storage or access for the sole purpose of carrying out the transmission of a communication over an electronic communications network, or as strictly necessary in order for the provider of an information society service explicitly requested by the subscriber or user to provide the service."

Duas palavras desse texto fazem o trabalho pesado. Ele diz "information", não dados pessoais. E cobre "gaining of access to information already stored", não apenas a escrita de um cookie.

O EDPB fechou as saídas de sempre nas Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, versão 2.0, adotadas em 16 de outubro de 2024. O parágrafo 10 cita o Tribunal de Justiça no caso Planet49 (Processo C-673/17, parágrafo 70): "That protection applies to any information stored in such terminal equipment, regardless of whether or not it is personal data". O parágrafo 12 conclui que a noção "includes both non-personal data and personal data, regardless of how this data was stored and by whom".

O parágrafo 33 nomeia exatamente o mecanismo que um gravador de replay usa: "Additional examples would include JavaScript code, where the accessing entity instructs the browser of the user to send asynchronous requests with the targeted information. Such access clearly falls within the scope of Article 5(3) ePD."

O parágrafo 53, em uma seção intitulada Local processing, derruba o argumento de que um gravador está a salvo por montar o payload no navegador: "If at any point and for example in the client-side code, the processed information is made available to a third-party, for example sent back over the network to a server, such an operation ... would constitute a 'gaining of access to information already stored'. The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD."

O parágrafo 56 acrescenta a nuance que importa: aplicabilidade não é o mesmo que exigência de consentimento, e "in each case it would have to be assessed if a consent is needed or whether an exemption under Article 5(3) ePD could apply". As duas isenções disponíveis são a de transmissão e a de estrita necessidade, e um gravador mantido para que um time de produto assista às sessões depois não é estritamente necessário para entregar a página que o visitante pediu.

Que base legal dá para usar em session replay?

O Artigo 6(1) do GDPR diz que o tratamento "shall be lawful only if and to the extent that at least one of the following applies", e os dois candidatos para replay são:

"(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes"

"(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child."

A resposta da ePrivacy limita a resposta do GDPR. Se o Artigo 5(3) exige consentimento para rodar o script, apoiar o tratamento posterior em interesse legítimo não te salva, porque a coleta já era ilícita antes de o teste de ponderação começar. O consentimento também tem forma definida: o Artigo 4(11) exige "any freely given, specific, informed and unambiguous indication of the data subject's wishes ... by a statement or by a clear affirmative action", e o Artigo 7(3) acrescenta que "It shall be as easy to withdraw as to give consent", o que para replay significa um botão de desligamento ativo no script, e não um endereço de e-mail em uma política. A mesma lógica é destrinchada para ferramentas de medição em requisitos de consentimento do GDPR para web analytics.

Quando uma gravação captura dados de categoria especial?

Sempre que um visitante os digita em um campo que você não mascarou. O Artigo 9(1) é uma proibição, não um fator de risco:

"Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited."

O Artigo 9(2)(a) levanta a proibição apenas mediante "explicit consent", uma barra mais alta que o consentimento do Artigo 6(1)(a) que cobre dados comuns. Um verificador de sintomas, um formulário de cotação de seguro ou uma renovação de filiação sindical produz dado do Artigo 9 no instante em que a tecla é serializada, e mascarar por padrão é a única configuração que mantém isso fora do seu armazenamento. Esse padrão varia enormemente entre bibliotecas, que é o assunto de redação de PII em session replay. Se um endereço IP sozinho torna uma gravação dado pessoal é outra questão, tratada em um endereço IP é dado pessoal.

O session replay dispara uma DPIA?

Com frequência, e o teste está no Artigo 35(1): uma DPIA é exigida "Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons".

O Artigo 35(3) então lista três casos em que ela "shall in particular be required":

Gravar todo visitante por padrão em um site que lida com campos do Artigo 9 cai no item (b) sem muita discussão. Gravar uma amostra mascarada para reproduzir bugs pode nem alcançar o limiar do Artigo 35(1), mas essa é uma conclusão que se documenta, não que se presume.

O que as autoridades supervisoras de fato disseram?

Menos do que você esperaria, e a declaração mais clara não vem de uma autoridade da UE.

A orientação da ICO do Reino Unido sobre o uso de tecnologias de armazenamento e acesso, publicada em 20 de dezembro de 2024 e finalizada em 29 de abril de 2026, afirma que "Regulation 6 of PECR applies whenever the use of scripts and tags accesses or stores information on a user's device". Ela então tira o replay da exceção de analytics que o Data (Use and Access) Act acrescentou à lei britânica: "The statistical purposes exception does not allow you to monitor or track individual visitors to your service. You must obtain consent for: logs or recordings of individual visitors to your website and the actions they took (if not obtained for the purposes of security)". Isso é um regulador nomeando a prática e colocando-a do lado do consentimento, com uma exceção estreita de segurança acoplada.

A ressalva é jurisdicional. Essa exceção de finalidades estatísticas existe no PECR britânico e não tem equivalente na Diretiva ePrivacy da UE, então o Reino Unido é mais permissivo com analytics comum e ainda assim exige consentimento para gravações.

Na UE, a CNIL publica as condições sob as quais a medição de audiência escapa do consentimento, e elas são tão apertadas que excluem o replay por construção. Os rastreadores precisam ser "utilisés pour une finalité strictement limitée à la seule mesure de l'audience du site ou de l'application", precisam "servir à produire des données statistiques anonymes uniquement" e não podem "permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web". A CNIL ainda impõe um teto de treze meses para a vida do rastreador e de vinte e cinco meses para os dados resultantes. Uma gravação por visitante não é estatística anônima, então ela falha na segunda condição antes de os tetos de retenção importarem.

O que falta é uma decisão de aplicação. A busca pela expressão "session replay" no site da própria CNIL retornou zero resultados em 13 de setembro de 2026, e nenhuma diretriz do EDPB ou decisão de autoridade da UE nomeando a prática apareceu nesta pesquisa. O histórico de aplicação que existe está nos tribunais dos Estados Unidos, sob leis de interceptação, um corpo legal separado tratado em processos de wiretapping sobre session replay. Trate a ausência de uma decisão na UE como precedente não testado, não como permissão.

Perguntas frequentes

O session replay sempre precisa de consentimento na UE?

Quase sempre, porque o Artigo 5(3) da Diretiva ePrivacy pega o script antes de o GDPR perguntar qualquer coisa. As únicas saídas são a isenção de transmissão e a de estrita necessidade, e um gravador mantido para análise posterior não é estritamente necessário para prestar o serviço que o visitante pediu.

Mascarar todos os campos elimina a necessidade de consentimento?

Não. O Artigo 5(3) cobre "information", não dados pessoais, e o EDPB confirmou no parágrafo 12 das Guidelines 2/2023 que a noção "includes both non-personal data and personal data". Mascarar reduz sua exposição ao Artigo 9 e o raio de impacto de um vazamento. Não tira o script do alcance da ePrivacy.

Dá para usar interesse legítimo em session replay?

Só para o tratamento que se segue a uma coleta lícita. O Artigo 6(1)(f) é um teste de ponderação entre os seus interesses e os "interests or fundamental rights and freedoms" do visitante, e ele não cura um acesso ao dispositivo para o qual o Artigo 5(3) exigia consentimento desde o início.

Preciso de uma DPIA antes de ligar o session replay?

Se você grava em escala em páginas onde visitantes digitam dados do Artigo 9, o Artigo 35(3)(b) torna a DPIA obrigatória. Fora desse caso, rode o teste do Artigo 35(1) sobre natureza, escopo, contexto e finalidades, e registre a conclusão de um jeito ou de outro para conseguir mostrar o raciocínio depois.

Algum regulador da UE já multou uma empresa por session replay?

Nenhuma decisão desse tipo apareceu nesta pesquisa, e a busca do próprio site da CNIL não retorna nada para a expressão. A declaração de regulador mais próxima é a da ICO britânica, que exige consentimento para "logs or recordings of individual visitors to your website and the actions they took".

Processar do lado do cliente mantém um gravador fora da ePrivacy?

Não. O parágrafo 53 das Guidelines 2/2023 do EDPB trata exatamente desse argumento e responde que "The fact that this information is being produced locally does not preclude the application of Article 5(3) ePD" assim que o resultado é enviado pela rede.

A exceção de necessidade estrita cobre o session replay?

Não. Essa exceção serve para acessos necessários para entregar o serviço que o visitante pediu, e um gravador mantido para a equipe de produto revisar sessões depois não chega a esse patamar. O ICO britânico abre uma exceção estreita para registros mantidos só por segurança, mas uma gravação comum de analytics de produto fica fora dela.

A exceção de medição de audiência da CNIL cobre o session replay?

Não. Essa exceção exige rastreadores usados só para medição estatística anônima, e uma gravação por visitante individual falha nessa condição antes mesmo de os prazos de retenção entrarem em jogo. As próprias condições da CNIL excluem qualquer coisa que permita seguir um visitante identificado, que é exatamente o que o session replay faz.

O session replay é regulado da mesma forma nos Estados Unidos e na UE?

O instrumento não é o mesmo dos dois lados. Na UE e no Reino Unido as regras passam pela ePrivacy, pela PECR e pelo GDPR, enquanto o histórico de aplicação nos Estados Unidos até agora está em decisões judiciais sob leis estaduais de escuta, não em um regulador de proteção de dados. Trate os dois como corpos de lei separados com exposições separadas, não como um único programa de compliance que cobre ambos.

Qual é a diferença entre consentimento explícito e consentimento comum para session replay?

O consentimento comum previsto no artigo 6(1)(a) precisa ser livre, específico, informado e inequívoco, como se exige para a maioria dos dados pessoais. O consentimento explícito previsto no artigo 9(2)(a) é o patamar mais alto exigido quando uma gravação capta dados de categoria especial, como informações de saúde digitadas em um campo sem máscara, e é a única via que afasta a proibição do artigo 9(1).