EN FR

Catégorie : Rgpd

Tous les articles du blog dans cette catégorie.

Session replay et CNIL : ce que les équipes doivent vérifier après la consultation 2026

Session replay et CNIL : ce que les équipes doivent vérifier après la consultation 2026

Le 25 février 2026, la CNIL a ouvert une consultation publique sur un projet de recommandation consacré aux outils de session replay. La consultation s'est clôturée le 22 avril 2026. À la date de publication de cet article, les équipes doivent donc traiter ce projet comme un signal de cadrage fort, tout en suivant la publication de la recommandation finale. Les outils de session replay ne sont pas de simples solutions de mesure d'audience. Ils peuvent enregistrer des interactions détaillées : défilement, clics, comportement de formulaire, hésitations dans l'interface et parfois du contenu saisi si le masquage est incomplet. Ce niveau de détail crée un profil de risque différent de celui de statistiques de trafic agrégées. La conséquence pratique est simple : les équipes produit, marketing et support ne devraient pas activer le session replay comme une option de tableau de bord anodine. Il faut un objectif documenté, des réglages de minimisation, du masquage, un contrôle d'accès, une durée de conservation courte et une décision claire sur les conditions dans lesquelles l'enregistrement est autorisé. Pourquoi le session replay est sensible Le session replay peut aider à diagnostiquer des bugs, des formulaires bloquants ou des parcours difficiles à comprendre. Mais un enregistrement peut aussi révéler des données personnelles, des champs sensibles, un contexte de compte ou des comportements que l'équipe n'avait pas prévu de collecter. Une configuration trop large peut donc capter davantage d'informations que nécessaire. C'est pour cette raison que le projet de recommandation de la CNIL insiste sur la proportionnalité et les garanties. La bonne question n'est pas de savoir si un outil est populaire. Elle est de vérifier si votre configuration limite réellement ce qui est capté, qui peut le consulter et combien de temps l'information reste disponible. Checklist de lancement Avant d'activer un outil de session replay, passez en revue ces points :définissez l'objectif exact : diagnostic UX, investigation support, contrôle qualité ou autre besoin documenté ; désactivez l'enregistrement par défaut sur les pages sensibles et les espaces authentifiés, sauf justification validée ; masquez les champs de formulaire, les zones de texte libre, les données de compte et tout champ susceptible de contenir une donnée personnelle ou sensible ; limitez l'échantillon de sessions enregistrées plutôt que d'enregistrer toutes les visites ; réservez l'accès à des rôles nommés et auditez les consultations ; fixez une durée de conservation courte et supprimez les enregistrements quand le besoin opérationnel disparaît ; documentez l'outil, le fournisseur, les transferts et la conservation dans vos supports privacy ; vérifiez que l'état d'enregistrement respecte votre dispositif de consentement ou de gestion des préférences ; conservez une procédure de rollback pour couper rapidement l'enregistrement en cas de fuite ou de pic anormal.Différence avec l'analytics Pomelo Le positionnement de Pomelo est volontairement différent. Le modèle par défaut est cookieless, minimal et orienté reporting. Il sert à répondre à des questions opérationnelles avec des données agrégées, pas à rejouer des parcours individuels. Cette distinction compte. Le session replay peut être utile dans un workflow de diagnostic limité, mais il ne doit pas être confondu avec une mesure d'audience privacy-first. Pour la plupart des PME, SaaS B2B et équipes multi-sites, la base analytics doit rester plus légère qu'un outil d'enregistrement. Que faire maintenant Si vous utilisez déjà Hotjar, Microsoft Clarity, FullStory ou un outil similaire, lancez un audit court avant le prochain cycle de mise en production :listez les pages où l'enregistrement est actif ; inspectez les vingt derniers enregistrements pour détecter une capture accidentelle de données personnelles ; revoyez les règles de masquage avec un interlocuteur non technique ; confirmez la conservation et les contrôles d'accès ; décidez si l'outil est nécessaire en continu ou seulement pendant des fenêtres de recherche limitées.Si l'équipe ne peut pas expliquer pourquoi les enregistrements sont nécessaires, il est préférable de les désactiver jusqu'à ce que l'objectif et les garanties soient documentés. Sources Sources vérifiées le 9 mai 2026.CNIL, "Rejeu de session : la CNIL lance une consultation publique sur son projet de recommandation", 25 février 2026 CNIL, "Cookies et autres traceurs : la CNIL publie des recommandations pour les outils de mesure d'audience" Hotjar, "Privacy and security" Microsoft Clarity, "Privacy overview"

Sanctions CNIL : ce que les équipes analytics doivent retenir avant le lancement

Sanctions CNIL : ce que les équipes analytics doivent retenir avant le lancement

Les sanctions CNIL sont utiles parce qu'elles montrent des schémas, pas seulement des montants. Pour les équipes analytics, la leçon est claire : le risque vient rarement du fait de mesurer l'audience en soi. Il vient de finalités floues, de traceurs déclenchés avant un choix valide, de collecte excessive, d'information insuffisante, de rétention mal cadrée et de relations fournisseurs que personne n'a revues. Cet article ne cherche pas à prédire une amende. Il donne une checklist de lancement fondée sur la liste publique des sanctions CNIL et la doctrine cookies. Les risques analytics récurrents 1. Les traceurs démarrent trop tôt Si des scripts publicitaires, de personnalisation ou de suivi avancé se déclenchent avant l'enregistrement d'un choix valide, le problème est immédiat. Les équipes doivent vérifier le comportement dans le navigateur, pas seulement dans un schéma de tag management. 2. La finalité est trop large "Analytics" peut recouvrir plusieurs finalités : mesure d'audience, attribution publicitaire, retargeting, product analytics, support, personnalisation ou enrichissement CRM. Ces finalités n'ont pas le même niveau de risque. Elles doivent être séparées dans la configuration et la documentation. 3. Les données sont conservées trop longtemps La durée de conservation apparaît régulièrement dans les décisions de la CNIL. Les équipes doivent définir une rétention pour les événements bruts, les rapports agrégés, les exports et les sauvegardes. La réponse ne peut pas être "aussi longtemps que l'outil le permet". 4. Le rôle des fournisseurs est mal compris L'éditeur du site reste responsable de comprendre ce que fait son fournisseur. Les conditions de traitement, l'hébergement, les transferts, les sous-traitants et les clauses de réutilisation doivent être revus avant lancement. 5. L'explication publique est trop vague Une politique de confidentialité qui dit seulement "nous utilisons des cookies pour améliorer l'expérience" n'est pas suffisante pour une stack analytics moderne. Il faut expliquer l'outil, la finalité, les catégories de données, la durée de conservation et le mécanisme de choix avec des mots concrets. Réduire le risque avant lancement Faites ce contrôle pratique :ouvrir un profil navigateur propre et inspecter les scripts déclenchés avant tout choix ; rattacher chaque tag à une finalité et à un responsable ; supprimer les tags que personne ne sait justifier ; séparer le reporting d'audience minimal du suivi marketing enrichi ; documenter la rétention et les règles d'export ; revoir les conditions fournisseur et les mécanismes de transfert ; mettre à jour la politique de confidentialité avec les noms réels des outils ; conserver la preuve du test dans la checklist de release.Pour Pomelo, cela signifie garder une promesse publique prudente : cookieless by default, collecte minimale, documentation claire, Strict d'abord et Extended par configuration explicite. Pourquoi c'est important pour les PME Les PME pensent souvent que les contrôles visent seulement les grandes plateformes. La liste des sanctions CNIL montre aussi des organismes plus petits, notamment via la procédure simplifiée. Les montants changent, mais la leçon opérationnelle reste la même : même une petite équipe doit conserver de la traçabilité, de la minimisation et un processus de lancement propre. Une bonne gouvernance analytics n'est pas de la bureaucratie. Elle évite qu'un lancement de dernière minute se transforme en incident vie privée. Sources Sources vérifiées le 9 mai 2026.CNIL, liste des sanctions, mise à jour le 14 avril 2026 CNIL, Cookies et autres traceurs CNIL, Cookies : solutions pour les outils de mesure d'audience

Checklist RGPD analytics : 10 vérifications avant d'installer un outil de mesure

Checklist RGPD analytics : 10 vérifications avant d'installer un outil de mesure

Installer un outil analytics est facile. Le gouverner correctement l'est moins. Un script peut être en ligne en cinq minutes, mais l'équipe doit encore savoir ce qu'il collecte, pourquoi, pendant combien de temps et quel choix est présenté aux visiteurs. Utilisez cette checklist avant d'ajouter ou de modifier un outil de mesure. Elle ne remplace pas une analyse juridique. Elle donne un cadre pratique pour aligner produit, marketing, engineering et privacy. 1. Définir la finalité Écrivez la finalité en une phrase. "Comprendre l'audience et la performance du site" n'est pas la même chose que l'attribution publicitaire, le retargeting, l'analyse comportementale produit ou l'enrichissement CRM. Séparez les finalités avant de choisir l'outil. 2. Séparer collecte minimale et collecte enrichie Définissez ce qui relève du reporting d'audience minimal et ce qui relève du suivi enrichi. Paramètres de campagne, événements détaillés, objectifs, contexte technique et segmentation multi-sites doivent être des choix de configuration explicites. 3. Lister les champs collectés Regardez le payload, pas seulement le dashboard. Vérifiez URL, référent, user agent, langue, données écran, paramètres de campagne, identifiants, événements et propriétés personnalisées. Supprimez les champs qui ne servent pas la finalité déclarée. 4. Vérifier le moment de déclenchement Utilisez un profil navigateur propre et inspectez les scripts déclenchés avant tout choix visiteur. Faites-le sur l'accueil, les landing pages, les formulaires, les parcours d'achat ou d'inscription et les zones authentifiées. 5. Fixer les règles de rétention Définissez la rétention des événements bruts, rapports agrégés, exports et sauvegardes. Une rétention longue doit être justifiée par un besoin opérationnel réel, pas par un réglage par défaut. 6. Revoir les conditions fournisseur Confirmez le rôle du fournisseur, le lieu d'hébergement, les sous-traitants, les transferts, les accès support et les clauses de réutilisation. Conservez l'accord de traitement à jour avec le dossier de lancement. 7. Mettre à jour l'information publique La politique de confidentialité doit nommer l'outil, décrire la finalité, lister les grandes catégories de données, expliquer la rétention et pointer vers le mécanisme de choix ou d'opposition pertinent. 8. Tester Strict et Extended Si votre produit sépare Strict et Extended, testez les deux modes dans le navigateur et dans le stockage. Strict ne doit pas persister de champs enrichis. Extended doit être explicite et documenté. 9. Contrôler les accès et exports La donnée analytics circule vite via CSV, captures d'écran et dashboards partagés. Limitez les accès aux personnes qui en ont besoin et définissez une règle pour les exports. 10. Conserver les preuves Gardez le test navigateur, la revue payload, les liens fournisseur, la mise à jour privacy et le responsable de release dans votre checklist de lancement. Les preuves comptent quand une décision doit être réexpliquée. Lecture pour le lancement Pomelo Pour Pomelo, cette checklist se traduit par une doctrine simple : Strict par défaut, Extended par configuration, aucune mutation de profil depuis les rapports, et des explications claires dans le dashboard quand la disponibilité des données dépend du mode de collecte. SourcesCNIL, Cookies et autres traceurs : https://www.cnil.fr/fr/cookies-et-autres-traceurs CNIL, Cookies : solutions pour les outils de mesure d'audience : https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en EDPB, Guidelines 07/2020 on controller and processor concepts : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en