Per què la CNIL importa més enllà de França

L'autoritat de protecció de dades de França, la CNIL, és una de les supervisores més actives de les normes de cookies a Europa. Les seves orientacions han influït en com molts editors de la UE dissenyen els seus bàners, i les seves decisions són seguides de prop pels equips d'ad-ops i jurídics. Si serveixes visitants a França, o simplement vols una referència pràctica de què espera un regulador estricte, val la pena entendre amb detall l'enfocament de la CNIL.

La base legal

Les normes franceses de cookies combinen dues capes. Les normes d'ePrivacy, transposades a la llei francesa, exigeixen consentiment abans d'emmagatzemar o llegir informació al dispositiu del visitant, tret que s'apliqui una exempció. El GDPR defineix llavors què és un consentiment vàlid: lliure, específic, informat i inequívoc. La CNIL va publicar unes directrius actualitzades i una recomanació el setembre de 2020 i va donar a les organitzacions un període de transició abans que comencés la supervisió a la primavera de 2021.

Expectatives bàsiques

• Rebutjar ha de ser tan fàcil com acceptar. Si la primera capa ofereix un botó d'acceptar, ha d'oferir una manera comparablement fàcil de rebutjar, com ara un botó de rebutjar ben visible al mateix nivell.
• Cap consentiment per continuar navegant. Desplaçar-se per la pàgina, fer clic en un altre lloc o simplement seguir utilitzant el lloc no és una elecció vàlida.
• Cap casella premarcada. Les finalitats han d'estar desactivades fins que el visitant les activi.
• Eleccions específiques i granulars. Els visitants han de poder triar per finalitat, amb descripcions en llenguatge clar.
• Tercers identificats. Qui instal·larà cookies s'ha de poder identificar des del bàner o la seva segona capa.
• Retirada tan fàcil com donar el consentiment. Un enllaç o una icona persistent que torni a obrir les opcions és l'enfocament habitual.

Durada del consentiment i de les cookies

La CNIL recomana que una elecció registrada, ja sigui acceptació o rebuig, es conservi durant un període limitat i que es torni a preguntar als visitants al cap d'uns sis mesos. Per separat, ha recomanat límits sobre quant de temps han de viure certs identificadors de seguiment. Considera-ho com les expectatives declarades del regulador i consulta el text vigent de la recomanació quan fixis les teves pròpies durades, ja que les orientacions es poden revisar.

L'exempció de mesura d'audiència

La CNIL ha establert les condicions en què algunes eines d'analítica poden funcionar sense consentiment. L'eina s'ha d'usar per a finalitats estrictament limitades, com ara mesurar l'audiència i el rendiment del teu propi lloc, i no ha de combinar dades amb altres tractaments ni seguir els usuaris entre llocs. Moltes configuracions d'analítica populars no compleixen aquestes condicions per defecte. No donis per fet que el teu proveïdor d'analítica es qualifica; verifica'n la configuració amb els criteris publicats per la CNIL.

Què mira la CNIL a la pràctica

1. El bàner mostra una opció de rebutjar al mateix nivell que la d'acceptar?
2. Les cookies i els scripts no essencials es retenen realment fins que hi ha consentiment?
3. Després d'un rebuig, encara apareixen cookies de seguiment? La CNIL ho pot comprovar tècnicament.
4. Pot un visitant canviar d'opinió en qualsevol moment?
5. El text i el disseny són neutrals, sense trucs visuals que empenyin cap a l'acceptació?

Una rutina pràctica de revisió

Obre el teu lloc en un perfil de navegador net amb una IP o una configuració de regió de França, rebutja-ho tot i inspecciona l'emmagatzematge i les peticions de xarxa. Després accepta només una finalitat i repeteix. Si els rastrejadors es carreguen després d'un rebuig, el problema gairebé sempre és una etiqueta escrita directament al codi, fora de la teva eina de consentiment. Soluciona-ho primer, perquè és el tipus de problema que un regulador pot reproduir en minuts.

Com ajuda FlexyConsent

FlexyConsent està certificat per IAB Europe i IAB Canada, és una CMP certificada per Google (ID 317), admet IAB TCF 2.4 i Google Consent Mode v2 i mostra el bàner en 57 idiomes, inclòs el francès. Cobreix la UE/EEE i el Regne Unit, de manera que una sola configuració pot servir els visitants francesos juntament amb la resta de la teva audiència.

Conclusions clau

• La CNIL espera que rebutjar sigui tan fàcil com acceptar, sense consentiment per desplaçament o per continuar navegant.
• Les eleccions han de ser granulars, amb tercers identificats i una manera fàcil de retirar el consentiment.
• Torna a preguntar al cap d'un període limitat; la CNIL apunta a uns sis mesos.
• L'exempció de mesura d'audiència és estreta, així que verifica la teva configuració d'analítica en lloc de donar-la per bona.
• Prova-ho rebutjant-ho tot i comprovant que els rastrejadors realment es mantenen apagats.