Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

La CNIL publie des recommandations de conformité sur les technologies de session replay

L'autorité française de protection des données a publié une recommandation formelle précisant les normes de conformité applicables au déploiement d'outils de session replay sur les sites web et les applications mobiles.

Ces recommandations visent les technologies qui enregistrent visuellement ou reconstituent les interactions des utilisateurs, telles que les mouvements de souris, les clics tactiles, le défilement et la saisie dans les formulaires. Le texte fixe les attentes réglementaires à la fois pour les éditeurs de logiciels concevant ces traceurs et pour les éditeurs de services qui les déploient afin de suivre les parcours utilisateurs, d'analyser les performances ou de corriger les erreurs applicatives. Pour les agents conversationnels, la CNIL recommande de masquer le contenu des échanges, questions comme réponses, car ils peuvent révéler des données sensibles.

Recommandation de la CNIL sur les traceurs de session replay et la directive ePrivacy.

Qui cela engage
Les organismes déployant des traceurs de session replay sur des sites web ou des applications mobiles ciblant des utilisateurs en France, ainsi que les éditeurs de logiciels fournissant ces outils.
Ce qui a changé
Clarification des obligations légales et des attentes réglementaires issues des règles françaises relatives à la protection des données et aux cookies concernant le consentement des utilisateurs, le déploiement des traceurs et la minimisation des données lors de l'enregistrement de sessions d'utilisateurs en ligne.

La question du jour

Selon la recommandation de la CNIL sur les outils de session replay, quelle mesure doit être appliquée aux échanges avec les agents conversationnels intégrés aux sites ?

  1. Masquer le contenu des échanges, aussi bien les questions que les réponses.
  2. Conserver les échanges enregistrés trente jours au plus avant leur suppression.
  3. Masquer les réponses de l'agent tout en conservant les questions posées.
  4. Pseudonymiser les échanges enregistrés avant toute analyse par l'éditeur.

Répondre à cette question sur le site

À savoir également

  1. L'autorité norvégienne de protection des données adresse une réprimande pour le déploiement communal d'une intelligence artificielle en maison de retraite

    La commune de Faaborg Midtfyn a déployé des capteurs équipés de caméras directement au sein de chambres en établissement d'hébergement pour personnes âgées. Le système analysait les mouvements des résidents, leur respiration, leur agitation et la qualité de leur sommeil afin de prévenir les chutes. Les responsables municipaux ont soutenu que la captation vidéo ne se déclenchait qu'en cas de risque de chute, mais le traitement portait sur des données de santé sensibles collectées auprès de personnes vulnérables. Des manquements critiques dans la préparation de la conformité menée par la commune ont été relevés par les inspecteurs. L'autorité locale avait rédigé une analyse de risques interne répertoriant des menaces génériques tout en attribuant un niveau de risque faible, non étayé, à chaque facteur individuel. Pour les agents de contrôle danois, le déploiement de dispositifs de surveillance inédits auprès de populations vulnérables imposait la réalisation préalable d'une AIPD. La commune soutenait qu'une phase pilote temporaire de seulement six mois justifiait une procédure allégée, un argument écarté par le régulateur. Les bases juridiques invoquées par l'administration communale n'ont pas non plus résisté à l'examen légal. Les clauses d'aide sociale générale figurant dans la loi danoise sur les services sociaux et dans la loi sur les soins aux personnes âgées ne sauraient légitimer une surveillance automatisée intrusive. Pour agir en toute légalité, le conseil devait satisfaire aux dispositions législatives spécifiques encadrant les technologies de sécurité et de bien-être, lesquelles imposent des garanties rigoureuses ainsi que des conditions préalables au déploiement de systèmes d'intelligence artificielle auprès de personnes atteintes de démence sévère ou d'un déclin cognitif évolutif.

  2. Datatilsynet rappelle que la consultation de registres internes exige une justification opérationnelle démontrable

    Ces décisions danoises montrent que les autorités de contrôle qualifient les recherches non justifiées dans les registres internes de traitement illicite au titre de l'Article 5(1)(a) dès lors que les responsables du traitement ne rattachent pas les accès système à des dossiers actifs.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.