Rejeu de session : ce que la recommandation de la CNIL change pour Clarity et Hotjar

Si votre tag Clarity ou Hotjar part sur All Pages, vous avez un chantier. La CNIL a publié le 5 novembre 2026 sa recommandation sur les outils de rejeu de session. Elle a été adoptée par la délibération n° 2026-114 du 8 octobre 2026. Il y a donc deux dates, et la règle ne date pas du jour où vous l’avez lue dans la presse.

Une recommandation qui vise un outil, pas GA4

Un outil de rejeu reconstitue le parcours complet de navigation d’un utilisateur sur un site ou une application mobile. GA4 compte des événements. Clarity et Hotjar rejouent une visite comme une vidéo. Pour certains traceurs de mesure d’audience, une exemption au consentement existe sous conditions. Pour le rejeu, la CNIL rappelle que le consentement préalable s’impose, car aucune exemption n’est applicable. Elle rattache ces outils à l’article 82 de la loi Informatique et Libertés.

Ce que le texte vous demande

Consentement, finalité, information

Le consentement est donc préalable, sans échappatoire. Les finalités doivent être déterminées avant le déploiement, pas après la collecte. La CNIL recommande aussi une information spécifique sur le rejeu dès le premier niveau des CMP. Si votre bandeau ne parle que de mesure d’audience, il faudra le retoucher.

Masquage, durées, sous-traitants

Le texte insiste sur un outil de masquage, une limitation du nombre de sessions collectées et un usage restreint des identifiants. Il recommande aussi de masquer les mouvements de souris dans certaines zones, pour éviter de capter par accident des codes d’authentification. Les outils devraient aussi masquer le contenu des discussions de chatbot.

Sur la conservation, l’annexe distingue selon les finalités. Pour certains cas, elle indique quelques mois, afin de se limiter aux problèmes de la version actuelle du site. Pour le support, c’est quelques heures après la fin de la session.

Pour les sous-traitants, les éditeurs doivent choisir des fournisseurs dont les outils leur permettent de respecter leurs obligations. Le statut de sous-traitant du fournisseur vient du projet soumis à consultation en février (le fournisseur y agit en tant que sous-traitant). Vérifiez qu’il figure bien dans le texte final avant de rédiger votre contrat.

Clarity : le mode sans cookies ne règle pas tout

Microsoft documente que le Consent Mode de Clarity est activé par défaut pour l’EEE, le Royaume-Uni et la Suisse. Quand analytics_storage est refusé, le tag se charge, mais seules des données sans cookies sont collectées. Microsoft indique aussi que l’application du signal de consentement est mise à jour sur certains marchés. Ce comportement peut donc évoluer.

Je n’ai pas trouvé de position écrite de la CNIL sur ce mode dégradé. Lire « aucune exemption » comme « ne chargez pas le tag avant consentement » est une lecture prudente de ma part, pas une règle confirmée.

Côté masquage, le mode Balanced est le réglage par défaut, et les changements de masquage ne s’appliquent pas rétroactivement. Vos anciennes sessions ne seront pas nettoyées.

La checklist à appliquer dans GTM

Première règle : le tag ne part pas sur All Pages. Déclenchez-le sur l’événement de votre CMP qui confirme le consentement. Vous pouvez aussi transmettre le signal à Clarity via l’API consentv2, depuis un tag placé sur Consent Initialization. Analytics Mania explique que ce déclencheur est conçu pour s’exécuter avant tous les autres tags. Hotjar suit la même logique, avec son propre mécanisme à vérifier dans sa documentation.

Deuxième règle : excluez les pages de paiement, de compte et de formulaires par une exception de déclencheur sur leurs URL. Attention aux sites en SPA. Un script déjà chargé continue d’enregistrer quand l’internaute change de page virtuelle, et l’exception GTM ne l’arrête pas. Doublez-la avec l’attribut data-clarity-mask= »True » sur les conteneurs sensibles. Ce raisonnement est le mien, pas une consigne de Microsoft.

Troisième règle : alignez la durée de conservation sur la finalité inscrite dans votre registre. Si l’outil ne permet pas de la régler, c’est un argument pour en changer.

Faire auditer vos enregistrements par un LLM

Personne ne regardera 5 000 sessions. Un modèle peut relire du texte à votre place : URL, titres de page, noms et propriétés des événements personnalisés, texte visible. Une précaution s’impose d’abord. Envoyer de vraies sessions à un LLM est un nouveau traitement de données personnelles. Travaillez sur des sessions de test avec de fausses données, ou chez un fournisseur couvert par un contrat de sous-traitance.

Vous êtes auditeur RGPD. Voici l'export de sessions de test (URL, titres, événements, texte visible).
Repérez toute donnée personnelle non masquée : email, téléphone, nom, adresse, IBAN, numéro de carte, identifiant client, code d'authentification, contenu de chatbot.
Pour chaque occurrence : session, URL, extrait tronqué, catégorie, gravité (haute, moyenne, basse), sélecteur CSS à masquer si déductible.
Terminez par la liste des URL à exclure du tag. N'inventez rien : en cas de doute, écrivez "à vérifier".

Testez le modèle avant de lui faire confiance. Glissez vous-même un faux email et un faux IBAN dans une session, puis vérifiez qu’il les remonte. Il ne voit que ce que vous lui exportez, et une capture graphique reste un angle mort.

Ouvrez GTM, cherchez clarity.ms et hotjar dans vos tags, puis lisez le déclencheur. Si c’est All Pages, commencez par là.

Sources

Sources primaires : la page de la CNIL sur la recommandation, sa page thématique datée, la délibération n° 2026-114 sur Légifrance, le projet de recommandation (PDF) et la concertation de 2025. Côté Microsoft, la documentation Clarity sur le consentement, le masquage et la FAQ. Expert : Analytics Mania sur le consentement Clarity.

Article rédigé avec l’assistance d’une IA, relu et publié par Fabien Bourgois.