«Registrare come si usa un sito può aiutare a correggerlo. Registrare anche ciò che le persone confidano nella chat è un’altra cosa.»
Da sapere in breve
Il 5 novembre 2026 la CNIL, autorità francese per la protezione dei dati, ha pubblicato la raccomandazione definitiva sulla registrazione delle sessioni di navigazione, o session replay. Rispetto alla consultazione, precisa l’avviso già nel primo livello del banner e il mascheramento di chat e movimenti sui tastierini di autenticazione.
Il testo è stato adottato l’8 ottobre 2026: è un orientamento non regolamentare, non una nuova legge italiana. Chiarisce regole esistenti e non introduce una nuova scadenza generale di adeguamento.
Cosa cambia per chi gestisce un sito?
Per chi decide: prima c’era una proposta in consultazione; ora esiste un riferimento definitivo per valutare questi strumenti. Per un’azienda italiana è utile soprattutto se opera anche in Francia: il quadro applicabile va verificato sul caso concreto.
Per chi integra lo strumento: le precisazioni finali indicano controlli puntuali. Esempio ipotetico: nascondere il nome in un modulo non basta a proteggere la stessa informazione se ricompare nella conversazione di assistenza.
La decisione utile è verificare cosa viene effettivamente registrato, prima di aggiungere un altro strumento di analisi.
Una registrazione non è un semplice contatore
Il session replay ricostruisce il percorso della singola visita: clic, scorrimenti, movimenti e, secondo la configurazione, contenuti dei moduli. Può aiutare a capire un errore; può anche raccogliere dettagli personali inutili allo scopo. Guardare dove si inceppa un acquisto non richiede necessariamente di leggere la vita del cliente.
La CNIL ribadisce il consenso preventivo per i tracciatori usati dal replay, nel quadro dell’articolo 82 della legge francese. Raccomanda inoltre una menzione dedicata, separata dalle finalità, già nella prima schermata della piattaforma di gestione del consenso. La base giuridica del successivo trattamento dei dati va valutata separatamente.
Il gestore del sito è generalmente titolare del trattamento secondo il Regolamento generale sulla protezione dei dati (GDPR). Il fornitore può essere responsabile per conto del gestore, ma il riuso per proprie finalità cambia la qualificazione: il contratto merita una lettura, non soltanto una firma.
Una prova utile: seguire un dato inventato
Proposta operativa Redomino, non test già eseguito: in un ambiente autorizzato, usare dati fittizi e seguire un percorso completo: modulo, messaggio di conferma e chat. Controllare cosa compare nel replay e quali dati vengono trasmessi al fornitore. Un riquadro oscurato nella riproduzione non dimostra, da solo, che il dato non sia stato raccolto.
Dare priorità alla verifica se il replay è attivo su moduli o conversazioni che possono contenere informazioni riservate. Prima servono nome dello strumento, configurazione, finalità, destinatari, conservazione e mercati serviti: non conosciamo questi elementi per i singoli clienti.
Verificare anche rifiuto e revoca del consenso. La CNIL ricorda che revocare deve essere semplice quanto accettare; non basta offrire un comando se poi la registrazione continua.
Domande frequenti sulla registrazione delle sessioni
Il mascheramento nel session replay equivale alla mancata raccolta?
No. La raccomandazione distingue soluzioni che raccolgono dati oscurandone l’accesso e soluzioni che non li raccolgono. Occorre capire quale comportamento offre il fornitore.
La raccomandazione CNIL vieta i chatbot sui siti?
No. Il chiarimento riguarda ciò che uno strumento di replay può catturare delle conversazioni, non un divieto di usare chatbot. Non è un nuovo obbligo dell’AI Act, il regolamento europeo sull’intelligenza artificiale.
Fonti ufficiali
- CNIL, annuncio del 5 novembre 2026: sezione sulle modifiche dopo la consultazione.
- Raccomandazione definitiva, adottata l’8 ottobre 2026: §§ 1 e 3.2; §§ 5.1–5.3; § 7.1.
- CNIL, spiegazione dei diritti degli utenti, 5 novembre 2026: consenso, revoca e limiti della raccolta.
Vuoi capire quali verifiche chiedere su strumenti di analisi, moduli e chat del tuo sito? Un Momento Redomino può aiutare a definire il controllo tecnico da affiancare alla valutazione privacy.
