Pourquoi le Replay de Session Est Particulièrement Risqué

La plupart des technologies de suivi capturent des signaux agrégés ou à granularité grossière. Le replay de session capture une reconstruction quasi verbatim du comportement individuel de l'utilisateur, incluant les valeurs saisies, les mouvements du curseur, la progression du défilement et l'état du DOM au niveau de la page. Cela élève les enjeux juridiques de plusieurs manières spécifiques.

Lois Étatiques Américaines sur les Écoutes

Plusieurs États américains — notamment la Californie, la Floride, la Pennsylvanie, le Massachusetts et l'Illinois — disposent de lois sur les écoutes à consentement bipartite que les cabinets d'avocats des plaignants ont appliqué agressivement au replay de session. La théorie : si votre site enregistre une session d'interaction d'un visiteur sans consentement affirmatif, et qu'un fournisseur tiers traite cet enregistrement, le fournisseur a intercepté la communication entre l'utilisateur et l'éditeur. Le California Invasion of Privacy Act (CIPA) a été le statut le plus productif pour les plaignants en 2024 et 2025, avec des règlements allant des faibles six chiffres à des dizaines de millions pour les cibles les plus importantes.

GDPR et ePrivacy

En droit européen, le replay de session est presque toujours une activité de traitement qui requiert un consentement opt-in. Les enregistrements contiennent régulièrement des données personnelles : adresses IP, saisies tapées, trajets du curseur pouvant révéler des préoccupations sanitaires ou financières, et des métadonnées qui se joignent à un identifiant de compte first-party. L'ICO britannique, le Garante italien et la CNIL française ont tous émis des lignes directrices selon lesquelles le replay de session nécessite un consentement préalable opt-in, et le Datatilsynet norvégien a infligé une amende à un grand éditeur en 2023 spécifiquement pour avoir exploité Hotjar sans mécanisme de consentement.

Fuite de Données Sensibles

Les outils de replay de session capturent par défaut tout ce que l'utilisateur tape ou avec quoi il interagit — y compris les mots de passe, les numéros de carte de crédit, les numéros de sécurité sociale, les informations médicales et tout contenu sensible copié-collé. Les fournisseurs proposent des fonctionnalités de suppression, mais ces fonctionnalités sont désactivées par défaut ou nécessitent une configuration opt-in explicite. Une intégration de replay mal configurée peut silencieusement envoyer des données PHI ou PCI à un processeur tiers, déclenchant simultanément des violations HIPAA, PCI DSS et de catégorie spéciale GDPR.

L'Architecture de Consentement dont Vous Avez Réellement Besoin

Un déploiement de replay de session défendable en 2026 comporte trois contrôles superposés : consentement préalable, configuration d'enregistrement respectueuse de la vie privée, et minimisation des données en aval.

Couche 1 — Consentement Préalable Avant Tout Enregistrement

Pour le trafic EU, UK et EEA, le fournisseur de replay ne doit pas être initialisé avant un consentement affirmatif. Cela signifie que le script d'initialisation doit être chargé dans un emplacement sécurisé par un CMP, indexé sur un objectif tel que IAB TCF Objectif 8 (Mesurer les performances du contenu) ou Objectif 10 (Développer et améliorer les produits), selon votre découpage des finalités. Pour le trafic américain dans les États à consentement bipartite, la même logique de déclenchement s'applique — le script ne doit s'initialiser que lorsque l'utilisateur a donné son consentement affirmatif, idéalement via le même flux CMP, avec une divulgation explicite que la page enregistre votre session à des fins d'analyse UX.

Couche 2 — Masquer Plutôt que Capturer par Défaut

Chaque fournisseur moderne de replay de session prend en charge la suppression au niveau du DOM. L'approche souhaitée est refuser par défaut, autoriser par annotation — masquer chaque saisie de texte et chaque élément à moins qu'il ne soit explicitement marqué comme sûr. Les noms d'attributs spécifiques diffèrent selon les fournisseurs (data-hj-suppress pour Hotjar, data-clarity-mask pour Clarity, data-fs-privacy="mask" pour FullStory), mais le schéma est identique. Les champs de formulaire, les espaces de compte, l'UI de paiement et tout endroit où des données sensibles pourraient apparaître doivent être couverts.

Couche 3 — Anonymisation IP et Conservation

Chaque grand fournisseur de replay prend en charge l'anonymisation IP, une fenêtre de conservation configurable et des options de résidence géographique des données. Définissez la conservation sur la période la plus courte qui prend en charge votre flux de travail UX, généralement 30 à 90 jours, et activez l'anonymisation IP si le fournisseur la prend en charge. Pour le trafic EU, choisissez une option de résidence des données EU là où elle est proposée.

Configuration Spécifique au Fournisseur

Les différentes plateformes de replay ont des postures par défaut différentes. Celles ci-dessous sont les plus courantes dans les déploiements 2026, avec les paramètres qui modifient matériellement le tableau de conformité.

Hotjar

Hotjar est livré avec la suppression de texte désactivée par défaut dans la plupart des intégrations. Activez le paramètre Supprimer le contenu textuel à l'échelle du site, puis utilisez l'attribut data-hj-allow pour mettre en liste blanche les éléments spécifiques que vous souhaitez capturer. Activez l'anonymisation IP dans les paramètres du site. Activez le Mode Consentement et connectez-le à votre CMP pour que l'enregistrement ne commence qu'après un consentement explicite pour l'analytique. Hotjar prend en charge l'intégration de Google Consent Mode v2 nativement.

Microsoft Clarity

Clarity est gratuit, ce qui explique que de nombreux petits éditeurs y ont recours sans examen de conformité approprié. Par défaut, Clarity masque les mots de passe et les champs ressemblant à des cartes de crédit, mais pas grand-chose d'autre. Configurez data-clarity-mask sur tous les champs de données personnelles. Activez Masquer tout le texte dans les paramètres du projet lorsque c'est possible. L'option de résidence des données EU de Clarity se trouve dans les paramètres du projet Clarity — activez-la si vous servez du trafic EU. Utilisez l'API JavaScript clarity('consent') pour contrôler l'enregistrement du replay via votre CMP.

FullStory

FullStory dispose de la configuration de confidentialité la plus granulaire parmi les principaux fournisseurs. Utilisez Éléments exclus, Pages exclues, Blocage d'éléments et l'attribut data-fs-privacy="mask" en combinaison. Le paramètre Privé par défaut de FullStory doit être activé pour le trafic EU. Connectez l'appel API FS.consent() à l'état de consentement de votre CMP.

Mouseflow, LogRocket, Smartlook

Les fournisseurs plus petits offrent généralement des contrôles similaires sous des noms différents. Le schéma cohérent : désactivez la capture par défaut, mettez en liste blanche ce dont vous avez besoin, activez l'anonymisation IP, configurez la conservation, et n'initialisez jamais le SDK avant le consentement. Ne supposez pas qu'un fournisseur est conforme par défaut — ils sont conçus pour les équipes produit, pas pour les équipes vie privée.

Qu'en Est-il de la Question du Mode Consentement Google ?

Google Consent Mode v2 se mappe indirectement au replay de session. Les signaux les plus proches sont analytics_storage et, si le replay est utilisé pour l'optimisation des annonces, ad_user_data. Lorsque analytics_storage est refusé, l'enregistrement de replay doit être supprimé ou, au minimum, réduit à un mode échantillonné statistiquement et agrégé si le fournisseur en propose un. La plupart des fournisseurs de replay de session n'ont pas encore intégré complètement le Mode Consentement v2, donc un CMP correctement connecté effectue toujours l'essentiel du travail.

Défaillances Courantes Attirant les Actions Collectives

• Le replay s'exécute avant l'apparition de la bannière — le script se déclenche au chargement de la page, capture les premières secondes et ne s'arrête qu'une fois le CMP résolu. C'est la violation la plus courante, et les plaignants CIPA ont construit des dizaines d'affaires autour d'elle
• La capture de texte par défaut est activée — le replay renvoie les valeurs des champs de formulaire, les requêtes de recherche et les messages de chat non supprimés
• Pas de consentement pour les utilisateurs authentifiés — un utilisateur se connecte, et le replay continue silencieusement même si l'utilisateur n'a jamais affirmé son consentement à l'analytique
• Pas de divulgation dans la politique de confidentialité — le fournisseur de replay n'est pas nommé, la finalité du traitement n'est pas expliquée, et aucun chemin d'opt-out n'est documenté
• Le GPC est ignoré — un signal Global Privacy Control devrait supprimer le replay pour les résidents américains des États à opt-out, mais la plupart des intégrations par défaut ne le respectent pas
• La conservation dépasse la finalité documentée — un défaut fournisseur de 12 mois est laissé en place alors que l'équipe UX n'a besoin que de 30 jours, élargissant l'exposition aux violations sans bénéfice

Considérations pour les Secteurs Sensibles

Certains secteurs font face à un risque catégoriel avec le replay de session qui ne peut pas être entièrement atténué par la configuration.

Santé

En vertu de HIPAA, l'utilisation du replay de session sur toute page susceptible d'afficher des informations de santé protégées nécessite un Business Associate Agreement avec le fournisseur, une autorisation explicite de l'utilisateur et une minimisation stricte des données. La plupart des éditeurs considèrent cette catégorie comme entièrement hors limites pour le replay de session standard.

Finance

Les banques, les assureurs et les plateformes fintech font face à la fois à une exposition PCI DSS sur les pages de paiement et à une attention accrue de la FTC sur le suivi des finances des consommateurs. Le replay de session doit être exclu de toute page de mouvement d'argent authentifiée.

Contenu pour Enfants

COPPA exige un consentement parental vérifiable pour tout suivi d'utilisateurs de moins de 13 ans. Le replay de session sur un site pour enfants sans ce consentement constitue une violation catégorielle de COPPA.

Liste de Contrôle d'Audit pour 2026

• Le SDK de replay est conditionné par un signal CMP de consentement affirmatif ; l'initialisation est différée jusqu'après l'enregistrement du consentement
• Le masquage de texte est activé globalement, avec uniquement des éléments en liste blanche
• Les saisies de formulaire, les champs de paiement, les espaces de compte authentifiés et les widgets de chat sont entièrement exclus
• L'anonymisation IP est activée au niveau du fournisseur
• La conservation est fixée à la période minimale qui prend en charge le besoin UX
• L'option de résidence des données EU est activée pour le trafic EU là où le fournisseur la prend en charge
• Le fournisseur est nommé dans la politique de confidentialité avec la base légale, la finalité et la conservation indiquées
• Un Accord de Traitement des Données est signé et classé, avec une évaluation de transfert Schrems II le cas échéant
• Le GPC et les opt-outs applicables des États américains suppriment l'initialisation du replay
• Les sessions authentifiées héritent du même contrôle de consentement que les sessions anonymes
• Les pages de secteurs sensibles (santé, finance, contenu pour enfants) sont catégoriquement exclues de la capture

La Posture Pragmatique pour 2026

Le replay de session offre aux équipes UX une vue inhabituellement claire de la façon dont les utilisateurs vivent réellement un site, et ce n'est pas un outil dont quiconque veut se débarrasser. La réponse n'est pas de le supprimer. La réponse est d'intégrer le consentement, le masquage et la conservation dans le déploiement dès le premier jour, et de documenter la configuration afin qu'un régulateur ou l'avocat d'un plaignant ne puisse pas ultérieurement qualifier l'utilisation d'interception clandestine. Les éditeurs qui traitent le replay de session comme un outil UX ordinaire sans la plomberie de conformité continueront à alimenter la chaîne des actions collectives tout au long de 2026. Les éditeurs qui investissent dans la plomberie conserveront les avantages de l'outil avec une posture juridique défendable à l'appui.