Session replay y protección de datos: cómo usar bien los vídeos del ratón

Un vídeo del ratón, en el argot session replay, no es una película de la pantalla. En el navegador del visitante se va anotando cómo se construye y cambia la página, hacia dónde se desplaza el ratón, cuándo se hace scroll y dónde se hace clic. En su servidor se construye con ello una reproducción que parece un vídeo. Usted ve lo que el visitante vio e hizo.

Es potente. Precisamente por eso es delicado. Este artículo muestra para qué sirven los vídeos del ratón, dónde están los riesgos, qué medidas de protección debería establecer y cuándo es mejor renunciar a ellos. No sustituye al asesoramiento jurídico.

Para qué sirve

Las cifras le dicen que una página se abandona. Un vídeo del ratón puede mostrar por qué. Casos típicos:

• Problemas de manejo. Los visitantes hacen clic varias veces en algo que no es un enlace. O buscan visiblemente una opción de menú que no existe.
• Abandonos de formularios. Ve en qué campo se rinde alguien, aunque no conozca el contenido.
• Recorridos por la página. ¿Qué páginas se visitan una tras otra, dónde se lee durante mucho tiempo, dónde se salta?
• Errores de visualización. Un diseño que solo se rompe en un tamaño de pantalla determinado salta a la vista de inmediato en el vídeo.

La utilidad depende de la cantidad. Quien ve un vídeo de principio a fin aprende algo sobre un visitante. Un patrón solo lo reconoce con muchos. Pregúntese antes qué pregunta concreta quiere responder. Sin pregunta, los vídeos del ratón se quedan en simple curiosidad.

Dónde están los riesgos

La grabación es completa mientras no excluya nada. Eso significa:

• Texto visible de la página. Todo lo que está en la página está en el vídeo. En una página de producto pública es inofensivo. En una página con nombres, direcciones o pedidos, no.
• Entradas. Lo que alguien escribe en un campo puede quedar anotado. Contraseñas, números de cuenta, datos de salud, texto libre en formularios de contacto: eso nunca debe aparecer en un vídeo.
• Áreas con sesión iniciada. Las cuentas de cliente, las cajas y las herramientas internas muestran datos personales, aunque nadie escriba nada.
• Contenidos incrustados. Los contenidos ajenos en iframes, como ventanas de pago, mapas, vídeos o widgets de chat, tienen sus propias reglas y no deberían llegar a su vídeo.
• Reidentificación. Quien acompaña la lectura puede vincular una visita con otros datos, por ejemplo con un correo que está abierto en ese momento. El vídeo ofrece la ocasión, sus sistemas el resto.

Medidas de protección como lista de comprobación

Debería marcar estos puntos antes de activar los vídeos del ratón:

1. Enmascarar las entradas. Todos los campos de entrada se hacen ilegibles ya en el navegador, antes de que algo salga del visitante. Un ocultamiento solo en el servidor llega tarde.
2. Ocultar zonas. Los banners de cookies, las ventanas de chat, las ventanas de pago y todo lo que muestre contenidos personales se excluyen mediante un selector.
3. Bloquear rutas. La caja, el carrito, la cuenta y las páginas de pedidos ni siquiera se graban.
4. Plazo de borrado corto. Los vídeos no son un archivo. Cuanto más corto el plazo, menor el riesgo. Fíjelo y borre de verdad.
5. Informar por separado. Mencione expresamente los vídeos del ratón en la política de privacidad e indique finalidad, base jurídica y plazo de borrado. Una frase sobre «estadística» no basta.
6. Activar solo tras una decisión. La herramienta no debería funcionar en todas partes, sino solo donde tenga una pregunta. Pruebe en una página, no en todo el sitio web.
7. Examinar la evaluación de impacto. Si hace falta una (art. 35 RGPD) depende del alcance, del tipo de datos y del grupo de visitantes. En una grabación sistemática, hágalo comprobar de forma consciente y documente el resultado.
8. Aclarar los contratos. Si un prestador de servicios gestiona la grabación por usted, necesita un contrato de encargo de tratamiento (art. 28 RGPD).

Dos cosas forman también parte de la práctica. Primero: compruebe usted mismo la reproducción navegando como visitante de prueba y mirando en el vídeo qué se hace visible. Segundo: quien tenga acceso a los vídeos debería tener un rol que usted pueda nombrar. No todo el mundo en la casa tiene que verlo todo.

Clasificación para Alemania, Austria y Suiza

Hay que responder a dos preguntas por separado. Las respuestas dependen del caso concreto, la clasificación siguiente es una visión de conjunto.

Acceso al dispositivo. Un script que almacena o lee información en el dispositivo del visitante necesita en Alemania, según el § 25 TDDDG, en principio un consentimiento, siempre que no se aplique una excepción. La excepción para servicios estrictamente necesarios se interpreta de forma restrictiva. Si un script de grabación entra en ella no debería responderlo con optimismo. En Austria lo regula de forma similar el § 165 apdo. 3 TKG 2021.

Tratamiento de datos personales. Un vídeo del ratón puede contener datos personales aunque no haya ningún nombre en la imagen. Entonces rige el RGPD y necesita una base jurídica según el art. 6. Más sobre ello y sobre la elección entre consentimiento e interés legítimo: Consentimiento o interés legítimo: cómo decidir. La visión de conjunto la encuentra en Reconocimiento de visitantes y RGPD: una clasificación sobria.

Suiza. La ley de protección de datos revisada apuesta menos por el consentimiento que por la transparencia. Debe informar de qué datos trata y con qué finalidad. Los visitantes pueden oponerse al tratamiento. Una grabación con contenidos visibles y entradas sin información clara tampoco allí se puede justificar apenas. Para las cookies y técnicas similares rigen además los deberes de información del derecho de telecomunicaciones.

Todas las fuentes se consultaron el 06.11.2026. Las leyes cambian, compruebe el estado actual antes de decidir y consulte con su asesoría jurídica en caso de duda.

Cuándo debería renunciar a ello

Hay ámbitos en los que la utilidad no compensa los riesgos:

• Salud. Los datos de salud están especialmente protegidos (art. 9 RGPD). Ya el hecho de qué página lee alguien puede revelar algo.
• Finanzas. Solicitudes, saldos, comparaciones de crédito: demasiada información con muy poco control.
• Niños y jóvenes. Si su página se dirige a menores, no debería haber ninguna grabación.
• Áreas con sesión iniciada. Quien ha iniciado sesión espera que nadie esté mirando.

Donde renuncie a ello, le quedan otras vías: encuestas, pruebas con personas reales que den su consentimiento o cifras sin referencia individual.

Cómo puede tratarlo una herramienta

Un ejemplo de cómo pueden aplicarse las medidas de protección: con Whovisit usted graba vídeos del ratón solo para visitas de empresas reconocidas y los activa o desactiva por sitio web. Todos los campos de entrada se enmascaran ya en el navegador. Los iframes y los vídeos incrustados quedan fuera. Otras zonas las oculta usted mismo. Las rutas sensibles como la caja las bloquea usted. Los vídeos se borran por defecto a los 30 días. Cómo configurarlo figura en la ayuda, en Activar, limitar y ver vídeos del ratón. Eso no hace inofensivos los vídeos del ratón: también las grabaciones enmascaradas muestran el contenido de la página y el comportamiento. La comprobación jurídica sigue siendo cosa suya.

En resumen

Los vídeos del ratón responden a preguntas concretas sobre el manejo si los utiliza de forma selectiva y limitada en el tiempo. Enmascare las entradas en el navegador, bloquee las áreas sensibles, borre pronto e informe por separado. Compruebe el consentimiento para el acceso al dispositivo y una base jurídica para el tratamiento. Renuncie donde estén afectados la salud, las finanzas o los niños.