Защо CNIL има значение отвъд Франция

Френският орган за защита на данните CNIL е един от най-активните контролиращи органи по правилата за бисквитките в Европа. Насоките му оформиха начина, по който много издатели в ЕС проектират банерите си, а решенията му се следят отблизо от екипите по рекламни операции и от юристите. Ако обслужвате посетители във Франция или просто искате практически ориентир за очакванията на строг регулатор, подходът на CNIL заслужава да се разбере в детайли.

Правното основание

Френските правила за бисквитките съчетават две нива. Правилата на ePrivacy, транспонирани във френското право, изискват съгласие, преди информация да бъде съхранена на устройството на посетителя или прочетена от него, освен ако не се прилага изключение. GDPR след това определя какво означава валидно съгласие: свободно дадено, конкретно, информирано и недвусмислено. CNIL публикува актуализирани насоки и препоръка през септември 2020 г. и даде на организациите преходен период, преди прилагането да започне през пролетта на 2021 г.

Основни очаквания

• Отказът трябва да е толкова лесен, колкото приемането. Ако на първото ниво има бутон за приемане, трябва да има също толкова лесен начин за отказ, например ясно видим бутон за отказ на същото ниво.
• Няма съгласие чрез продължаване на сърфирането. Превъртането, щракването другаде на страницата или просто продължаването на използването на сайта не е валиден избор.
• Няма предварително отметнати полета. Целите трябва да са изключени, докато посетителят не ги включи.
• Конкретен, детайлен избор. Посетителите трябва да могат да избират по цел, с описания на разбираем език.
• Назовани трети страни. Тези, чиито бисквитки ще бъдат зададени, трябва да могат да се идентифицират от банера или от второто му ниво.
• Оттеглянето е толкова лесно, колкото даването на съгласие. Обичайният подход е постоянна връзка или иконка, която отново отваря избора.

Срок на съгласието и срок на бисквитките

CNIL препоръчва записаният избор, независимо дали е приемане или отказ, да се пази ограничен период и посетителите да бъдат питани отново след около шест месеца. Отделно е препоръчал ограничения за това колко дълго да живеят определени идентификатори за проследяване. Приемайте това като заявени очаквания на регулатора и проверявайте актуалния текст на препоръката, когато задавате собствени срокове, тъй като насоките могат да се преразглеждат.

Изключението за измерване на аудиторията

CNIL е очертал условия, при които някои инструменти за анализ могат да работят без съгласие. Инструментът трябва да се използва за строго ограничени цели, като измерване на аудиторията и ефективността на собствения ви сайт, и не трябва да комбинира данни с друга обработка или да проследява потребители между сайтове. Много популярни конфигурации на анализ не отговарят на тези условия по подразбиране. Не приемайте, че доставчикът ви на анализ отговаря; проверете конфигурацията му спрямо публикуваните критерии на CNIL.

Какво проверява CNIL на практика

1. Показва ли банерът опция за отказ на същото ниво като приемането?
2. Задържат ли се наистина несъществените бисквитки и скриптове, докато не съществува съгласие?
3. След отказ все още ли се появяват бисквитки за проследяване? CNIL може да провери това технически.
4. Може ли посетителят да промени решението си по всяко време?
5. Неутрални ли са формулировката и дизайнът, без визуални трикове, които тласкат към приемане?

Практическа процедура за преглед

Отворете сайта си в чист профил на браузъра с френски IP адрес или регионална настройка, откажете всичко и прегледайте хранилището и мрежовите заявки. След това приемете само една цел и повторете. Ако тракери се зареждат след отказ, проблемът почти винаги е твърдо зададен таг извън вашия инструмент за съгласие. Поправете го първо, защото това е проблем, който регулаторът може да възпроизведе за минути.

Как помага FlexyConsent

FlexyConsent е сертифицирана от IAB Europe и IAB Canada, е CMP, сертифицирана от Google (ID 317), поддържа IAB TCF 2.4 и Google Consent Mode v2 и показва банера на 57 езика, включително френски. Покрива ЕС/ЕИП и Обединеното кралство, така че една настройка може да обслужва френските посетители заедно с останалата ви аудитория.

Основни изводи

• CNIL очаква отказът да е толкова лесен, колкото приемането, без съгласие чрез превъртане или продължаване на сърфирането.
• Изборът трябва да е детайлен, с назовани трети страни и лесен начин за оттегляне.
• Питайте отново след ограничен период; CNIL посочва около шест месеца.
• Изключението за измерване на аудиторията е тясно, затова проверявайте настройката на анализа си, вместо да приемате.
• Тествайте, като откажете всичко и проверите, че тракерите наистина остават изключени.