# Session replay et protection des données : bien utiliser les vidéos de souris

> Le session replay montre comment les visiteurs utilisent une page. Où il est utile, où se situent les risques pour les données et quelles protections prévoir.

Quelle: https://whovisit.app/fr/blog/session-replay-protection-donnees-videos-souris
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Une vidéo de souris, appelée dans le jargon *session replay*, n'est pas un film de l'écran. Dans le navigateur du visiteur, on enregistre comment la page se construit et se modifie, où la souris se déplace, quand on fait défiler et où l'on clique. Sur votre serveur, on en construit une lecture qui ressemble à une vidéo. Vous voyez ce que le visiteur a vu et fait.

C'est puissant. C'est précisément pour cela que c'est délicat. Cet article montre à quoi servent les vidéos de souris, où se situent les risques, quelles protections mettre en place et quand il vaut mieux y renoncer. Il ne remplace pas un conseil juridique.

## À quoi cela sert

Les chiffres vous disent qu'une page est quittée. Une vidéo de souris peut montrer pourquoi. Cas typiques :

- **Problèmes d'utilisation.** Des visiteurs cliquent plusieurs fois sur quelque chose qui n'est pas un lien. Ou ils cherchent visiblement une entrée de menu qui n'existe pas.
- **Abandons de formulaire.** Vous voyez à quel champ quelqu'un renonce, même sans connaître le contenu.
- **Parcours dans le site.** Quelles pages sont visitées l'une après l'autre, où lit-on longtemps, où saute-t-on ?
- **Erreurs d'affichage.** Une mise en page qui ne se casse que sur une taille d'écran précise saute immédiatement aux yeux dans la vidéo.

L'utilité dépend de la quantité. Qui regarde une vidéo d'un bout à l'autre apprend quelque chose sur un visiteur. Un schéma ne se repère que sur beaucoup. Demandez-vous d'abord à quelle question concrète vous voulez répondre. Sans question, les vidéos de souris ne sont que de la curiosité.

## Où se situent les risques

L'enregistrement est complet tant que vous n'excluez rien. Cela signifie :

- **Texte visible de la page.** Tout ce qui est écrit sur la page se trouve dans la vidéo. Sur une page produit publique, c'est inoffensif. Sur une page avec des noms, des adresses ou des commandes, non.
- **Saisies.** Ce que quelqu'un tape dans un champ peut être enregistré. Mots de passe, numéros de compte, informations de santé, texte libre dans des formulaires de contact : cela n'a jamais sa place dans une vidéo.
- **Espaces connectés.** Comptes clients, caisses et outils internes montrent des données personnelles, même sans que personne ne tape quoi que ce soit.
- **Contenus intégrés.** Les contenus tiers dans des iframes, comme fenêtres de paiement, cartes, vidéos ou widgets de chat, ont leurs propres règles et ne devraient pas se retrouver dans votre vidéo.
- **Réidentification.** Qui lit en parallèle peut relier une visite à d'autres données, par exemple à un e-mail ouvert à ce moment. La vidéo elle-même fournit l'occasion, vos systèmes le reste.

## Mesures de protection sous forme de liste de contrôle

Ces points sont à cocher avant d'activer les vidéos de souris :

1. **Masquer les saisies.** Tous les champs de saisie sont rendus illisibles dès le navigateur, avant que quoi que ce soit ne quitte le visiteur. Un noircissement seulement sur le serveur arrive trop tard.
2. **Masquer des zones.** Bannières de cookies, fenêtres de chat, fenêtres de paiement et tout ce qui montre des contenus personnels sont exclus par sélecteur.
3. **Bloquer des chemins.** Caisse, panier, compte et pages de commande ne sont tout simplement pas enregistrés.
4. **Durée de suppression courte.** Les vidéos ne sont pas une archive. Plus le délai est court, plus le risque est faible. Fixez-le et supprimez réellement.
5. **Informer séparément.** Mentionnez expressément les vidéos de souris dans la déclaration de confidentialité et indiquez la finalité, la base juridique et la durée de suppression. Une phrase sur la « statistique » ne suffit pas.
6. **N'activer qu'après décision.** L'outil ne devrait pas tourner partout, mais seulement là où vous avez une question. Testez sur une page, pas sur tout le site.
7. **Examiner l'analyse d'impact.** Savoir si une analyse d'impact est nécessaire (art. 35 RGPD) dépend de l'ampleur, du type de données et du groupe de visiteurs. Faites-le examiner consciemment en cas d'enregistrement systématique et documentez le résultat.
8. **Clarifier les contrats.** Si un prestataire exploite l'enregistrement pour vous, il vous faut un contrat de sous-traitance (art. 28 RGPD).

Deux choses relèvent aussi de la pratique. Premièrement : vérifiez vous-même la lecture en naviguant comme visiteur de test et en regardant dans la vidéo ce qui devient visible. Deuxièmement : qui a accès aux vidéos devrait avoir un rôle que vous pouvez nommer. Tout le monde dans l'entreprise n'a pas à tout voir.

## Classement pour l'Allemagne, l'Autriche et la Suisse

Deux questions sont à traiter séparément. Les réponses dépendent du cas particulier, le classement suivant est un aperçu.

**Accès à l'appareil terminal.** Un script qui stocke ou lit des informations sur l'appareil du visiteur exige en Allemagne, selon le [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html) (le texte allemand sur la protection des données dans les télécommunications et les services numériques), en principe un consentement, sauf si une exception s'applique. L'exception pour les services strictement nécessaires est interprétée étroitement. Ne répondez pas avec optimisme à la question de savoir si un script d'enregistrement en relève. En Autriche, le [§ 165, al. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678) règle cela de façon similaire.

**Traitement de données à caractère personnel.** Une vidéo de souris peut contenir des données personnelles, même si aucun nom n'apparaît à l'image. Le [RGPD](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) s'applique alors et il vous faut une base juridique selon l'art. 6. Plus de détails à ce sujet et sur le choix entre consentement et intérêt légitime : [Consentement ou intérêt légitime : comment décider](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse). Vous trouverez la vue d'ensemble dans [Reconnaissance des visiteurs et RGPD : une analyse sobre](https://whovisit.app/blog/besuchererkennung-dsgvo).

**Suisse.** La [loi révisée sur la protection des données](https://www.fedlex.admin.ch/eli/cc/2022/491/de) mise moins sur le consentement que sur la transparence. Vous devez informer des données traitées et de la finalité. Les visiteurs peuvent s'opposer au traitement. Un enregistrement avec contenus visibles et saisies sans information claire est là aussi difficilement justifiable. Pour les cookies et techniques similaires s'appliquent en outre les obligations d'information du droit des télécommunications.

Toutes les sources ont été consultées le 06.11.2026. Les lois changent : vérifiez l'état actuel avant une décision et parlez-en à votre conseil juridique en cas de doute.

## Quand il faut y renoncer

Il existe des domaines où l'utilité ne compense pas les risques :

- **Santé.** Les données de santé sont particulièrement protégées (art. 9 RGPD). Même le simple fait de savoir quelle page quelqu'un lit peut révéler quelque chose.
- **Finances.** Demandes, soldes de comptes, comparateurs de crédit : trop d'informations pour trop peu de contrôle.
- **Enfants et adolescents.** Si votre site s'adresse à des mineurs, aucun enregistrement ne devrait tourner.
- **Espaces connectés.** Qui s'est connecté s'attend à ce que personne ne regarde.

Là où vous y renoncez, d'autres voies vous restent : enquêtes, tests avec de vraies personnes qui consentent, ou chiffres sans lien avec une personne.

## Comment un outil peut s'y prendre

Un exemple de mise en œuvre des mesures de protection : avec Whovisit, vous n'enregistrez des vidéos de souris que pour les visites d'entreprises reconnues et vous les activez ou désactivez pour chaque site web. Tous les champs de saisie sont masqués dès le navigateur. Les iframes et les vidéos intégrées restent à l'extérieur. D'autres zones, vous les masquez vous-même. Les chemins sensibles comme la caisse, vous les bloquez. Les vidéos sont supprimées par défaut au bout de 30 jours. La manière de le régler figure dans l'aide sous [Activer, restreindre et regarder les vidéos de souris](https://whovisit.app/hilfe/mausvideos-einstellen-und-ansehen). Cela ne rend pas les vidéos de souris inoffensives : même les enregistrements masqués montrent le contenu de la page et le comportement. L'examen juridique reste à votre charge.

## En bref

Les vidéos de souris répondent à des questions concrètes sur l'utilisation si vous les employez de façon ciblée et limitée dans le temps. Masquez les saisies dans le navigateur, bloquez les zones sensibles, supprimez tôt et informez séparément. Vérifiez le consentement pour l'accès à l'appareil et une base juridique pour le traitement. Renoncez là où la santé, les finances ou les enfants sont concernés.