Imaginons Claire, kinésithérapeute à Lyon. Une amie lui parle de Microsoft Clarity : des cartes de chaleur et l’enregistrement de chaque visite, gratuitement. Claire installe l’extension WordPress en cinq minutes. Elle adore. Elle voit ses patients chercher ses horaires et prendre rendez-vous.
Deux semaines plus tard, Julien, un patient qui travaille dans l’informatique, lui écrit poliment : « J’ai remarqué que votre site enregistre les mouvements de ma souris et les envoie à Microsoft avant que j’accepte quoi que ce soit. Est-ce autorisé ? »
Claire n’en sait rien. Ce guide est la réponse qu’il lui fallait : ce que Microsoft Clarity et le RGPD impliquent vraiment, ce qu’il faut régler si vous gardez Clarity, et quand un autre outil est plus simple.
Ceci n’est pas un conseil juridique. Nous éditons une extension d’analyse WordPress concurrente de Clarity : lisez cet article en le sachant. Nous nous appuyons sur les conditions et la documentation de Clarity et sur les règles de la CNIL. Vérifiez les détails avec votre délégué à la protection des données (DPO) ou votre conseiller RGPD.
Sommaire
- Ce que Microsoft Clarity collecte
- Les trois questions RGPD à se poser sur Clarity
- Microsoft Clarity et RGPD : la liste de contrôle pour bien l’utiliser
- Une alternative : garder les enregistrements, sans le cloud
- Clarity ou outil auto-hébergé : la comparaison côté RGPD
- Ce que décide Claire
- Questions fréquentes
Ce que Microsoft Clarity collecte
Clarity ajoute un script à vos pages et envoie ce qu’il enregistre dans le cloud de Microsoft, où les données sont stockées. À chaque visite, il enregistre :
- les clics, le défilement, les mouvements de souris et les gestes sur écran tactile ;
- la structure de la page, pour pouvoir rejouer la visite comme une vidéo ;
- des détails techniques : navigateur, appareil, taille d’écran, pays ;
- un identifiant stocké dans un cookie, pour relier les pages vues par un même visiteur.
Par défaut, Clarity masque les contenus sensibles, comme ce que les gens tapent dans les formulaires. Vous pouvez choisir un masquage plus strict.
Les trois questions RGPD à se poser sur Clarity
1. Qui contrôle les données ?
Le RGPD appelle responsable de traitement celui qui décide pourquoi et comment les données sont utilisées. Avec la plupart des prestataires, c’est vous. Le prestataire travaille seulement pour vous : c’est un sous-traitant.
Clarity fonctionne autrement. D’après les conditions d’utilisation de Clarity, Microsoft utilise aussi ces données comme responsable de traitement indépendant pour certaines finalités, notamment pour améliorer ses services et à des fins publicitaires. Autrement dit, vous n’êtes pas seul à décider de ce que deviennent les données de comportement de vos visiteurs.
Pour un blog de loisir, ce partage du contrôle peut passer. Pour un cabinet de santé comme celui de Claire, un cabinet d’avocats, une banque ou un service public, c’est une vraie question à poser à votre DPO ou à votre conseiller RGPD.
2. Faut-il le consentement du visiteur ?
En Europe, en général oui. Clarity dépose des cookies et collecte des données de comportement liées à un identifiant en ligne. En France, la CNIL rappelle que les internautes doivent être informés et donner leur consentement avant le dépôt et la lecture de certains traceurs.
Certains outils de mesure d’audience peuvent se passer de consentement. Mais seulement s’ils servent uniquement à mesurer l’audience du site pour le compte de l’éditeur, et s’ils produisent des statistiques anonymes. La CNIL précise que certaines offres n’entrent pas dans cette exemption, notamment quand le fournisseur réutilise les données pour son propre compte. Vu le rôle que les conditions de Clarity donnent à Microsoft, ne comptez pas sur cette exemption sans l’avis de votre DPO.
Microsoft demande aussi aux sites de lui transmettre un signal de consentement pour les visiteurs de l’Espace économique européen, du Royaume-Uni et de Suisse. D’après sa documentation, cette exigence s’applique depuis le 31 octobre 2025. Attention : pour ces visiteurs, Clarity ne se bloque pas tout seul. Tant qu’il n’a pas reçu d’accord, il ne dépose pas de cookie, mais il continue de fonctionner et d’envoyer des requêtes à Microsoft.
En pratique, si vous gardez Clarity, il vous faut :
- un bandeau cookies où « Refuser » est aussi simple qu’« Accepter » ;
- le choix du visiteur transmis à Clarity (le signal de consentement) ;
- Clarity bloqué tant que le visiteur n’a pas accepté les statistiques.
Les visiteurs qui refusent ne sont alors pas enregistrés : vos cartes de chaleur ne montrent qu’une partie de votre public.
3. Où vont les données ?
Les données de Clarity sont traitées dans le cloud de Microsoft, qui comprend des serveurs hors de l’Union européenne. Depuis 2023, un cadre entre l’Union européenne et les États-Unis, le Data Privacy Framework, donne de nouveau une base légale aux transferts vers les entreprises américaines qui y adhèrent. Microsoft en fait partie. Cela répond, pour l’instant, à la question du transfert, mais pas aux questions du contrôle et du consentement vues plus haut.
Microsoft Clarity et RGPD : la liste de contrôle pour bien l’utiliser
Si vous gardez Clarity, voici les six points à régler :
| Étape | Ce qu’il faut faire |
|---|---|
| Consentement d’abord | Chargez Clarity seulement après l’accord du visiteur pour les cookies de statistiques |
| Signal de consentement | Transmettez le choix du visiteur à Clarity, comme Microsoft le demande pour les visiteurs européens |
| Masquage | Gardez un masquage strict : le contenu des formulaires et les textes personnels ne doivent jamais être enregistrés |
| Pages sensibles | Excluez de l’enregistrement les pages de compte, de paiement et celles liées à la santé |
| Politique de confidentialité | Nommez Microsoft Clarity, dites ce qu’il enregistre et quel rôle joue Microsoft |
| Test | Dans une fenêtre privée, vérifiez qu’aucun cookie Clarity (_clck, _clsk) n’apparaît et qu’aucune requête vers Clarity ne part avant le consentement |
Pour transmettre le signal de consentement, Microsoft publie la liste des outils de consentement compatibles.
Le test de la fenêtre privée prend quelques minutes :
- Ouvrez votre site dans une fenêtre de navigation privée.
- Ne touchez pas au bandeau, ou cliquez sur « Refuser ».
- Ouvrez les outils de développement (touche F12, ou clic droit puis « Inspecter »). Allez dans l’onglet Application (Chrome) ou Stockage (Firefox), rubrique Cookies.
- Cherchez _clck et _clsk. S’ils sont là, Clarity dépose ses cookies sans l’accord du visiteur : revoyez vos réglages.
- Allez dans l’onglet Réseau, tapez « clarity » dans le filtre, puis rechargez la page. Si des requêtes vers Clarity (par exemple « collect ») apparaissent avant votre accord, Clarity fonctionne déjà, simplement sans cookies : il n’est pas bloqué. Revoyez le point « Consentement d’abord ».
Si vous ne trouvez ni cookie ni requête Clarity avant votre accord, le test est réussi.
Une alternative : garder les enregistrements, sans le cloud
Si le rôle de Microsoft ou le bandeau cookies vous gêne, une autre voie est un outil auto-hébergé. Les données de visite sont stockées sur votre serveur, et vous en êtes responsable. En contrepartie, c’est à vous de les protéger et de répondre aux demandes de vos visiteurs.
Opti-Behavior fonctionne ainsi sur WordPress. L’extension est auto-hébergée : cartes de chaleur, entonnoirs, tests A/B et, avec la version Pro, enregistrements de session sont stockés dans votre base WordPress et vos fichiers. Une exception : en Suivi complet (le mode avec consentement, présenté plus bas), après l’accord du visiteur, son adresse IP est envoyée à un service externe de géolocalisation (ip-api.com) pour trouver le pays et la ville. Aucune donnée de visite ne nous est envoyée.
Opti-Behavior propose deux modes de confidentialité : le Mode Anonyme et le Suivi complet (les noms affichés dans l’extension).
| Mode Anonyme | Suivi complet | |
|---|---|---|
| Cookies | Aucun | Oui, après consentement |
| Adresse IP enregistrée | Non | Oui, après consentement |
| Bandeau de consentement | Pas nécessaire (à valider avec votre DPO) | Obligatoire |
| Visiteurs qui reviennent | Pas reconnus d’un jour à l’autre | Reconnus |
Le Mode Anonyme est conçu pour ne traiter aucune donnée personnelle et ne déposer aucun cookie. C’est pour cela que nous estimons qu’il n’a pas besoin de bandeau (hors enregistrements Pro, voir plus bas). Comme pour Clarity, faites confirmer ce point par votre DPO.
En Suivi complet, Opti-Behavior suit automatiquement votre extension de consentement (Cookiebot, Complianz, CookieYes et cinq autres), ou affiche son propre bandeau. Tant qu’un visiteur n’a pas accepté, sa visite est quand même comptée sur votre serveur, sans cookie. Comme pour le Mode Anonyme, faites valider ce point par votre DPO. Pour comprendre comment on peut suivre les visiteurs sans cookies, voyez notre guide dédié.
Pour les enregistrements (version Pro, 89 € par an) :
- en Mode Anonyme, ils fonctionnent aussi, sans cookie ; savoir s’ils demandent un bandeau est une question pour votre DPO ;
- en Suivi complet, l’enregistrement ne démarre qu’après l’accord du visiteur ;
- tout ce qui est tapé dans les champs est remplacé par des étoiles par défaut, et les champs de mot de passe sont toujours masqués ;
- les enregistrements sont stockés chiffrés sur votre serveur ;
- ils expirent après 90 jours par défaut.
Clarity ou outil auto-hébergé : la comparaison côté RGPD
| Critère | Microsoft Clarity | Auto-hébergé (Opti-Behavior) |
|---|---|---|
| Contrôle des données | Vous, et Microsoft pour ses propres finalités | Vous seul en Mode Anonyme ; en Suivi complet, l’adresse IP part aussi chez ip-api.com |
| Lieu de stockage | Le cloud de Microsoft | Votre propre serveur |
| Consentement nécessaire en Europe | En général, oui | En général, non en Mode Anonyme (enregistrements Pro : à voir avec votre DPO) ; oui en Suivi complet |
| Visiteurs qui refusent | Aucune collecte si Clarity est bloqué ; sinon collecte réduite, sans cookie | Comptés sans cookie (à valider avec votre DPO) |
Soyons justes avec Clarity : il est gratuit, illimité, facile à installer et fonctionne sur tous les sites, pas seulement WordPress. Si votre public est hors de l’Union européenne, ou si vous avez déjà un vrai bandeau de consentement et que votre DPO accepte le rôle de Microsoft, ce peut être un bon choix. Pour comparer toutes les fonctions, lisez notre comparatif complet Microsoft Clarity vs Opti-Behavior.
Ce que décide Claire
Dans notre exemple, Claire demande l’avis de son conseiller RGPD. Pour un cabinet de kinésithérapie, il préfère que le comportement des patients ne parte pas chez une entreprise qui peut l’utiliser pour ses propres fins. Claire retire Clarity et installe une extension auto-hébergée en Mode Anonyme. Elle garde ses cartes de clics et ses entonnoirs.
Elle répond à Julien : « Merci. Notre site n’envoie plus votre visite à personne, et il ne dépose aucun cookie de suivi. »
Et vous ? Si vous gardez Clarity, faites le test ci-dessus aujourd’hui et réglez les six points de la liste. Si le rôle de Microsoft pose problème pour votre activité, regardez du côté d’un outil auto-hébergé.
Des analyses dans l’esprit de Clarity, avec vos données stockées chez vous
Opti-Behavior est gratuit sur WordPress.org : cartes de chaleur, entonnoirs et tests A/B sur votre propre serveur, avec un mode sans cookies. La version Pro ajoute des enregistrements masqués et chiffrés.
Télécharger gratuitement sur WordPress.orgVoir la démo en ligne
Questions fréquentes
Microsoft Clarity est-il conforme au RGPD ?
Il peut être utilisé de façon conforme si vous appliquez au minimum les six points de la liste de contrôle, à commencer par le consentement avant son chargement. Mais ses conditions font aussi de Microsoft un responsable de traitement indépendant, qui peut utiliser les données à ses propres fins, y compris publicitaires. Certaines entreprises et certains DPO le refusent.
Microsoft Clarity a-t-il besoin d’un bandeau cookies ?
En Europe, en général oui, car il dépose des cookies et collecte des données de comportement liées à un identifiant. Microsoft demande aussi un signal de consentement pour les visiteurs de l’Espace économique européen, du Royaume-Uni et de Suisse. Sans accord, Clarity ne dépose pas de cookie, mais il continue de fonctionner.
Où Microsoft Clarity stocke-t-il les données ?
Dans le cloud de Microsoft. Microsoft adhère au Data Privacy Framework entre l’Union européenne et les États-Unis, qui donne, pour l’instant, une base légale aux transferts vers les États-Unis.
Clarity enregistre-t-il ce que les gens tapent ?
Clarity masque par défaut les contenus sensibles, comme les champs de formulaire, et vous pouvez choisir un masquage plus strict. Vérifiez toujours vos réglages et regardez un enregistrement de test.
Quelle alternative à Microsoft Clarity pour WordPress, plus simple côté RGPD ?
Une extension auto-hébergée garde les données sur votre propre serveur, et c’est à vous de les protéger. Opti-Behavior peut fonctionner sans cookies en Mode Anonyme, sans envoyer l’adresse IP à l’extérieur. En Suivi complet, après l’accord du visiteur, l’adresse IP part vers un service externe de géolocalisation. Ses enregistrements Pro sont masqués et chiffrés.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Microsoft Clarity est-il conforme au RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Il peut être utilisé de façon conforme si vous appliquez au minimum les six points de la liste de contrôle, à commencer par le consentement avant son chargement. Mais ses conditions font aussi de Microsoft un responsable de traitement indépendant, qui peut utiliser les données à ses propres fins, y compris publicitaires. Certaines entreprises et certains DPO le refusent. »}},{« @type »: »Question », »name »: »Microsoft Clarity a-t-il besoin d’un bandeau cookies ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En Europe, en général oui, car il dépose des cookies et collecte des données de comportement liées à un identifiant. Microsoft demande aussi un signal de consentement pour les visiteurs de l’Espace économique européen, du Royaume-Uni et de Suisse. Sans accord, Clarity ne dépose pas de cookie, mais il continue de fonctionner. »}},{« @type »: »Question », »name »: »Où Microsoft Clarity stocke-t-il les données ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Dans le cloud de Microsoft. Microsoft adhère au Data Privacy Framework entre l’Union européenne et les États-Unis, qui donne, pour l’instant, une base légale aux transferts vers les États-Unis. »}},{« @type »: »Question », »name »: »Clarity enregistre-t-il ce que les gens tapent ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Clarity masque par défaut les contenus sensibles, comme les champs de formulaire, et vous pouvez choisir un masquage plus strict. Vérifiez toujours vos réglages et regardez un enregistrement de test. »}},{« @type »: »Question », »name »: »Quelle alternative à Microsoft Clarity pour WordPress, plus simple côté RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Une extension auto-hébergée garde les données sur votre propre serveur, et c’est à vous de les protéger. Opti-Behavior peut fonctionner sans cookies en Mode Anonyme, sans envoyer l’adresse IP à l’extérieur. En Suivi complet, après l’accord du visiteur, l’adresse IP part vers un service externe de géolocalisation. Ses enregistrements Pro sont masqués et chiffrés. »}}]}
