Hotjar, Microsoft Clarity : ce que le RGPD impose avant d'installer un outil d'enregistrement de session
Publie le 01/11/2026 · Temps de lecture : 9 min
Hotjar et Microsoft Clarity figurent parmi les outils les plus installes sur les sites de TPE et de PME pour comprendre comment les visiteurs utilisent une page : ou ils cliquent, jusqu'ou ils font defiler la page, a quel moment ils abandonnent un formulaire. Ces outils vont plus loin qu'un compteur de visites classique comme Google Analytics : ils enregistrent le comportement individuel de chaque visiteur, parfois sous la forme d'une video reconstituee image par image de sa navigation. Cette granularite, tres utile pour ameliorer un site, en fait aussi l'un des traitements de donnees les plus sensibles qu'un site web puisse mettre en place.
Beaucoup d'editeurs de sites les installent en quelques minutes via un simple extrait de code, sans se poser la question du consentement ni de ce que l'outil capture reellement. Voici ce que le RGPD impose avant, pendant et apres l'installation d'un outil de ce type.
Sommaire
- 1. Ce que capturent vraiment ces outils
- 2. Pourquoi un consentement prealable est obligatoire
- 3. Le risque specifique des donnees sensibles saisies dans un formulaire
- 4. Configurer l'outil en conformite
- 5. Ou vont les donnees : editeur et transferts hors UE
- 6. Vous utilisez deja Hotjar ou Clarity ? La check-list d'audit
- Questions frequentes
1. Ce que capturent vraiment ces outils
Un outil d'enregistrement de session comme Hotjar, Microsoft Clarity, Mouseflow ou FullStory combine generalement deux fonctions. La premiere est la carte de chaleur (heatmap), qui agrege les clics et les mouvements de souris de l'ensemble des visiteurs sur une page pour reperer les zones les plus consultees. La seconde, plus intrusive, est le replay de session : une reconstitution visuelle, visite par visite, des mouvements de souris, des clics, du defilement et, selon la configuration, du contenu affiche a l'ecran, y compris ce qu'un visiteur tape dans un champ de formulaire.
Cette seconde fonction cree un dossier individuel reconstituable pour chaque visiteur, associe a un identifiant technique propre a l'outil. Meme sans nom ni email, cet identifiant permet de suivre le comportement d'une meme personne sur plusieurs pages, voire plusieurs visites : il s'agit donc bien d'une donnee personnelle au sens de l'article 4 du RGPD, qui inclut explicitement les identifiants en ligne dans sa definition.
2. Pourquoi un consentement prealable est obligatoire
En droit francais, le depot de tout traceur non strictement necessaire au fonctionnement du site est encadre par l'article 82 de la loi Informatique et Libertes, qui transpose la directive europeenne dite « ePrivacy ». Cette regle ne distingue pas selon la finalite commerciale ou non du traceur : un outil d'amelioration de l'ergonomie du site est logee dans la meme categorie juridique qu'un cookie publicitaire.
La CNIL exempte de consentement certains cookies de mesure d'audience, mais a des conditions tres strictes : donnees strictement agregees et anonymes, aucune possibilite d'identifier individuellement un visiteur, duree de conservation limitee, pas de transmission a des tiers. Un outil qui reconstitue la session d'un visiteur precis, par definition, ne remplit pas ces conditions puisque sa fonction meme est de permettre de rejouer le comportement d'une personne identifiee par un identifiant unique. Hotjar et Microsoft Clarity doivent donc etre traites comme n'importe quel autre cookie non essentiel : aucun script ne doit s'executer avant que le visiteur ait fait un choix explicite dans la banniere de consentement.
3. Le risque specifique des donnees sensibles saisies dans un formulaire
Le danger principal de ces outils ne reside pas seulement dans le consentement, mais dans la nature des informations qu'ils peuvent capturer sans discernement. Si le masquage n'est pas configure, un enregistrement de session peut retranscrire le contenu tape par un visiteur dans un champ de formulaire : symptomes decrits dans un formulaire de contact medical, situation financiere dans une simulation de credit, orientation religieuse evoquee dans un message, ou simplement un mot de passe si le champ n'est pas correctement identifie comme sensible par le navigateur.
Ces categories de donnees relevent de l'article 9 du RGPD, qui interdit par principe le traitement des donnees de sante, d'origine raciale ou ethnique, d'opinions politiques, religieuses ou philosophiques, ou relatives a la vie sexuelle, sauf exception strictement encadree (dont le consentement explicite de la personne, distinct du consentement au depot de cookies). Collecter ce type de donnees par accident, via un outil d'analyse comportementale mal configure, constitue un manquement au principe de minimisation pose par l'article 5.1.c du RGPD, independamment de toute intention de l'editeur du site.
4. Configurer l'outil en conformite
La mise en conformite repose sur trois leviers cumulatifs. D'abord, le consentement : le declenchement du script de l'outil doit etre conditionne au choix exprime dans la banniere cookies, au meme titre qu'un pixel publicitaire. Ensuite, le masquage des champs sensibles : Hotjar et Microsoft Clarity annoncent tous deux proposer un masquage automatique de certains types de champs (mot de passe notamment) ainsi qu'une option pour exclure manuellement des zones ou des champs de formulaire entiers du replay. Ce reglage merite une verification concrete sur chaque formulaire du site, et non une simple confiance dans le reglage par defaut.
Enfin, l'encadrement contractuel : l'editeur de l'outil agit comme sous-traitant au sens de l'article 28 du RGPD. Un contrat ou des conditions d'utilisation integrant les clauses obligatoires (nature et finalite du traitement, duree, obligations de securite, sort des donnees en fin de contrat) doit exister, au meme titre que pour n'importe quel autre sous-traitant RGPD. Il est recommande de fixer dans les parametres de l'outil une duree de conservation des enregistrements aussi courte que possible au regard de leur finalite reelle (quelques semaines a quelques mois suffisent generalement pour une analyse d'ergonomie).
5. Ou vont les donnees : editeur et transferts hors UE
La localisation de l'editeur et de ses serveurs fait partie des elements a verifier avant l'installation. Microsoft, qui edite Clarity, est une entreprise americaine soumise au droit americain, notamment au Cloud Act, ce qui implique de verifier les garanties de transfert proposees par l'editeur (clauses contractuelles types, mecanismes de certification) avant toute mise en service. Le raisonnement et les garanties attendues sont les memes que pour tout autre outil de mesure d'audience americain.
Ces garanties doivent figurer dans la politique de confidentialite du site, au meme titre que les autres destinataires de donnees. En l'absence d'information claire de l'editeur sur ce point, le principe de precaution impose de limiter au maximum le perimetre de collecte (masquage large des champs, exclusion des pages contenant des informations sensibles) tant que le doute n'est pas leve.
6. Vous utilisez deja Hotjar ou Clarity ? La check-list d'audit
Si l'outil est deja installe sur votre site, quatre verifications permettent de mesurer l'ecart avec les exigences du RGPD : le script se charge-t-il uniquement apres consentement explicite dans la banniere cookies (test simple en navigation privee, sans rien accepter) ; les champs de mot de passe, de coordonnees bancaires et de sante sont-ils exclus du replay ; une duree de conservation raisonnable est-elle fixee dans les parametres de l'outil plutot que la duree maximale par defaut ; enfin, le traitement figure-t-il dans votre registre des traitements avec sa base legale et ses destinataires. Un ecart sur l'un de ces quatre points doit etre corrige sans attendre un controle.
Vos scripts tiers sont-ils vraiment conditionnes au consentement ?
ConformiteFacile bloque automatiquement les outils comme Hotjar ou Microsoft Clarity jusqu'au choix du visiteur et archive la preuve de chaque consentement.
Mettre mon site en conformiteQuestions frequentes
Hotjar ou Microsoft Clarity peuvent-ils fonctionner sans bandeau de consentement ?
Non. Ces outils deposent un identifiant technique (cookie ou stockage local) pour relier les evenements d'une meme visite et permettre le replay de session. Cet identifiant constitue un traceur au sens de l'article 82 de la loi Informatique et Libertes, qui transpose la directive europeenne « ePrivacy » : il ne peut etre depose qu'apres un consentement prealable, sauf exemption stricte qu'un outil de replay individuel ne remplit pas.
Microsoft Clarity est-il gratuit, donc plus simple a utiliser legalement ?
La gratuite d'un outil ne change rien a son statut au regard du RGPD : la question n'est pas le prix mais la nature des donnees traitees. Microsoft Clarity enregistre des comportements individuels (mouvements de souris, clics, contenu affiche a l'ecran), exactement comme un outil payant. Le consentement prealable et la conformite du contrat avec l'editeur restent obligatoires.
Que risque une TPE qui utilise ces outils sans consentement ?
Le risque juridique est identique a celui d'un cookie publicitaire mal gere : mise en demeure de la CNIL en cas de plainte ou de controle, obligation de corriger sous un delai impose, puis sanction financiere en cas de non-conformite persistante. Le montant est proportionne a la taille de l'entreprise, mais l'absence de consentement constitue en elle-meme un manquement constate, independamment du nombre de visiteurs concernes.
Le masquage des champs de formulaire suffit-il a rendre l'outil conforme ?
Le masquage reduit un risque precis (la capture accidentelle de donnees sensibles saisies par le visiteur), mais il ne remplace pas le consentement prealable au depot du traceur ni le contrat de sous-traitance avec l'editeur. Les trois mesures sont cumulatives : consentement, masquage des champs sensibles, et encadrement contractuel du sous-traitant.
Faut-il mentionner Hotjar ou Clarity dans le registre des traitements ?
Oui. Tout outil qui collecte des donnees sur les visiteurs de votre site constitue un traitement a part entiere au sens de l'article 30 du RGPD : il doit figurer dans votre registre, avec sa finalite (amelioration de l'ergonomie du site), sa base legale (consentement), les donnees concernees et la duree de conservation appliquee par l'editeur.
Pour comparer les offres et choisir la formule adaptee a votre site, consultez notre page tarifs.
A lire aussi
Chat en direct sur un site web : les obligations RGPD avant d'installer un widget
Lire
Google Fonts, reCAPTCHA, cartes et videos integrees : les risques RGPD caches des scripts tiers
Lire