Oui, à condition d'obtenir le consentement avant que l'outil ne démarre.
Pour la CNIL, corriger des bugs, améliorer l'expérience ou aider la clientèle ne dispense pas de le demander. Vérifiez ensuite ce que le script fait avant le clic et après un refus, car le bandeau ne le montre pas.
Le repère
La position vient d'un projet de recommandation de la CNIL, soumis à consultation du 25 février au 22 avril 2026.
Début octobre 2026, la page de la consultation annonçait toujours une version définitive à venir. Le texte rattache l'enregistrement de session à l'article 82 de la loi Informatique et Libertés, qui encadre toute lecture ou écriture sur le terminal.
Nous y avons buté nous aussi. Au lancement d'un site, l'un de nous avait ajouté un outil d'enregistrement à côté d'une mesure d'audience réglée pour se passer de consentement. « T'es sûr que c'est RGPD ? », a demandé quelqu'un.
Notre collègue a répondu par une autre question : « Il faut normalement le conditionner au consentement ? » Le projet répond oui.
À notre lecture, l'exemption de la mesure d'audience ne couvre pas ces outils : elle suppose de ne produire que des données statistiques anonymes, et ils « reconstituent des sessions individuelles de navigation ».
Le projet retient trois finalités et recommande, pour chacune, une durée de conservation :
| Finalité | Conservation recommandée |
|---|---|
| Assistance à la clientèle | Quelques heures après la fin de la session |
| Amélioration de l'expérience | Quelques mois, sur la version actuelle du site |
| Détection d'erreurs techniques | Quelques mois, sur la version actuelle du site |
La règle
Rien ne doit être déposé ni enregistré avant le clic d'acceptation. La CNIL sanctionne déjà ce manquement pour les cookies.
Le 20 novembre 2025, la société qui publie vanityfair.fr a reçu une amende de 750 000 euros parce que des cookies arrivaient dès l'ouverture du site et que d'autres continuaient d'être lus après un clic sur « Tout refuser ».
En septembre 2026, nous avons relevé les traceurs de deux boutiques que nous accompagnons, sur une session vierge et avant tout choix.
Six étaient déjà déposés sur l'une et sept sur l'autre, dont ceux des outils d'enregistrement. La remise en ordre a été estimée à 9 heures pour la première et à 11 pour la seconde, soit entre une et deux journées de développement.
Les étapes
- Le libellé. Donnez à chaque finalité un intitulé court et une phrase d'explication, avec un refus aussi simple que l'acceptation. La CNIL en propose des modèles de rédaction, à reprendre au second niveau du bandeau.
- Le chargement. Faites attendre le script jusqu'à l'acceptation et arrêtez-le au retrait. Gardez de quoi démontrer le mécanisme, puisque le texte se contente d'une preuve du procédé.
- Le masquage. Bloquez toute collecte des mots de passe et des informations bancaires. Dans Clarity, le mode par défaut, Balanced, masque les nombres et les adresses e-mail en plus des champs de saisie, si bien qu'un nom ou un historique de commandes affichés dans l'espace client restent lisibles. Passez en mode Strict, ou masquez ces zones une à une dans Settings > Masking.
- La conservation. Inscrivez dans votre registre la durée réelle, que le fournisseur fixe parfois à votre place : Clarity garde les enregistrements 30 jours, et jusqu'à 9 mois pour les favoris et un échantillon.
- Le contrat. Signez un contrat de sous-traitance (article 28 du RGPD) quand le fournisseur agit pour votre compte. Microsoft se déclare responsable de traitement pour Clarity : mentionnez-le dans votre politique de confidentialité.
Le piège
Un refus n'arrête pas forcément l'outil. D'après la documentation de Clarity, quand le consentement est refusé, la balise se charge quand même et continue de collecter, sans cookie.
Le nombre d'enregistrements augmente, puisque chaque page vue devient une session. Or, tel que nous lisons le projet, la CNIL soumet au consentement l'enregistrement, avec ou sans cookie. Conditionnez donc au consentement le chargement de la balise.
Sur Shopify, Clarity lit le choix enregistré par la bannière native de la plateforme. Dans les deux boutiques auditées, le bandeau venait d'un autre fournisseur et commandait le gestionnaire de balises (GTM). Clarity, installé comme application, n'y passait pas.
Notre développeur avait intitulé ce point « faisable, mais GTM ne suffit pas » et recommandé que le bandeau transmette aussi le choix à Shopify.
Le test à faire
Ouvrez votre site en navigation privée, sans toucher au bandeau.
Dans les outils de développement du navigateur, vous ne devez trouver aucun cookie commençant par _clck (Clarity) ou _hjSession (Hotjar), ni aucune requête vers clarity.ms ou hotjar.com dans l'onglet Réseau.
Refusez ensuite tout depuis le bandeau, visitez deux pages et regardez de nouveau. Voici la note à copier pour votre direction, puis à réécrire avec vos constats :
« Avant tout clic sur le bandeau, notre site dépose déjà [N] traceurs, dont celui de l'outil d'enregistrement, et il continue de collecter après un refus. La correction représente [une à deux] journées de développement. Je propose de la planifier ce mois-ci et de faire valider le dispositif par notre DPO. »
Cette fiche ne vaut pas conseil juridique : faites valider votre dispositif par votre délégué·e à la protection des données.
